Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 18 replies
  • Subscribers 3 subscribers
  • Views 7209 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

DNS Newbie Question

wingman
HI All

I've set the DNS as defined in kb (see attached image). However, I am getting Incoming UDP requests from the 2 DNS specified.


2009:04:29-00:27:51 Astaro ulogd[3234]: id="2001" severity="info" sys="SecureNet" sub="packetfilter" name="Packet dropped" action="drop" fwrule="60001" seq="0" initf="eth2" outitf="eth2" dstmac="00:b0:c2:02:e3:c7" srcmac="00:00:00:00:00:00" srcip="194.72.0.98" dstip="86.141.71.223" proto="17" length="101" tos="0x00" prec="0x00" ttl="53" srcport="53" dstport="3072" 
2009:04:29-00:28:01 Astaro ulogd[3234]: id="2001" severity="info" sys="SecureNet" sub="packetfilter" name="Packet dropped" action="drop" fwrule="60001" seq="0" initf="eth2" outitf="eth2" dstmac="00:b0:c2:02:e3:c7" srcmac="00:00:00:00:00:00" srcip="62.6.40.162" dstip="86.141.71.223" proto="17" length="101" tos="0x00" prec="0x00" ttl="53" srcport="53" dstport="3072" 
2009:04:29-00:28:11 Astaro ulogd[3234]: id="2001" severity="info" sys="SecureNet" sub="packetfilter" name="Packet dropped" action="drop" fwrule="60001" seq="0" initf="eth2" outitf="eth2" dstmac="00:b0:c2:02:e3:c7" srcmac="00:00:00:00:00:00" srcip="194.72.0.98" dstip="86.141.71.223" proto="17" length="101" tos="0x00" prec="0x00" ttl="53" srcport="53" dstport="3072"




DNS log

2009:04:29-22:59:18 Astaro named[3528]: FORMERR resolving 'resolver.nobgp.glb.ctmail.com/AAAA/IN': 65.74.168.212#53
2009:04:29-22:59:18 Astaro named[3528]: FORMERR resolving 'resolver.nobgp.glb.ctmail.com/AAAA/IN': 216.163.188.42#53
2009:04:29-22:59:18 Astaro named[3528]: too many timeouts resolving 'resolver.nobgp.glb.ctmail.com/AAAA' (in 'glb.ctmail.com'?): disabling EDNS
2009:04:29-22:59:19 Astaro named[3528]: too many timeouts resolving 'resolver.nobgp.glb.ctmail.com/AAAA' (in 'glb.ctmail.com'?): disabling EDNS
2009:04:29-22:59:21 Astaro named[3528]: too many timeouts resolving 'resolver.nobgp.glb.ctmail.com/AAAA' (in 'glb.ctmail.com'?): disabling EDNS
2009:04:29-22:59:23 Astaro named[3528]: too many timeouts resolving 'resolver.nobgp.glb.ctmail.com/AAAA' (in 'glb.ctmail.com'?): disabling EDNS
2009:04:29-22:59:27 Astaro named[3528]: too many timeouts resolving 'resolver.nobgp.glb.ctmail.com/AAAA' (in 'glb.ctmail.com'?): disabling EDNS
2009:04:29-22:59:35 Astaro named[3528]: too many timeouts resolving 'resolver.nobgp.glb.ctmail.com/AAAA' (in 'glb.ctmail.com'?): disabling EDNS
2009:04:29-22:59:45 Astaro named[3528]: too many timeouts resolving 'resolver.nobgp.glb.ctmail.com/AAAA' (in 'glb.ctmail.com'?): disabling EDNS
2009:04:29-23:09:22 Astaro named[3528]: received SIGHUP signal to reload zones
2009:04:29-23:09:22 Astaro named[3528]: loading configuration from '//etc/named.conf'
2009:04:29-23:09:22 Astaro named[3528]: default max-cache-size (33554432) applies
2009:04:29-23:09:22 Astaro named[3528]: default max-cache-size (33554432) applies: view _bind
2009:04:29-23:09:22 Astaro named[3528]: none:0: open: //etc/rndc.key: file not found
2009:04:29-23:09:22 Astaro named[3528]: couldn't add command channel 127.0.0.1#953: file not found
2009:04:29-23:09:22 Astaro named[3528]: reloading configuration succeeded
2009:04:29-23:09:22 Astaro named[3528]: reloading zones succeeded
2009:04:29-23:09:22 Astaro named[3528]: zone 0.0.127.in-addr.arpa/IN: loaded serial 1241042962
2009:04:29-23:09:22 Astaro named[3528]: zone localhost/IN: loaded serial 1241042962
2009:04:29-23:14:22 Astaro named[3528]: unexpected RCODE (SERVFAIL) resolving 'resolver.nobgp.glb.ctmail.com/AAAA/IN': 62.6.40.162#53
2009:04:29-23:14:23 Astaro named[3528]: unexpected RCODE (SERVFAIL) resolving 'resolver.nobgp.glb.ctmail.com/AAAA/IN': 194.72.0.98#53
2009:04:29-23:14:23 Astaro named[3528]: FORMERR resolving 'resolver.nobgp.glb.ctmail.com/AAAA/IN': 65.74.168.212#53
2009:04:29-23:14:24 Astaro named[3528]: FORMERR resolving 'resolver.nobgp.glb.ctmail.com/AAAA/IN': 216.163.188.42#53
2009:04:29-23:14:24 Astaro named[3528]: unexpected RCODE (SERVFAIL) resolving 'resolver.nobgp.glb.ctmail.com/AAAA/IN': 62.6.40.162#53
2009:04:29-23:14:25 Astaro named[3528]: unexpected RCODE (SERVFAIL) resolving 'resolver.nobgp.glb.ctmail.com/AAAA/IN': 194.72.0.98#53
2009:04:29-23:14:25 Astaro named[3528]: FORMERR resolving 'resolver.nobgp.glb.ctmail.com/AAAA/IN': 65.74.168.212#53
2009:04:29-23:14:25 Astaro named[3528]: FORMERR resolving 'resolver.nobgp.glb.ctmail.com/AAAA/IN': 216.163.188.42#53
2009:04:29-23:14:26 Astaro named[3528]: unexpected RCODE (SERVFAIL) resolving 'resolver.nobgp.glb.ctmail.com/AAAA/IN': 194.72.0.98#53
2009:04:29-23:14:27 Astaro named[3528]: unexpected RCODE (SERVFAIL) resolving 'resolver.nobgp.glb.ctmail.com/AAAA/IN': 62.6.40.162#53
2009:04:29-23:14:27 Astaro named[3528]: FORMERR resolving 'resolver.nobgp.glb.ctmail.com/AAAA/IN': 65.74.168.212#53
2009:04:29-23:14:27 Astaro named[3528]: FORMERR resolving 'resolver.nobgp.glb.ctmail.com/AAAA/IN': 216.163.188.42#53


The times below clearly indicate that there is a DNS issue:
2009:04:30-00:04:27 Astaro httpproxy[8925]: id="0001" severity="info" sys="SecureWeb" sub="http" name="http access" action="pass" method="GET" srcip="192.168.2.33" user="" statuscode="200" cached="0" profile="REF_DefaultHTTPProfile (Default Proxy)" filteraction="REF_DefaultHTTPCFFAction (Default content filter action)" size="1083" time="5527 ms" request="0xb1ab4f38" url="www.coldsteel-uk.com/.../jpeg" 
2009:04:30-00:09:39 Astaro httpproxy[8925]: id="0001" severity="info" sys="SecureWeb" sub="http" name="http access" action="pass" method="GET" srcip="192.168.2.33" user="" statuscode="200" cached="0" profile="REF_DefaultHTTPProfile (Default Proxy)" filteraction="REF_DefaultHTTPCFFAction (Default content filter action)" size="82907" time="49238 ms" request="0xb24937e8" url="www.fioredeiliberi.org/.../search.php
 

According to my understanding I should only have outgoing DNS requests for the 2 DNS servers (I don't have any pf ). Could someone let me know if that's the case?

Thanks once again for your help


This thread was automatically locked due to age.
Parents
  • 0
    Are 'DNS 1' and 'DNS 2' the same as the 'Currently-assigned forwarders'?

    What networks are on your 'Global' tab?
  • 0 in reply to BAlfson
    Private_Lan ->192.168.2.0/24 and DMZ-->172.16.1.0/24 are defined under the Global tab

    yes the DNS1 and DNS2 are the same as the "Currently-assigned forwarders"

    I can see in the DNS logs that it resolves to 
    2009:04:30-00:14:49 Astaro named[3528]: unexpected RCODE (SERVFAIL) resolving 'resolver.nobgp.glb.ctmail.com/AAAA/IN': 62.6.40.162#53

    2009:04:30-00:14:49 Astaro named[3528]: unexpected RCODE (SERVFAIL) resolving 'resolver.nobgp.glb.ctmail.com/AAAA/IN': 194.72.0.98#53

    2009:04:30-00:14:50 Astaro named[3528]: FORMERR resolving 'resolver.nobgp.glb.ctmail.com/AAAA/IN': 65.74.168.212#53

    2009:04:30-00:14:50 Astaro named[3528]: FORMERR resolving 'resolver.nobgp.glb.ctmail.com/AAAA/IN': 216.163.188.42#53


    To be honest I don't know what glbns2.ctmail.com is (65.74.168.212)
  • 0 in reply to wingman

    Packet dropped" action="drop" fwrule="60001" seq="0" initf="eth2" outitf="eth2" dstmac="00:b0:c2:02:e3:c7" srcmac="00:00:00:00:00:00" srcip="194.72.0.98" dstip="86.141.71.223" proto="17" length="101" tos="0x00" prec="0x00" ttl="53" srcport="53" dstport="3072"


    This is just a guess but since you have use ISP servers checked too, the servers that are answering belong to your ISP. The log clearly shows source port 53 and destinatino 3072. Meaning it more than likely was a response of some sort on port 53 to your port 3072.[;)]

    'resolver.nobgp.glb.ctmail.com' is commtouch for spam filtering, Commtouch - Messaging and Web Security Technology | Real Security. In Real Time
Reply
  • 0 in reply to wingman

    Packet dropped" action="drop" fwrule="60001" seq="0" initf="eth2" outitf="eth2" dstmac="00:b0:c2:02:e3:c7" srcmac="00:00:00:00:00:00" srcip="194.72.0.98" dstip="86.141.71.223" proto="17" length="101" tos="0x00" prec="0x00" ttl="53" srcport="53" dstport="3072"


    This is just a guess but since you have use ISP servers checked too, the servers that are answering belong to your ISP. The log clearly shows source port 53 and destinatino 3072. Meaning it more than likely was a response of some sort on port 53 to your port 3072.[;)]

    'resolver.nobgp.glb.ctmail.com' is commtouch for spam filtering, Commtouch - Messaging and Web Security Technology | Real Security. In Real Time
Children
  • 0 in reply to Billybob
    This is just a guess but since you have use ISP servers checked too, the servers that are answering belong to your ISP. The log clearly shows source port 53 and destinatino 3072. Meaning it more than likely was a response of some sort on port 53 to your port 3072.[;)]

    'resolver.nobgp.glb.ctmail.com' is commtouch for spam filtering, Commtouch - Messaging and Web Security Technology | Real Security. In Real Time


    Hi Billybob

    I was under the impression that only incoming DNS request should be allowed and no outgoing even if they are specific. 

    Port   Protocol      Service                        Details
    3072 tcp,udp csd-monitor          ContinuStor  Monitor Port
  • 0 in reply to wingman
    Hi,
    I might be misunderstanding something here, but here goes anyway.

    If you are only using you ISP's DNS you don't need a pf rule. You don't need to add anything to the DNS list, just tick the box for ISP DNS.
    Point all your internal devices at the ASG internal address and you have resolution.

    Works very well.

    Ian M
  • 0 in reply to RFCat_vk_01
    Interesting, Ian.  Are you saying that there's an automatic packet filter rule for the 'Currently assigned forwarders'?  I wonder if that is true only for public IPs assigned by DHCP.

    Thanks - Bob
  • 0 in reply to BAlfson
    If you are only using you ISP's DNS you don't need a pf rule

    Ian is correct. Just like all the other proxies on astaro, outgoing rules are automatically created. The traffic that wingman is seeing is the blocks for replies from the external DNS servers.

    Every query that your dns server makes to the forwarders has a timeout limit. That way it is not waiting on the same server forever. So in wingman's case the astaro server made a request and opened a connection (stateful firewall) but it never got a reply within the specified timeout period. Then it closed the connection. The forwarder in the meantime replied to the query. Remember this is udp not tcp which is stateless so the forwarder doesn't know that the connection has been closed. The reply comes to the astaro box but the connection has already been terminated so it gets denied at the packet filter level. 
    Hope this makes sense.
  • 0 in reply to RFCat_vk_01
    Hi,
    I might be misunderstanding something here, but here goes anyway.

    If you are only using you ISP's DNS you don't need a pf rule. You don't need to add anything to the DNS list, just tick the box for ISP DNS.
    Point all your internal devices at the ASG internal address and you have resolution.

    Works very well.

    Ian M


    Thanks Ian

    I will try this again. (That was the initial configuration I had but I experienced slow connections)

    Ian is correct. Just like all the other proxies on astaro, outgoing rules are automatically created. The traffic that wingman is seeing is the blocks for replies from the external DNS servers.

    Every query that your dns server makes to the forwarders has a timeout limit. That way it is not waiting on the same server forever. So in wingman's case the astaro server made a request and opened a connection (stateful firewall) but it never got a reply within the specified timeout period. Then it closed the connection. The forwarder in the meantime replied to the query. Remember this is udp not tcp which is stateless so the forwarder doesn't know that the connection has been closed. The reply comes to the astaro box but the connection has already been terminated so it gets denied at the packet filter level.
    Hope this makes sense. 



    Thx Billybob it makes perfect sense. 

    Now my question is, is there a way to increase the connection tImeout period so not to get so many timeout and block connections?
  • 0 in reply to wingman
    I personally use just a couple of forwarders manually defined and don't use the box use ISP dns servers. If you choose the forwarders carefully your queries should be answered within a few miliseconds and hence no timeouts. Just ping the name server that you are planning as your forwarder and choose the closest one and then tweak the ones that answer the fastest by using "dig" command.
  • 0 in reply to Billybob
    I personally use just a couple of forwarders manually defined and don't use the box use ISP dns servers. If you choose the forwarders carefully your queries should be answered within a few miliseconds and hence no timeouts. Just ping the name server that you are planning as your forwarder and choose the closest one and then tweak the ones that answer the fastest by using "dig" command.


    I used the dig command and both dns are extremely slow

    when I use the online dig tool I get totally different times (max 10ms)

    If I don't use the ips but the hostnames, I get crazy results

    (attached txt)


    Could you please tell me how to use better DNS ?Does my router (bridge mode to connect to ASG) counts as forwarder?
  • 0 in reply to wingman
    If your router is fully bridged it isn't a forwarder.

    Have you tried using different resolvers in Astaro, such as the free ones from OpenDNS?

    Barry
  • 0 in reply to BarryG
    If your router is fully bridged it isn't a forwarder.

    Have you tried using different resolvers in Astaro, such as the free ones from OpenDNS?

    Barry

    Hi Barry 

    I am using dyndns.org (see pic attached). Should I use openDNS?

    Preferred DNS server address for Open DNS is:
    208.67.222.222  (dig query 64msec)
    Alternate DNS server address for Open DNS is:
    208.67.220.220  (dig query 47msec )
  • 0 in reply to BAlfson
    Of course it's the DNS "proxy" and of course it works like the other Astaro proxies - doh!

    Billybob, you made me realize that I could delete the external DNS servers as forwarders from my internal DNS server and replace them with the internal IP of my Astaro.  That's now so obvious that I am amazed that it's not in the Astaro user's guide.

    Because the most traffic I've seen going out was DNS, I developed a habit of putting that packet filter rule at the top.  In fact, now that it goes through the proxy, it's passed before the packet filter rules are considered.

    Thanks, Billybob - you cajuns always figure out a way to get the max out of something!

    Cheers - Bob
    PS For more on DNS, see DNS Best Practice