Вопросы, связанные с работой DNS-маршрутизации (DNS routing)

[qmxocynjca]

В роутере (fw 5.0.0) прописан DNS от провайдера (обычный) и от Яндекса (DoT), в списке DNS маршрутизации прописан youtube.com.

Проблема: www.youtube.com не смог зароутиться куда надо. После неудачного роутинга несколько раз делал "nslookup www.youtube.com 192.168.1.1", но результата не дало - роутер упорно вёл по провайдеру.

Пробовал включить dns-proxy debug, после чего роутер почти завис секунд через 30, смог выключить эту настройку только через telnet. Кажется после этого роутинг таки заработал, но легче от этого не стало.

Наблюдения:

* провайдерные DNS возвращают 173.194.221.198 от primary и 64.233.162.198 от secondary на nslookup www.youtube.com.

* nslookup на www.youtube.com возвращает "Tracing route to wide-youtube.l.google.com", а на youtube.com возвращает "Tracing route to youtube.com".

* nslookup www.youtube.com 77.88.8.8 (обычный dns от яндекса) возвращает разные адреса на каждый запрос.

Вот как это примерно выглядит:

C:\Users\user>tracert -d -w 50 www.youtube.com

Tracing route to wide-youtube.l.google.com [173.194.220.198]
over a maximum of 30 hops:

  1    <1 ms    <1 ms    <1 ms  192.168.1.1
  2     1 ms     1 ms     1 ms  <isp_gw>
^C
C:\Users\user>nslookup www.youtube.com 192.168.1.1
Server:  UnKnown
Address:  192.168.1.1

Non-authoritative answer:
Name:    wide-youtube.l.google.com
Addresses:  2a00:1450:4010:c1e::c6
          142.251.1.198
Aliases:  www.youtube.com
          youtube-ui.l.google.com


C:\Users\user>tracert -d -w 50 www.youtube.com

Tracing route to wide-youtube.l.google.com [142.251.1.198]
over a maximum of 30 hops:

  1    <1 ms    <1 ms    <1 ms  192.168.1.1
  2     1 ms     1 ms    <1 ms  <isp_gw>
^C
  
C:\Users\user>tracert -d -w 50 youtube.com

Tracing route to youtube.com [173.194.221.91]
over a maximum of 30 hops:

  1    <1 ms    <1 ms    <1 ms  192.168.88.88
  2    91 ms    89 ms     *     <kvn_gw>
  

 

 

[uhf]

16 minutes ago, Racer X said:

В том-то и дело, что НЕ работает.

На 5.1.0? Судя по release notes, эту "фичу" тогда добавили

[VVS]

2 минуты назад, uhf сказал:

На 5.1.0? Судя по release notes, эту "фичу" тогда добавили

Установленная версия 5.1.1

[Racer X]

9 минут назад, uhf сказал:

На 5.1.0?

На 5.1.1

[Denis P]

58 минут назад, Racer X сказал:

Веб интерфейс тоже не пропускает такую запись.
Вот интересно, почему поддержка советует то, что невозможно использовать?
 

предположу, они допустили опечатку и имелся в виду x.com без точки в начале 

[VVS]

3 минуты назад, Denis P сказал:

предположу, они допустили опечатку и имелся в виду x.com без точки в начале 

Тогда возвращаемся к началу:

Как задать, чтобы маршрутизация распространялась на x.com, но не распространялась на *x.com (вопрос не к Вам)?

[Racer X]

40 минут назад, Denis P сказал:

предположу, они допустили опечатку и имелся в виду x.com без точки в начале 

Почти уверен что нет. Потому что это был ответ на жалобу, что x.com без точки в начале отравляет в тоннель все окачивающееся на x.com.

[Racer X]

41 минуту назад, VVS сказал:

Как задать, чтобы маршрутизация распространялась на x.com, но не распространялась на *x.com (вопрос не к Вам)?

Я так понимаю, что в текущем варианте разработчики предлагаю только вручную через CLI прописывать исключения для каждого домена т.к. считают такой вариант работы логичным и понятным...

[VVS]

14 минут назад, Racer X сказал:

Я так понимаю, что в текущем варианте разработчики предлагаю только вручную через CLI прописывать исключения для каждого домена т.к. считают такой вариант работы логичным и понятным...

Надеюсь, что это не так, ибо, в противном случае, проще использовать стороннее решение.

[hlnw]

8 часов назад, Nkllganov53 сказал:

 

Это ожидаемое поведение.
Используйте .x.com в списке, либо добавьте yandex в исключения через CLI команды

На уточняющий вопрос будет ли это исправлено в 5.1 ответ:

Это поведение ожидаемое и меняться не будет.

Жалко, что с нами  нет @Le ecureuil

Лучше все-таки указывать exclude правило для нужных доменов, которые необходимо исключать для группы в CLI:

object-group fqdn domain-list0 exclude yandex.com
system configuration save

 

[Nkllganov53]

10 часов назад, Leshiyart сказал:

ага, и еще миллион подобных оканчиваюшихся на *x. супер логика

По поводу hlnw "Лучше все-таки указывать exclude правило для нужных доменов, которые необходимо исключать для группы в CLI"

Изменено 14 июля пользователем Nkllganov53

[Nkllganov53]

3 часа назад, Alex Izo сказал:

Что все так привязались к этому yandex.com?

Это символ проблемы. И дело не yandex.com, а в контроле что куда отправляется. И по-моему проще исправить, а не предлагать какие-то костыли

[cheburashkaDDNS]

В 14.07.2026 в 19:38, hlnw сказал:

Лучше все-таки указывать exclude правило для нужных доменов, которые необходимо исключать для группы в CLI:

object-group fqdn domain-list0 exclude yandex.com
system configuration save

 

                    "excluded-ipv4": [],
                    "excluded-ipv6": [],
                    "excluded-fqdns": [
                        {
                            "address": "yandex.com"
                        }
                    ],

Спойлер

tracert yandex.com

Трассировка маршрута к yandex.com [77.88.44.55]
с максимальным числом прыжков 30:

  1    <1 мс    <1 мс    <1 мс  192.168.1.1
   2     1 ms     1 ms     1 ms  100.64.0.1
^C

tracert appmetrica.yandex.com

Трассировка маршрута к appmetrica.yandex.com [93.158.134.167]
с максимальным числом прыжков 30:

  1    <1 мс    <1 мс    <1 мс  192.168.1.1
  2    45 ms    44 ms    44 ms  10.8.0.1
^C

tracert mc.yandex.com

Трассировка маршрута к mc.yandex.ru [87.250.250.119]
с максимальным числом прыжков 30:

  1    <1 мс    <1 мс    <1 мс  192.168.1.1
  2    44 ms    44 ms    43 ms  10.8.0.1
^C

tracert direct.yandex.com

Трассировка маршрута к direct.yandex.com [87.250.250.134]
с максимальным числом прыжков 30:

  1    <1 мс    <1 мс    <1 мс  192.168.1.1
  2    44 ms    44 ms    44 ms  10.8.0.1
^C

замечательно, я так понимаю что и ко всем техническим доменам, в частности рекламным метрикам и трекерам от яндекса, которые могут быть встроены где угодно и приводить к нежелательной leakage мне теперь тоже нужно прописать вручную, ведь exclude работает только по принципу строгого текстового соответствия 🤷‍♂️

Изменено 6 часов назад пользователем cheburashkaDDNS