[Frage] DNS Auflösung lahmt

[geohei]

Hallo.

Router : FRITZ!Box Fon WLAN 7570 vDSL (FW 75.04.92)
Ja ... die Kiste ist steinalt, ich weiß. Sollte aber nicht daran liegen.

Ein Kollege von mir kam mit dieser Sache hier, wo ich leider auch überfordert bin.

root@bbb:~# ping ste.mydomain.com
ping: unknown host ste.mydomain.com
root@bbb:~# ping ste.mydomain.com
ping: unknown host ste.mydomain.com
root@bbb:~# ping ste.mydomain.com
ping: unknown host ste.mydomain.com
root@bbb:~# ping ste.mydomain.com
PING ste.mydomain.com (88.15.111.167) 56(84) bytes of data.
64 bytes from ip-88-15-111-167.dyn.mydomain.com (88.15.111.167): icmp_seq=1 ttl=62 time=46.3 ms
64 bytes from ip-88-15-111-167.dyn.mydomain.com (88.15.111.167): icmp_seq=2 ttl=62 time=42.4 ms
^C
--- ste.mydomain.com ping statistics ---
2 packets transmitted, 2 received, 0% packet loss, time 1000ms
rtt min/avg/max/mdev = 42.495/44.402/46.310/1.919 ms

(FQDNs und IPs sind verändert)

Auf 3 Geräten im LAN sind die pings auf mydomain.com sehr langsam weil die DNS Ausfösung nicht zustande kommt! Manchmal dauert es 20-30 Sekungen und mehrerer Versuche nach ping timeouts bis es dann klappt.

Die DSL Verbindung ist standard und funktioniert.

Router Reboot wurde natürlich bereits mehrfach ausgeführt.

Es scheinen nur DNS Auflösungen auf *.mydomain.com betroffen zu sein. Das ist ein privater DNS Server (PowerDNS 3.3). Alle anderen Anfragen (von anderen Anschlüssen) auf diesen DNS Server funktionieren aber einwandfrei. Nur bei diesem Kollegen besteht dieses Problem!

Woran kann das liegen?

 

[MuP]

Hast du den Hintergrund für "unknown host" untersucht ?

 

[HabNeFritzbox]

Auch andere DNS finden den Hostnamen nicht
ste.mydomain.com wurde von google-public-dns-a.google.com nicht gefunden: Non-existent domain.

C:\>ping 88.15.111.167

Ping wird ausgeführt für 88.15.111.167 mit 32 Bytes Daten:
Antwort von 88.15.111.167: Bytes=32 Zeit=257ms TTL=244
Antwort von 88.15.111.167: Bytes=32 Zeit=397ms TTL=244
Antwort von 88.15.111.167: Bytes=32 Zeit=257ms TTL=244
Antwort von 88.15.111.167: Bytes=32 Zeit=135ms TTL=244

Ping-Statistik für 88.15.111.167:
Pakete: Gesendet = 4, Empfangen = 4, Verloren = 0
(0% Verlust),
Ca. Zeitangaben in Millisek.:
Minimum = 135ms, Maximum = 397ms, Mittelwert = 261ms

Die 4 NS ns1.mydomain.com ns2... lassen sich nicht pingen, keine Antwort.

Verwende einfach andere DNS Server, die nicht Server im selben Subnetz verwenden und nicht sone hohe Latenz und Probleme haben.

Muss sich der private Beitreiber dann drum kümmern, dass der seine Server im Griff hat.

 

[PeterPawn]

An falscher Konfiguration ... z.B. der NS-Einträge ... für die Zone mydomain.com. Geht man davon aus, daß da wenigstens zwei NS konfiguriert sein müssen (welche Registry läßt Zonen ohne Secondaries zu?), kann es durchaus passieren, daß die anderen Anschlüsse eben gar nicht diesen Server befragen oder wiederum nur diesen (und der Secondary nicht funktioniert).

Die Aussage "geht" kann man jedenfalls nur für den DNS-Server an sich stellen und das heißt für die "normale Abfrage", die die Kaskade vom Provider-DNS über die Root-Server (beim ersten rekursiven Server) und den NS der Registry bis zu einem der NS für die Zone durchläuft, wenig bis gar nichts. Daher klärt man solche Probleme auch nicht mit "ping", sondern eher mit "dig" ... dort kann man dann die Parameter so einer DNS-Abfrage variieren und vor allem sieht man auch, woher die Antworten stammen und was genau sie beinhalten (bzw. ob sie überhaupt "in time" eintreffen).

 

[geohei]

Hast du den Hintergrund für "unknown host" untersucht ?

Das ist der Timeout nach etwa 10 Sekunden. Wenn ich 3x versuche klappt es. Ich vermute etwas mit der internen FB DNS Funktion (Caches, ...)?

...
ste.mydomain.com wurde von google-public-dns-a.google.com nicht gefunden: Non-existent domain.
...

FQDNs und IPs wurden verändert.
Dache das wäre offensichtlich.
Habe es dem OP hinzugefügt.
Sorry!

An falscher Konfiguration ... z.B. der NS-Einträge ... für die Zone mydomain.com. Geht man davon aus, daß da wenigstens zwei NS konfiguriert sein müssen (welche Registry läßt Zonen ohne Secondaries zu?), kann es durchaus passieren, daß die anderen Anschlüsse eben gar nicht diesen Server befragen oder wiederum nur diesen (und der Secondary nicht funktioniert).
...

Ok ... ich hole weiter aus.

dig sagt dass mydomain.com mit TTL 300 noch im Cache des DNS Servers vom Internet Provider des Kollegen liegt! Also wird nur der "ste" direkt vum PowerDNS 3.3 Server abgefragt. Alles bewegt sich also ganz unten in der DNS Kaskade. Es scheint so als ob der DNS Recursor der FB malformed packages an den DNS Server des Internet Providers übermittelt, der diese dann nicht korrekt beim PowerDNS 3.3 Server (authoritativ) abfragt.

Entweder liegt es (1.) am Recursor der FB (wie gesagt ... alte Kiste) oder aber (2.) an der Konfig des mydomain.com PowerDNS 3.3 Servers.

Wenn (1.) verstehe ich nicht warum andere Anfragen korrekt abgewickelt werden.

Wenn (2.) verstehe ich nicht warum ich von überall an ste.mydomain.com komme, ausser von ihm.

Vielleicht ist die Kombination von (1.) und (2.) die Ursache, aber wie soll ich das herausfinden?

 

[HabNeFritzbox]

Mit Fake Daten wirst wohl teils keine Hilfe bekommen, aber gut muss jeder selbst wissen.

Soll sich Serverbetreiber mit rum ärgern, da scheint es wohl Probleme zugeben. Allein bei den Latenzzeiten, würde ich da kein DNS machen.

Verwende sonst Google DNS oder https://dns.watch,...

 

[PeterPawn]

Allein bei den Latenzzeiten, würde ich da kein DNS machen.

Die Latenzen in #1 gelten für die ICMP-Replies ... da steht ja nicht, daß der DNS-Server ebenfalls auf der 88.15.111.167 läuft.

 

[geohei]

Die Latenzen in #1 gelten für die ICMP-Replies ... da steht ja nicht, daß der DNS-Server ebenfalls auf der 88.15.111.167 läuft.

Genau! Tut er auch nicht ...

Ich kann hier leider keine real Daten posten. Ich verstehe, dass da Hilfe nur sehr schwer möglich ist. Ich schaue 'mal was ich machen kann/darf ...

 

[HabNeFritzbox]

Hab doch geschrieben dass die NS gar nicht antworten auf nen ping.

Gibt wohl Server Probleme bzw. Routing.

Ist ne Sache für den Betreiber und nicht den Nutzer. Wenn Betreiber keine Ahnung hat, sollte er Server auch offline nehmen.

 

[geohei]

Hab doch geschrieben dass die NS gar nicht antworten auf nen ping.
...

Es sind fake Daten ... !!!
Habe ich mehrfach geschrieben.

Ich schaue was ich real posten kann/darf ...

 

[HabNeFritzbox]

Wenn mydomain.com auch Fake ist lass doch ganze Domains, IP und alles Weg... nutzlos und absolut nicht hilfreich.