Nedostupne subdomeny ISP pres Turris

Milí majitelé routerů Turris,

toto fórum bylo 9. 12. 2016 zmrazeno a nahrazeno naším novým Turris fórem. Ještě chvíli bude dostupné k prohlížení, ale již zde není možné přispívat. Více informací naleznete v oznámení o uzavření fóra.

Dear Turris routers users,

this forum has been frozen on Dec 9th, 2016 and replaced by our new Turris forum. It will be read-only accessible for some time after. For more information, read the announcement about closing the forum.

Od michal-kozak

Dne 2014-12-29 14:34

Dobry den.
Narazil jsem na zajimavy problem a popravde nevim, co s nim.

Muj ISP je elreko.cz a mam problem, ze pres turris se nedostanu na jeho subdomeny, napr. tv.elreko.cz, nebo klient.elreko.cz
Kdyz pristupuji naprimo (vypojenim turris), tak subdomeny jsou normalne dostupne, ale pres turris ne.

nslookup normalne funguje

 nslookup tv.elreko.cz
Server:    127.0.0.1
Address 1: 127.0.0.1 localhost

Name:      tv.elreko.cz
Address 1: 86.49.159.13 ip-86-49-159-13.elreko.cz

i ping

 ping tv.elreko.cz
PING tv.elreko.cz (86.49.159.13): 56 data bytes
64 bytes from 86.49.159.13: seq=0 ttl=62 time=2.471 ms
64 bytes from 86.49.159.13: seq=1 ttl=62 time=1.235 ms

ale wget uz ne:

 wget http://tv.elreko.cz
Connecting to tv.elreko.cz (86.49.159.13:80)
wget: can't connect to remote host (86.49.159.13): Connection refused

Od ISP jsem dostal i interni IP jejich serveru a tam uz wget projde:

 wget http://10.30.1.2
Connecting to 10.30.1.2 (10.30.1.2:80)
index.html           100% |*******************************|  3798   0:00:00 ETA

Napada nekoho, kde by mohl byt zakopany pes?

Od Ondřej Caletka (>>>)

Dne 2014-12-30 10:52 Hlasů 1

Pokud jste od ISP dostal privátní IPv4 adresu daného serveru, ačkoli celý svět včetně vás vidí veřejnou IPv4 adresu, něco je u ISP špatně. Odhaduji, že ISP provozuje něco, čemu se říká split-brain DNS, tedy jeho DNS servery vrací jiné odpovědi do vnitřní sítě než do zbytku světa. Což je obecně nevhodná praktika a v kombinaci s DNSSECem vyloženě nebezpečná. Asi s tím ale nic nezmůžete, takže si pojďme ukázat jak to obejít:

Vytvořte nový konfigurační soubor, třeba /etc/unbound/elreko.conf s takovýmto obsahem:


server:
  domain-insecure: "elreko.cz"
  private-domain:  "elreko.cz"

forward-zone:
  name: "elreko.cz"
  forward-addr: <adresa DNS serveru vašeho ISP>

Následně zavolejte tyto příkazy:


# uci add_list unbound.includes.include_path=/etc/unbound/elreko.conf
# uci commit
# /etc/init.d/unbound restart

Nyní by se měly všechny požadavky mířící do domény elreko.cz předávat na server vašeho ISP a přijaté odpovědi by měly být postoupeny dále bez validace.

Od michal-kozak

Dne 2014-12-30 11:11

Omlouvam se, asi jsem se nepresne vyjadril. Interni IP jsem dostal po komunikaci s podporou od ISP. DNS mi normalne vraci verejnou IP (viz vystup vyse z terminalu routeru).

Kazdopadne uvedeny postup jsem zkusil a funguje to.

Dekuji moc za radu!