AAAA aramaları nasıl devre dışı bırakılır?

... kontrolümüz dışındaki kırık DNS sunucularını telafi etmek için.

Sorunumuz: Sensör verilerini toplayan yerleşik cihazları, çoğunlukla IPv4'e özgü çeşitli sitelerde kullanıyoruz. Bazı siteler, hatalı yapılandırılmış veya başka türlü AAAA sorgularını tamamen görmezden gelen veya bunlara bozuk yanıtlarla cevap veren DNS önbellekleri ve / veya güvenlik duvarları gibi zayıf bakım ağlarına sahiptir (örneğin hatalı kaynak IP!). Tesisler departmanına harici bir tedarikçi olarak, (bazen isteksiz) BT departmanları üzerinde hiçbir etkimiz yoktur. DNS sunucularını / güvenlik duvarlarını yakın zamanda tamir etme şansları çok azdır.

Cihazımızdaki etki, her gethostbyname () işlevinde, AAAA'nın zaman aşımına uğraması için bazı süreçlerin tamamen bağlantı kurma girişimlerini zaman aşımına uğratması için süreçlerin beklemesi gerektiğidir.

Çözümler arıyorum ...

• geniş sistem. Düzinelerce uygulamayı tek tek yeniden yapılandıramıyorum
• kalıcı değildir ve yapılandırılabilir. IPv6'yı nerede / ne zaman sabitlenir / çıkarılırsa (yeniden) etkinleştirmemiz gerekir. Yeniden başlatma tamam.
• Bir çözümün değiştirilmesi için glibc gibi bir çekirdek kitaplık gerekiyorsa, yeni kitaplık paketi iyi bilinen bir depodan (örneğin Debian Testing, Ubuntu universe, EPEL) temin edilebilir olmalıdır. Kendi kendini inşa etmek, nereden başlayacağımı bile bilmediğim birçok nedenden ötürü bir seçenek değildir, bu yüzden onları hiç listelemiyorum ...

En belirgin çözüm, çözücü kütüphanesini örneğin / etc / { resolv , nsswitch , gai } .conf aracılığıyla AAAA kayıtlarını sorgulamayacak şekilde yapılandırmak olacaktır . Bir resolv.conf seçeneği no-inet6önerildiği gibi burada olacağını tam olarak ben ne arıyorum. Ne yazık ki uygulanmadı, en azından bizim sistemimizde değil (libian-6-2.13-38 + Debian 7'deki deb7u4; libc6-2.19-0ubuntu6.3 - Ubuntu 14.04)

Nasıl o zaman? Biri SF ve başka yerlerde önerilen aşağıdaki yöntemleri bulur, ancak bunların hiçbiri işe yaramaz:

• /Etc/modprobe.d/ içinde IPv6 LKM kara listeye alarak, tamamen örneğin IPv6 devre dışı bırakılması veya sysctl -w net.ipv6.conf.all.disable_ipv6=1. ( Merak etme: Çözücü neden IPv6'nın devre dışı bırakıldığı AAAA'yı istiyor? )
• /Etc/resolv.conf options inet6dosyasından kaldırılıyor . İlk etapta yoktu, inet6bugünlerde varsayılan olarak etkindir.
• options single-request/Etc/resolv.conf dosyasında ayarlama . Bu, yalnızca A ve AAAA sorgularının paralel değil sırayla yapılmasını sağlar
• Değişen precedence/etc/gai.conf hedefine içinde. Bu, DNS sorgularını etkilemez, yalnızca birden fazla yanıtın nasıl işlendiğini gösterir.
• Dış çözümleyicileri kullanmak (veya bozuk DNS sunucularını çevreleyen yerel bir çözümleyici arka plan programı çalıştırmak) yardımcı olacaktır, ancak genellikle şirketin güvenlik duvarı ilkeleri tarafından engellenir. Ve iç kaynaklara erişilemez hale getirebilir.

Alternatif çirkin fikirler:

• Localhost'ta bir DNS önbelleği çalıştırın. AAAA olmayan tüm sorguları iletmek için yapılandırın, ancak NOERROR veya NXDOMAIN ile AAAA sorgularına yanıt verecek şekilde (ilgili A-sorgusunun sonucuna bağlı olarak) yapılandırın. Ancak bunu yapabilen bir DNS önbelleğinin farkında değilim.
• İc32 ile reddetmek (ya da çözümleyici libu buna nasıl tepki verir?) Ya da bunları yanıtlayan yerel bir DNS sunucusuna yönlendirmek için AAAA sorgularıyla eşleştirmek için bazı akıllı iptables u32 eşleşmesini ya da Ondrej Caletka'nın iptables DNS modülünü kullanın. boş bir NOERROR olan her şey.

SE ile ilgili benzer soruların olduğunu unutmayın. Benim sorunum, çözülmesi gereken asıl problemi ayrıntılandırdığı sürece, açıkça öne sürülen gereklilikleri listelediğinden, sıklıkla önerilmeyen çalışma dışı çözümleri kara listeye aldığından ve tek bir uygulamaya özgü olmadığı için farklıdır. Bu tartışmanın ardından sorumu yayınladım.

• IPv6 DNS Araması
• IPv6 adresim yokken AAAA kayıtları istemek nasıl devre dışı bırakılır?
• Libcurl’da AAAA aramalarını devre dışı bırak

Kullanmayı kes gethostbyname(). Onun getaddrinfo()yerine kullanıyor olmalısın ve yıllardır olmalıydı. Man sayfa bile sizi bu konuda uyarır.

Gethostbyname * (), gethostbyaddr * (), herror () ve hstrerror () işlevleri eskidir. Uygulamalar bunun yerine getaddrinfo (3), getnameinfo (3) ve gai_strerror (3) kullanmalıdır.

İşte C'de bir isim için sadece A kayıtlarını ve sadece A kayıt aramalarının ağ üzerinden geçtiğini gösteren bir Wireshark yakalamasını gösteren hızlı bir örnek program .

Özellikle, sete ihtiyaç ai_familyiçin AF_INETsadece yapılan bir kayıt aramalarını istiyorum. Bu örnek program yalnızca döndürülen IP adreslerini yazdırır. getaddrinfo()Giden bağlantıların nasıl yapıldığına dair daha ayrıntılı bir örnek için kılavuz sayfasına bakın .

In Wireshark yakalama , 172.25.50.3 yerel DNS çözümleyici olduğu; yakalama orada yapıldı, bu yüzden onun giden sorgularını ve yanıtlarını da görüyorsunuz. O Not sadece bir A kaydı talep edildi. AAAA araması hiç yapılmadı.

#include <sys/types.h>
#include <sys/socket.h>
#include <string.h>
#include <stdlib.h>
#include <netdb.h>
#include <stdio.h>

int main(void) {
    struct addrinfo hints;
    struct addrinfo *result, *rp;
    int s;
    char host[256];

    memset(&hints, 0, sizeof(struct addrinfo));
    hints.ai_family = AF_INET;
    hints.ai_socktype = SOCK_STREAM;
    hints.ai_protocol = 0;

    s = getaddrinfo("www.facebook.com", NULL, &hints, &result);
    if (s != 0) {
        fprintf(stderr, "getaddrinfo: %s\n", gai_strerror(s));
        exit(EXIT_FAILURE);
    }

    for (rp = result; rp != NULL; rp = rp->ai_next) {
        getnameinfo(rp->ai_addr, rp->ai_addrlen, host, sizeof(host), NULL, 0, NI_NUMERICHOST);
        printf("%s\n", host);
    }
    freeaddrinfo(result);
}

Şüphe durumunda, kaynak koduna geçin! Öyleyse görelim ... gethostbyname () ilginç görünüyor; Bu, tam olarak ne gördüğümüzü açıklar: önce IPv6'yı deneyin, sonra istediğiniz bir yanıt alamazsanız IPv4'e geri dönün. Bu RES_USE_INET6bayrak ne ? Geri izleme, res_setoptions () ' dan geliyor . Burası resolv.confokunduğu yer.

Ve .... bu benim fikrim dışı. İçinde RES_USE_INET6değilse, nasıl ayarlandığını tamamen belirsizim resolv.conf.

BIND'yi yerel bir çözücü olarak kullanabilirsiniz, AAAA'yı filtrelemek için bir seçeneği vardır:

https://kb.isc.org/article/AA-00576/0/Filter-AAAA-option-in-BIND-9-.html

PDNS-recursor ayarını yapmayı denediniz, /etc/resolv.conf'nize yerleştirip "AAAA" aramalarını reddetmeyi denediniz mi? Gibi bir şey kullanarakquery-local-address6=