İletici DNS isteklerini TCP moduna zorla

Çok bağlantılı bir sunucuda SLES10 (şu anda 9.6 bağlı) üzerinde bir DNS sunucusu ayarladım. Bu sunucu tüm dahili ağlardan sorgulanabilir ve tüm dahili ağlar için cevaplar sağlar. İki ayrı DNS "ana" bölgemiz var. Bu bölgelerin her birine bir dizi yetkili Windows-DNS sunucusu hizmet vermektedir.

Şimdi linux sunucum bu bölgelerden biri (özel iç bölge) için ikincil bir DNS sunucusudur ve diğer bölge (genel iç bölge) için iletici görevi görür.

Yakın zamana kadar bu kurulum sorunsuz çalıştı. Şimdi anladım - genel iç bölgeyi sorguladıktan sonra (örneğin hostbir linux istemcideki komutla) hata mesajı

;; Kesildi, TCP modunda yeniden deneniyor

bir wireshark-dökümü bunun nedenini ortaya çıkardı: İlk sorgu UDP modunda sönüyor, cevap UDP'ye uymuyor (yetkili NS'nin uzun listesinden dolayı), daha sonra TCP modunda yeniden denenerek doğru cevabı verdi.

Şimdi soru: Bağlantımı ilk önce UDP'yi denemeden TCP modunda ileticileri sorgulayacak şekilde yapılandırabilir miyim?

Güncelleme: ASCII sanatında elimi deniyorum ...

+--------------+   +--------------+   +-----------------+
| W2K8R2 DNS   |   | SLES 10 DNS  |   | W2K8R2 DNS      |
| Zone private +---+ All internal +---+ Zone public     |
| internal 2x  |   |   Zones      |   | internal 30+ x  |
+--------------+   +-+----------+-+   +-----------------+
                     |          |
                  +--+---+   +--+---+
                  |Client|   |Client|
                  +------+   +------+

İlk olarak, buna bir hata demezdim, sadece bilgilendirici bir mesaj.

İkincisi, DNS sunucuları her zaman UDP sorgularını yanıtlar (en azından BIND, UDP'yi devre dışı bırakma seçeneklerini bulamıyorum) ve istemciler her zaman (?) Önce bir UDP sorgusu göndermeye çalışır (örneğin, çözümü değiştirmek için seçenek yoktur. veya JVM'de) - bir UDP paketine uyuyorlarsa (istekler genellikle)

Belirli bir kullanım durumunuz varsa, TCP kullanmayı seçebilirsiniz, örneğin kabuk komut dosyasında çözünürlük için 'dig + tcp' veya 'host -T' kullanın ve 'callhostent / gethostbyname / endhostent' sistem çağrılarını kullanabilirsiniz (bkz. sayfa) TCP'yi başka durumlarda zorlamak için.

Gerçekten UDP'yi denemek ve engellemek istiyorsanız, görebildiğim tek seçenek iptable kuralıdır, ancak bu kurulumun çalışacağından emin değilim. DNS çözümlemesinin başarısız olacağını umuyorum.

512 bayttan daha uzun UDP paketlerine izin vermek için BIND sunucunuz EDNS (bkz. RFC 2671) kullanıyor olmalıdır .

options {
    edns-udp-size 4096;
    max-udp-size 4096;
};

Bu, büyük NS setinizin diğer küçük sorgular için bir TCP bağlantısının ek yükünü gerektirmeden UDP üzerinden alınmasına izin vermelidir.

Ancak bunların aslında varsayılan değerler olduğunu unutmayın. EDNS kullanılmıyorsa ya bir şey engelliyor ya da EDNS seçeneklerini alan sunucular desteklemiyor.

Ayrıca, hostEDNS'yi desteklemediğini unutmayın. İletici -> sunucu sorgularınızın zaten EDNS kullanıyor olması mümkündür ve yerel istemcinizi denediğinizde bunu göremezsiniz.

dig +bufsize=4096 @server hostname AKullanmak yerine deneyin host.