Potrzebna pomoc fachowca od usług sieciowych (DNS)

[Goral64]

Mam taki problem, który nie daje mi spokoju.
Mam własny serwer supla cloud a moim dostawca jest Orange (neostrada). Korzystam z FunBoksa 2. Mam wykupioną domenę publiczną, żeby można było spoza domu połączyć się z serwerem. Oczywiście w takim układzie jest ona aktualizowana jako DynHost. W sieci mam uruchomiony własny lokalny serwer DNS, który tłumaczy tę domenę na adresy w sieci LAN, tak aby urządzenia mobilne mogły mieć dostęp do serwerów z LAN jak i z Internetu.
No i wszystko pięknie ładnie działa, na urządzeniach mobilnych (Android) i na wszystkich linuksach. A na maszynach z Windowsami nie
Klienty DNS Windowsów wygrzebują jakoś adresy zewnętrzne, serwowane przez serwer DNS w Internecie a nie ten w LAN, mimo że mają ustawiony serwer w LAN.
Ktoś wie co może być przyczyną? Próbowałem coś przez pół dnia wygooglać, ale nic co by mi pomogło.
Wiem, że spokojnie na tych maszynach stacjonarnych mogę sobie wpisać na stałe powiązanie hostów z adresami IP w pliku hosts, ale niesmak pozostaje...

[lesny8]

Jakie masz te Windowsy i na jakich maszynach(laptop,stacjonarny)? Ile interfejsów sieciowych mają(eth, wifi, lte)?
Jak ustawione są karty sieciowe? Pobierają adresy z DHCP?
Gdzie jest uruchomiony DHCP? Czy w sieci jest tylko jeden DHCP i rozdaje adresy z Twoim DNS?
Jak wygląda topologia Twojej sieci (rodzaj sprzętu, sposób połączenia i adresacja)?

Sprawdź Czy na pewno masz na interfejsach sieciowych w windowsach wskazany odpowiedni tylko Twój serwer DNS. Mogą być doklejane jako alternatywne DNSy, te od operatora (kiedyś miałem taki przypadek).
start -> uruchom -> cmd

Code: Select all

ipconfig /all

Jeśli na Windows masz odpowiedź dla pinga z adresem zewnętrznym zrób

Code: Select all

ipconfig /flushdns

i puść ping ponownie zobacz co się wtedy stanie, czy odpowie adres wewnętrzny.

Czy komputery z windows miały/mają dostęp do innych sieci, zabierasz je np. do pracy?

[Goral64]

Jakie masz te Windowsy i na jakich maszynach(laptop,stacjonarny)?

Windows 10 Pro i Windows XP, stacjonarne

Ile interfejsów sieciowych mają(eth, wifi, lte)?

Tylko połączenie kablem

Jak ustawione są karty sieciowe? Pobierają adresy z DHCP?

Karty ustawione sa na statyczny adres IP, z bramą na Funboksie i DNS wewnętrzny

Gdzie jest uruchomiony DHCP? Czy w sieci jest tylko jeden DHCP i rozdaje adresy z Twoim DNS?

DHCP jest uruchomiony na osobnej maszynie, w Funboksie jest wyłączony.

Jak wygląda topologia Twojej sieci (rodzaj sprzętu, sposób połączenia i adresacja)?

Punktem głównym jest Funbox2 z neostradą. Do tego jest podłączony serwer, który serwuje DHCP, DNS i nginx służący za reverse proxy. Część urządzeń podpięta po kablu, część po WiFi.

Sprawdź Czy na pewno masz na interfejsach sieciowych w windowsach wskazany odpowiedni tylko Twój serwer DNS. Mogą być doklejane jako alternatywne DNSy, te od operatora (kiedyś miałem taki przypadek).

Mam tylko adres serwera w sieci LAN. W windowsach nslookup odpytuje ten serwer w LAN i dostaje adres zewnętrzny! Ale jako Non-authoritative answer. Linuksy i Androidy dostają natomiast prawidłowy adres w LAN .

Jeśli na Windows masz odpowiedź dla pinga z adresem zewnętrznym zrób

Code: Select all

ipconfig /flushdns

i puść ping ponownie zobacz co się wtedy stanie, czy odpowie adres wewnętrzny.

Pinguje zewnętrzny. On dostaje adres zewnętrzny z wewnętrznego DNS! Coś jest chyba nie tak z ustawieniami tego wewnętrznego DNS-u.

Czy komputery z windows miały/mają dostęp do innych sieci, zabierasz je np. do pracy?

Nie, dlatego mogę wykorzystać spokojnie plik hosts, ale jak już pisałem, niesmak z niewyjaśnionej sprawy pozostaje...
Tak wygląda nslookup na windowsach:

Code: Select all

>nslookup supla.moja.domena
Server:  services.moja.domena
Address:  172.16.144.10

Non-authoritative answer:
Name:    supla.moja.domena
Address:  83.78.42.15

a tak na linuksach:

Code: Select all

$ nslookup supla.moja.domena
Server:         172.16.144.10
Address:        172.16.144.10#53

Name:   supla.moja.domena
Address: 172.16.144.2

Adresy domenowe i zewnętrzne zostały zmienione.

Po analizie, istotnym moim zdaniem jest pytanie, dlaczego wewnętrzny DNS ściąga dla windowsów adres zewnętrzny a dla linuksów i Androidów podaje ten, którym sam zarządza? Wewnętrzny DNS stoi na bind9.

[pzygmunt]

Wyłącz w usługach Klienta DNS. Bez niego będzie resolver działał ale bez cache-u. Sprawdź czy to pomogło.

[lesny8]

To może być faktycznie problem z ustawieniami binda.
Swego czasu robiliśmy z kolegą @PuteR serwer DNS na bind działający w dockerze z nakładką webmin do prostego zarządzania.
U siebie miałem to rozwiązanie przez kilkanaście tygodni, ale go nie potrzebowałem bo mam Mikrotika na którym wystarczy zrobić kilka wpisów, żeby wszystko działało jak należy. @PuteR do tej pory używa tego rozwiązania, też ma funboxa i nie ma problemu z połączeniem z Windowsów, bynajmniej nic mi o tym nie wiadomo.
Od tamtej pory uruchamiałem to jeszcze u jednego kolegi, ale poszedł za ciosem i zmienił router na MT

[Goral64]

Wyłącz w usługach Klienta DNS. Bez niego będzie resolver działał ale bez cache-u. Sprawdź czy to pomogło.

Niestety, nie da się wyłączyć usługi, nawet jako Administrator

To może być faktycznie problem z ustawieniami binda.
Swego czasu robiliśmy z kolegą @PuteR serwer DNS na bind działający w dockerze z nakładką webmin do prostego zarządzania.
U siebie miałem to rozwiązanie przez kilkanaście tygodni, ale go nie potrzebowałem bo mam Mikrotika na którym wystarczy zrobić kilka wpisów, żeby wszystko działało jak należy. @PuteR do tej pory używa tego rozwiązania, też ma funboxa i nie ma problemu z połączeniem z Windowsów, bynajmniej nic mi o tym nie wiadomo.

Może pójdę tym tropem, ale właśnie mam już swój obraz i kontener, niestety mam tam x86, bo to nieużywany netbook Acer One
Gdyby ktoś miał udostępnić samą konfigurację binda dla tego rozwiązania, może by mi pomogła.

Od tamtej pory uruchamiałem to jeszcze u jednego kolegi, ale poszedł za ciosem i zmienił router na MT

No fakt, Funbox już mnie irytuje swoją niemożnością, tak więc chyba czeka mnie Mikrotik docelowo, bo z TV nie korzystam. Neofonu sprzętowego praktycznie też nie.

[pzygmunt]

https://wintechlab.com/enable-disable-d ... t-service/

Jest ot brutalna/nieładna metoda. Traktuj to jako eksperyment. Na firewallu możesz też zablokować dopytywanie zewnętrznych DNS dla lokalnych hostów. Możesz też spróbować uruchomić lokalnie dns na jakimś kontenerze jak już wyżej Ci sugerowano.

[lesny8]

...
Gdyby ktoś miał udostępnić samą konfigurację binda dla tego rozwiązania, może by mi pomogła.
...

W tamtym podlinkowanym temacie jest plik steps.zip ze screenami do pobrania. Zobaczysz co tam wtedy naklikałem żeby to działało

[Goral64]

Możesz też spróbować uruchomić lokalnie dns na jakimś kontenerze jak już wyżej Ci sugerowano.

No ale ja właśnie mam zainstalowany i uruchomiony w kontenerze serwer DNS A oprócz tego w drugim kontenerze serwer DHCP a w kolejnym serwer nginx, który robi za reverse proxy.

[Goral64]

https://wintechlab.com/enable-disable-d ... t-service/
Jest ot brutalna/nieładna metoda. Traktuj to jako eksperyment.

Niestety, przy wyłączonym kliencie DNS nic się nie zmienia.

Code: Select all

>nslookup -debug supla.moja.domena
------------
Got answer:
    HEADER:
        opcode = QUERY, id = 1, rcode = NOERROR
        header flags:  response, auth. answer, want recursion
        questions = 1,  answers = 1,  authority records = 0,  additional = 0

    QUESTIONS:
        10.144.16.172.in-addr.arpa, type = PTR, class = IN
    ANSWERS:
    ->  10.144.16.172.in-addr.arpa
        name = ns.moja.domena
        ttl = 86400 (1 day)

------------
Server:  ns.moja.domena
Address:  172.16.144.10

------------
Got answer:
    HEADER:
        opcode = QUERY, id = 2, rcode = NOERROR
        header flags:  response, want recursion, recursion avail.
        questions = 1,  answers = 1,  authority records = 0,  additional = 0

    QUESTIONS:
        supla.moja.domena, type = A, class = IN
    ANSWERS:
    ->  supla.moja.domena
        internet address = 83.14.142.118
        ttl = 1 (1 sec)

------------
Non-authoritative answer:
------------
Got answer:
    HEADER:
        opcode = QUERY, id = 3, rcode = NOERROR
        header flags:  response, auth. answer, want recursion
        questions = 1,  answers = 0,  authority records = 1,  additional = 0

    QUESTIONS:
        supla.moja.domena, type = AAAA, class = IN
    AUTHORITY RECORDS:
    ->  goral.me
        ttl = 86400 (1 day)
        primary name server = moja.domena
        responsible mail addr = root.moja.domena
        serial  = 8
        refresh = 86400 (1 day)
        retry   = 3600 (1 hour)
        expire  = 3600000 (41 days 16 hours)
        default TTL = 86400 (1 day)

------------
Name:    supla.moja.domena
Address:  83.14.142.118

Czyli głównym podejrzanym nadal wydaje się bind na 172.16.144.10...
Cały czas nie wiem dlaczego inaczej traktuje zapytania windowsowe?