Estimados Recurro a esta lista para saber si alguien me puede guiar, existe alguna opcion en bind, para una configuracion de dns recursivo, que hace forward de las consultas a otro dns. que haga lo siguiente:
- bajar el tiempo de espera de respuesta desde el dns al cual hace
forward, para matar la query antes del tiempo de espera por defecto. (bajar el timeout)
- manejar el maximo numero de querys que puede responder el servicio de
dns.
Tuve un incidente donde la VIP de un servidor dns se colapso y no contesto mas consultas, pero a traves de otras ip's configuradas en la interfaz si respondia, esto debido a tiempos altos en la respuesta desde los resolver a los cuales hacia forwarding.
quedo atento.
Hola!
Comento entre líneas
2017-06-14 11:17 GMT-07:00 Miguel Angel Amador miguel@motd.cl:
Estimados Recurro a esta lista para saber si alguien me puede guiar, existe alguna opcion en bind, para una configuracion de dns recursivo, que hace forward de las consultas a otro dns. que haga lo siguiente:
- bajar el tiempo de espera de respuesta desde el dns al cual hace
forward, para matar la query antes del tiempo de espera por defecto. (bajar el timeout)
si tienes el forwarder específico definido dentro de un zone {}, podrías usar los max-transfer-idle-in max-transfer-time-in
Puedes revisar las opciones de la versión en específico que tengas en el BIND ARM (Doc PDF que puedes buscar en isc.org o que tal vez tengas tu mismo dentro de tu distribución / codigo fuente) ...o sino, puedes buscar como referencia las opciones más genéricas para BIND 9 acá: http://www.zytrax.com/books/dns/ch7/xfer.html#max-retry-time
- manejar el maximo numero de querys que puede responder el servicio de
dns.
Que yo sepa, esa opción no la conozco... pero puedo equivocarme. En realidad, nunca había pensado en querer limitar el número de queries en uno de mis servidores, sino que todo lo contrario :-)
Tuve un incidente donde la VIP de un servidor dns se colapso y no contesto mas consultas, pero a traves de otras ip's configuradas en la interfaz si respondia, esto debido a tiempos altos en la respuesta desde los resolver a los cuales hacia forwarding.
Acá hay algo que no entiendo muy claro... pero por qué tiene que ser un forwarding y no directamente un recursivo? Son zonas privadas?
Saludos!
Gracias Mave...
me diste la opción para investigar, y estoy buscando la opción para el max*query*client* , esto fue un problema que se me presento en una red interna, sobre un servicio de dns que es resolver hacia internet y autoritativo para zonas internas. este equipo tiene una vip (ipvip - anycast por ospf ) por donde se consulta el servicio, que es levantada sobre una interfaz que ya tiene una ip. (ipif). El problema fue que por una degradación en el firewall que presta el servicio de internet, se presento un problema a nivel de dns en que este dejo de responder. básicamente el problema fue que al aumentar latencia y no haber respuestas a las consultas hacia internet, la ip de la vip dejo de contestar consultas al servicio DNS; no asi contestar ping (el ospf no cayo), tampoco hubo un problema de capacidad, pues la maquina tiene muchos recursos, y tampoco dejo de responder consultas por la ip configurada en la interfaz (ipif). Por lo que la conclusión es que el listener que estaba en la vip llego a su máxima capacidad y por eso dejo de contestar nuevas querys. (el limite al que llego fue cerca de las 2100 querys/s), esto porque al haber problemas con las consultas enviadas a internet, y no tener respuesta, no concluía las conexión esperando la respuesta desde Internet. esto solo afecto a la vip, la otra interfaz respondía sin problemas las consultas y la maquina tenia recursos holgados . (de ahí que piense que era un parámetro que llego a su limite). Por este motivo es que me surgen las consultas... si hay parámetros para aumentar el máximo de querys y si se puede bajar el tiempo de espera para las consultas forwardeadas. como dato adicional, no contestaba el servicio, osea tampoco contestaba consultas internas, sin embargo se corto el internet y el dns contestaba las consultas internas y daba timeout para las externas. la maquina que provee el servicio de dns es una apliance de algun tipo de felino azul... asi que los parametros del bind tampoco son tan ajustables, pero tiene un bind por debajo.
Saludos,
El 14 de junio de 2017, 14:32, Mauricio Vergara Ereche mave@cero32.cl escribió:
Hola!
Comento entre líneas
2017-06-14 11:17 GMT-07:00 Miguel Angel Amador miguel@motd.cl:
Estimados Recurro a esta lista para saber si alguien me puede guiar, existe alguna opcion en bind, para una configuracion de dns recursivo, que hace forward de las consultas a otro dns. que haga lo siguiente:
- bajar el tiempo de espera de respuesta desde el dns al cual hace
forward, para matar la query antes del tiempo de espera por defecto. (bajar el timeout)
si tienes el forwarder específico definido dentro de un zone {}, podrías usar los max-transfer-idle-in max-transfer-time-in
Puedes revisar las opciones de la versión en específico que tengas en el BIND ARM (Doc PDF que puedes buscar en isc.org o que tal vez tengas tu mismo dentro de tu distribución / codigo fuente) ...o sino, puedes buscar como referencia las opciones más genéricas para BIND 9 acá: http://www.zytrax.com/books/dns/ch7/xfer.html#max-retry-time
- manejar el maximo numero de querys que puede responder el servicio de
dns.
Que yo sepa, esa opción no la conozco... pero puedo equivocarme. En realidad, nunca había pensado en querer limitar el número de queries en uno de mis servidores, sino que todo lo contrario :-)
Tuve un incidente donde la VIP de un servidor dns se colapso y no contesto mas consultas, pero a traves de otras ip's configuradas en la interfaz si respondia, esto debido a tiempos altos en la respuesta desde los resolver a los cuales hacia forwarding.
Acá hay algo que no entiendo muy claro... pero por qué tiene que ser un forwarding y no directamente un recursivo? Son zonas privadas?
Saludos!
-- Mauricio Vergara Ereche Los Angeles, CA http://mave.cero32.cl
dns-esp mailing list dns-esp@listas.nic.cl https://listas.nic.cl/mailman/listinfo/dns-esp
Miguel Un problema bastante común con dns es que los firewalls están configurados con connection tracking. Y se satura la tabla correspondiente.
2100 qps es un volunen que no debería ser problema Saludos
On Jun 14, 2017 21:29, "Miguel Angel Amador" sysadmin@motd.cl wrote:
Gracias Mave...
me diste la opción para investigar, y estoy buscando la opción para el max*query*client* , esto fue un problema que se me presento en una red interna, sobre un servicio de dns que es resolver hacia internet y autoritativo para zonas internas. este equipo tiene una vip (ipvip - anycast por ospf ) por donde se consulta el servicio, que es levantada sobre una interfaz que ya tiene una ip. (ipif). El problema fue que por una degradación en el firewall que presta el servicio de internet, se presento un problema a nivel de dns en que este dejo de responder. básicamente el problema fue que al aumentar latencia y no haber respuestas a las consultas hacia internet, la ip de la vip dejo de contestar consultas al servicio DNS; no asi contestar ping (el ospf no cayo), tampoco hubo un problema de capacidad, pues la maquina tiene muchos recursos, y tampoco dejo de responder consultas por la ip configurada en la interfaz (ipif). Por lo que la conclusión es que el listener que estaba en la vip llego a su máxima capacidad y por eso dejo de contestar nuevas querys. (el limite al que llego fue cerca de las 2100 querys/s), esto porque al haber problemas con las consultas enviadas a internet, y no tener respuesta, no concluía las conexión esperando la respuesta desde Internet. esto solo afecto a la vip, la otra interfaz respondía sin problemas las consultas y la maquina tenia recursos holgados . (de ahí que piense que era un parámetro que llego a su limite). Por este motivo es que me surgen las consultas... si hay parámetros para aumentar el máximo de querys y si se puede bajar el tiempo de espera para las consultas forwardeadas. como dato adicional, no contestaba el servicio, osea tampoco contestaba consultas internas, sin embargo se corto el internet y el dns contestaba las consultas internas y daba timeout para las externas. la maquina que provee el servicio de dns es una apliance de algun tipo de felino azul... asi que los parametros del bind tampoco son tan ajustables, pero tiene un bind por debajo.
Saludos,
El 14 de junio de 2017, 14:32, Mauricio Vergara Ereche mave@cero32.cl escribió:
Hola!
Comento entre líneas
2017-06-14 11:17 GMT-07:00 Miguel Angel Amador miguel@motd.cl:
Estimados Recurro a esta lista para saber si alguien me puede guiar, existe alguna opcion en bind, para una configuracion de dns recursivo, que hace forward de las consultas a otro dns. que haga lo siguiente:
- bajar el tiempo de espera de respuesta desde el dns al cual hace
forward, para matar la query antes del tiempo de espera por defecto. (bajar el timeout)
si tienes el forwarder específico definido dentro de un zone {}, podrías usar los max-transfer-idle-in max-transfer-time-in
Puedes revisar las opciones de la versión en específico que tengas en el BIND ARM (Doc PDF que puedes buscar en isc.org o que tal vez tengas tu mismo dentro de tu distribución / codigo fuente) ...o sino, puedes buscar como referencia las opciones más genéricas para BIND 9 acá: http://www.zytrax.com/books/dns/ch7/xfer.html#max-retry-time
- manejar el maximo numero de querys que puede responder el servicio de
dns.
Que yo sepa, esa opción no la conozco... pero puedo equivocarme. En realidad, nunca había pensado en querer limitar el número de queries en uno de mis servidores, sino que todo lo contrario :-)
Tuve un incidente donde la VIP de un servidor dns se colapso y no contesto mas consultas, pero a traves de otras ip's configuradas en la interfaz si respondia, esto debido a tiempos altos en la respuesta desde los resolver a los cuales hacia forwarding.
Acá hay algo que no entiendo muy claro... pero por qué tiene que ser un forwarding y no directamente un recursivo? Son zonas privadas?
Saludos!
-- Mauricio Vergara Ereche Los Angeles, CA http://mave.cero32.cl
dns-esp mailing list dns-esp@listas.nic.cl https://listas.nic.cl/mailman/listinfo/dns-esp
dns-esp mailing list dns-esp@listas.nic.cl https://listas.nic.cl/mailman/listinfo/dns-esp
-
Mauricio Vergara Ereche -
Miguel Angel Amador -
Miguel Angel Amador -
Nico