Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 18 replies
  • Subscribers 3 subscribers
  • Views 7209 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

DNS Newbie Question

wingman
HI All

I've set the DNS as defined in kb (see attached image). However, I am getting Incoming UDP requests from the 2 DNS specified.


2009:04:29-00:27:51 Astaro ulogd[3234]: id="2001" severity="info" sys="SecureNet" sub="packetfilter" name="Packet dropped" action="drop" fwrule="60001" seq="0" initf="eth2" outitf="eth2" dstmac="00:b0:c2:02:e3:c7" srcmac="00:00:00:00:00:00" srcip="194.72.0.98" dstip="86.141.71.223" proto="17" length="101" tos="0x00" prec="0x00" ttl="53" srcport="53" dstport="3072" 
2009:04:29-00:28:01 Astaro ulogd[3234]: id="2001" severity="info" sys="SecureNet" sub="packetfilter" name="Packet dropped" action="drop" fwrule="60001" seq="0" initf="eth2" outitf="eth2" dstmac="00:b0:c2:02:e3:c7" srcmac="00:00:00:00:00:00" srcip="62.6.40.162" dstip="86.141.71.223" proto="17" length="101" tos="0x00" prec="0x00" ttl="53" srcport="53" dstport="3072" 
2009:04:29-00:28:11 Astaro ulogd[3234]: id="2001" severity="info" sys="SecureNet" sub="packetfilter" name="Packet dropped" action="drop" fwrule="60001" seq="0" initf="eth2" outitf="eth2" dstmac="00:b0:c2:02:e3:c7" srcmac="00:00:00:00:00:00" srcip="194.72.0.98" dstip="86.141.71.223" proto="17" length="101" tos="0x00" prec="0x00" ttl="53" srcport="53" dstport="3072"




DNS log

2009:04:29-22:59:18 Astaro named[3528]: FORMERR resolving 'resolver.nobgp.glb.ctmail.com/AAAA/IN': 65.74.168.212#53
2009:04:29-22:59:18 Astaro named[3528]: FORMERR resolving 'resolver.nobgp.glb.ctmail.com/AAAA/IN': 216.163.188.42#53
2009:04:29-22:59:18 Astaro named[3528]: too many timeouts resolving 'resolver.nobgp.glb.ctmail.com/AAAA' (in 'glb.ctmail.com'?): disabling EDNS
2009:04:29-22:59:19 Astaro named[3528]: too many timeouts resolving 'resolver.nobgp.glb.ctmail.com/AAAA' (in 'glb.ctmail.com'?): disabling EDNS
2009:04:29-22:59:21 Astaro named[3528]: too many timeouts resolving 'resolver.nobgp.glb.ctmail.com/AAAA' (in 'glb.ctmail.com'?): disabling EDNS
2009:04:29-22:59:23 Astaro named[3528]: too many timeouts resolving 'resolver.nobgp.glb.ctmail.com/AAAA' (in 'glb.ctmail.com'?): disabling EDNS
2009:04:29-22:59:27 Astaro named[3528]: too many timeouts resolving 'resolver.nobgp.glb.ctmail.com/AAAA' (in 'glb.ctmail.com'?): disabling EDNS
2009:04:29-22:59:35 Astaro named[3528]: too many timeouts resolving 'resolver.nobgp.glb.ctmail.com/AAAA' (in 'glb.ctmail.com'?): disabling EDNS
2009:04:29-22:59:45 Astaro named[3528]: too many timeouts resolving 'resolver.nobgp.glb.ctmail.com/AAAA' (in 'glb.ctmail.com'?): disabling EDNS
2009:04:29-23:09:22 Astaro named[3528]: received SIGHUP signal to reload zones
2009:04:29-23:09:22 Astaro named[3528]: loading configuration from '//etc/named.conf'
2009:04:29-23:09:22 Astaro named[3528]: default max-cache-size (33554432) applies
2009:04:29-23:09:22 Astaro named[3528]: default max-cache-size (33554432) applies: view _bind
2009:04:29-23:09:22 Astaro named[3528]: none:0: open: //etc/rndc.key: file not found
2009:04:29-23:09:22 Astaro named[3528]: couldn't add command channel 127.0.0.1#953: file not found
2009:04:29-23:09:22 Astaro named[3528]: reloading configuration succeeded
2009:04:29-23:09:22 Astaro named[3528]: reloading zones succeeded
2009:04:29-23:09:22 Astaro named[3528]: zone 0.0.127.in-addr.arpa/IN: loaded serial 1241042962
2009:04:29-23:09:22 Astaro named[3528]: zone localhost/IN: loaded serial 1241042962
2009:04:29-23:14:22 Astaro named[3528]: unexpected RCODE (SERVFAIL) resolving 'resolver.nobgp.glb.ctmail.com/AAAA/IN': 62.6.40.162#53
2009:04:29-23:14:23 Astaro named[3528]: unexpected RCODE (SERVFAIL) resolving 'resolver.nobgp.glb.ctmail.com/AAAA/IN': 194.72.0.98#53
2009:04:29-23:14:23 Astaro named[3528]: FORMERR resolving 'resolver.nobgp.glb.ctmail.com/AAAA/IN': 65.74.168.212#53
2009:04:29-23:14:24 Astaro named[3528]: FORMERR resolving 'resolver.nobgp.glb.ctmail.com/AAAA/IN': 216.163.188.42#53
2009:04:29-23:14:24 Astaro named[3528]: unexpected RCODE (SERVFAIL) resolving 'resolver.nobgp.glb.ctmail.com/AAAA/IN': 62.6.40.162#53
2009:04:29-23:14:25 Astaro named[3528]: unexpected RCODE (SERVFAIL) resolving 'resolver.nobgp.glb.ctmail.com/AAAA/IN': 194.72.0.98#53
2009:04:29-23:14:25 Astaro named[3528]: FORMERR resolving 'resolver.nobgp.glb.ctmail.com/AAAA/IN': 65.74.168.212#53
2009:04:29-23:14:25 Astaro named[3528]: FORMERR resolving 'resolver.nobgp.glb.ctmail.com/AAAA/IN': 216.163.188.42#53
2009:04:29-23:14:26 Astaro named[3528]: unexpected RCODE (SERVFAIL) resolving 'resolver.nobgp.glb.ctmail.com/AAAA/IN': 194.72.0.98#53
2009:04:29-23:14:27 Astaro named[3528]: unexpected RCODE (SERVFAIL) resolving 'resolver.nobgp.glb.ctmail.com/AAAA/IN': 62.6.40.162#53
2009:04:29-23:14:27 Astaro named[3528]: FORMERR resolving 'resolver.nobgp.glb.ctmail.com/AAAA/IN': 65.74.168.212#53
2009:04:29-23:14:27 Astaro named[3528]: FORMERR resolving 'resolver.nobgp.glb.ctmail.com/AAAA/IN': 216.163.188.42#53


The times below clearly indicate that there is a DNS issue:
2009:04:30-00:04:27 Astaro httpproxy[8925]: id="0001" severity="info" sys="SecureWeb" sub="http" name="http access" action="pass" method="GET" srcip="192.168.2.33" user="" statuscode="200" cached="0" profile="REF_DefaultHTTPProfile (Default Proxy)" filteraction="REF_DefaultHTTPCFFAction (Default content filter action)" size="1083" time="5527 ms" request="0xb1ab4f38" url="www.coldsteel-uk.com/.../jpeg" 
2009:04:30-00:09:39 Astaro httpproxy[8925]: id="0001" severity="info" sys="SecureWeb" sub="http" name="http access" action="pass" method="GET" srcip="192.168.2.33" user="" statuscode="200" cached="0" profile="REF_DefaultHTTPProfile (Default Proxy)" filteraction="REF_DefaultHTTPCFFAction (Default content filter action)" size="82907" time="49238 ms" request="0xb24937e8" url="www.fioredeiliberi.org/.../search.php
 

According to my understanding I should only have outgoing DNS requests for the 2 DNS servers (I don't have any pf ). Could someone let me know if that's the case?

Thanks once again for your help


This thread was automatically locked due to age.
Parents
  • 0
    Are 'DNS 1' and 'DNS 2' the same as the 'Currently-assigned forwarders'?

    What networks are on your 'Global' tab?
  • 0 in reply to BAlfson
    Private_Lan ->192.168.2.0/24 and DMZ-->172.16.1.0/24 are defined under the Global tab

    yes the DNS1 and DNS2 are the same as the "Currently-assigned forwarders"

    I can see in the DNS logs that it resolves to 
    2009:04:30-00:14:49 Astaro named[3528]: unexpected RCODE (SERVFAIL) resolving 'resolver.nobgp.glb.ctmail.com/AAAA/IN': 62.6.40.162#53

    2009:04:30-00:14:49 Astaro named[3528]: unexpected RCODE (SERVFAIL) resolving 'resolver.nobgp.glb.ctmail.com/AAAA/IN': 194.72.0.98#53

    2009:04:30-00:14:50 Astaro named[3528]: FORMERR resolving 'resolver.nobgp.glb.ctmail.com/AAAA/IN': 65.74.168.212#53

    2009:04:30-00:14:50 Astaro named[3528]: FORMERR resolving 'resolver.nobgp.glb.ctmail.com/AAAA/IN': 216.163.188.42#53


    To be honest I don't know what glbns2.ctmail.com is (65.74.168.212)
  • 0 in reply to BAlfson
    If you are only using you ISP's DNS you don't need a pf rule

    Ian is correct. Just like all the other proxies on astaro, outgoing rules are automatically created. The traffic that wingman is seeing is the blocks for replies from the external DNS servers.

    Every query that your dns server makes to the forwarders has a timeout limit. That way it is not waiting on the same server forever. So in wingman's case the astaro server made a request and opened a connection (stateful firewall) but it never got a reply within the specified timeout period. Then it closed the connection. The forwarder in the meantime replied to the query. Remember this is udp not tcp which is stateless so the forwarder doesn't know that the connection has been closed. The reply comes to the astaro box but the connection has already been terminated so it gets denied at the packet filter level. 
    Hope this makes sense.
  • 0 in reply to RFCat_vk_01
    Hi,
    I might be misunderstanding something here, but here goes anyway.

    If you are only using you ISP's DNS you don't need a pf rule. You don't need to add anything to the DNS list, just tick the box for ISP DNS.
    Point all your internal devices at the ASG internal address and you have resolution.

    Works very well.

    Ian M


    Thanks Ian

    I will try this again. (That was the initial configuration I had but I experienced slow connections)

    Ian is correct. Just like all the other proxies on astaro, outgoing rules are automatically created. The traffic that wingman is seeing is the blocks for replies from the external DNS servers.

    Every query that your dns server makes to the forwarders has a timeout limit. That way it is not waiting on the same server forever. So in wingman's case the astaro server made a request and opened a connection (stateful firewall) but it never got a reply within the specified timeout period. Then it closed the connection. The forwarder in the meantime replied to the query. Remember this is udp not tcp which is stateless so the forwarder doesn't know that the connection has been closed. The reply comes to the astaro box but the connection has already been terminated so it gets denied at the packet filter level.
    Hope this makes sense. 



    Thx Billybob it makes perfect sense. 

    Now my question is, is there a way to increase the connection tImeout period so not to get so many timeout and block connections?
  • 0 in reply to wingman
    I personally use just a couple of forwarders manually defined and don't use the box use ISP dns servers. If you choose the forwarders carefully your queries should be answered within a few miliseconds and hence no timeouts. Just ping the name server that you are planning as your forwarder and choose the closest one and then tweak the ones that answer the fastest by using "dig" command.
  • 0 in reply to Billybob
    I personally use just a couple of forwarders manually defined and don't use the box use ISP dns servers. If you choose the forwarders carefully your queries should be answered within a few miliseconds and hence no timeouts. Just ping the name server that you are planning as your forwarder and choose the closest one and then tweak the ones that answer the fastest by using "dig" command.


    I used the dig command and both dns are extremely slow

    when I use the online dig tool I get totally different times (max 10ms)

    If I don't use the ips but the hostnames, I get crazy results

    (attached txt)


    Could you please tell me how to use better DNS ?Does my router (bridge mode to connect to ASG) counts as forwarder?
  • 0 in reply to wingman
    If your router is fully bridged it isn't a forwarder.

    Have you tried using different resolvers in Astaro, such as the free ones from OpenDNS?

    Barry
  • 0 in reply to BarryG
    If your router is fully bridged it isn't a forwarder.

    Have you tried using different resolvers in Astaro, such as the free ones from OpenDNS?

    Barry

    Hi Barry 

    I am using dyndns.org (see pic attached). Should I use openDNS?

    Preferred DNS server address for Open DNS is:
    208.67.222.222  (dig query 64msec)
    Alternate DNS server address for Open DNS is:
    208.67.220.220  (dig query 47msec )
  • 0 in reply to BAlfson
    Of course it's the DNS "proxy" and of course it works like the other Astaro proxies - doh!

    Billybob, you made me realize that I could delete the external DNS servers as forwarders from my internal DNS server and replace them with the internal IP of my Astaro.  That's now so obvious that I am amazed that it's not in the Astaro user's guide.

    Because the most traffic I've seen going out was DNS, I developed a habit of putting that packet filter rule at the top.  In fact, now that it goes through the proxy, it's passed before the packet filter rules are considered.

    Thanks, Billybob - you cajuns always figure out a way to get the max out of something!

    Cheers - Bob
    PS For more on DNS, see DNS Best Practice
  • 0 in reply to wingman
    Hi Barry 

    I am using dyndns.org (see pic attached). Should I use openDNS?

    Preferred DNS server address for Open DNS is:
    208.67.222.222  (dig query 64msec)
    Alternate DNS server address for Open DNS is:
    208.67.220.220  (dig query 47msec )


    Try OpenDNS and see if it helps.

    If it doesn't help, can you re-state the problems you're having? I'm not sure I understand.

    DynDNS isn't your resolver; that's a separate feature.
    What are you using for the DNS resolvers?


    Barry
  • 0 in reply to BarryG
    The problem is that according to my DNS log it takes ages to load pages and I get too many timeouts (I removed that dns entries from the forwarders as suggested. I am only using "use forwarders assigned by ISP"). Is it possible to use different DNS as suggested by billibod?
  • 0 in reply to wingman
    Yes, you can set the forwarders manually under Networking - DNS.

    Try OpenDNS's servers.
    208.67.222.222
    208.67.220.220

    Barry
Reply Children
  • 0 in reply to BarryG
    Wingman, I removed the forwarders from my Windows-Server-based DNS Server inside my network, not from the Astaro itself; the forwarders are still in the Astaro.  If you tick the 'Use forwarders assigned by ISP' box, but the Astaro doesn't list those forwarders, you should add them, and/or the OpenDNS servers, manually.

    I've never used the OpenDNS servers, but I might try playing with them based on Barry's enthusiasm for them.

    Cheers - Bob
  • 0 in reply to BAlfson
    For anyone who doesn't like OpenDNS' 'feature' of redirecting failed lookups, you can use other 'public' resolvers such as GTE/Verizon's easy to remember 4.2.2.1, 4.2.2.2, etc.

    I really like OpenDNS as you can configure it to block known Phishing sites, as well as many other categories (gambling, pron, etc.); e.g. it can (optionally) be used as a (free) internet Content Filter.
    Also, it blocks lookups for the ConFicker worm propagation sites, and it can tell you if your network has any IPs trying to hit those sites.

    Personally, I just use OpenDNS cause it's faster and more reliable than my old ISP's DNS, and the phishing protection is a nice bonus.

    Barry