Маршрутизация DNS иногда не работает

[qmxocynjca]

В роутере (fw 5.0.0) прописан DNS от провайдера (обычный) и от Яндекса (DoT), в списке DNS маршрутизации прописан youtube.com.

Проблема: www.youtube.com не смог зароутиться куда надо. После неудачного роутинга несколько раз делал "nslookup www.youtube.com 192.168.1.1", но результата не дало - роутер упорно вёл по провайдеру.

Пробовал включить dns-proxy debug, после чего роутер почти завис секунд через 30, смог выключить эту настройку только через telnet. Кажется после этого роутинг таки заработал, но легче от этого не стало.

Наблюдения:

* провайдерные DNS возвращают 173.194.221.198 от primary и 64.233.162.198 от secondary на nslookup www.youtube.com.

* nslookup на www.youtube.com возвращает "Tracing route to wide-youtube.l.google.com", а на youtube.com возвращает "Tracing route to youtube.com".

* nslookup www.youtube.com 77.88.8.8 (обычный dns от яндекса) возвращает разные адреса на каждый запрос.

Вот как это примерно выглядит:

C:\Users\user>tracert -d -w 50 www.youtube.com

Tracing route to wide-youtube.l.google.com [173.194.220.198]
over a maximum of 30 hops:

  1    <1 ms    <1 ms    <1 ms  192.168.1.1
  2     1 ms     1 ms     1 ms  <isp_gw>
^C
C:\Users\user>nslookup www.youtube.com 192.168.1.1
Server:  UnKnown
Address:  192.168.1.1

Non-authoritative answer:
Name:    wide-youtube.l.google.com
Addresses:  2a00:1450:4010:c1e::c6
          142.251.1.198
Aliases:  www.youtube.com
          youtube-ui.l.google.com


C:\Users\user>tracert -d -w 50 www.youtube.com

Tracing route to wide-youtube.l.google.com [142.251.1.198]
over a maximum of 30 hops:

  1    <1 ms    <1 ms    <1 ms  192.168.1.1
  2     1 ms     1 ms    <1 ms  <isp_gw>
^C
  
C:\Users\user>tracert -d -w 50 youtube.com

Tracing route to youtube.com [173.194.221.91]
over a maximum of 30 hops:

  1    <1 ms    <1 ms    <1 ms  192.168.88.88
  2    91 ms    89 ms     *     <kvn_gw>
  

 

 

Изменено 4 ноября пользователем qmxocynjca

[FLK]

1) провайдерские или любые plain-text dns работать не будут, пока есть хотя бы 1 doh/dot

2) если вы пытаетесь смотреть трубу, вбив только youtube.com скажу сразу - это так не работает...

Изменено 5 ноября пользователем FLK

[qmxocynjca]

1 час назад, FLK сказал:

1) провайдерские или любые plain-text dns работать не будут, пока есть хотя бы 1 doh/dot

Про это не знал, спасибо.

1 час назад, FLK сказал:

2) если вы пытаетесь смотреть трубу, вбив только youtube.com скажу сразу - это так не работает...

Да, это понятно, весь список нужных доменов заполнен. Проблема воспроизвелась конкретно с этим хостом, поэтому подробности опустил.

@Le ecureuil я бы рад держать dns-proxy debug включенным, чтобы отловить это, но это не реально - резолвер перестаёт отвечать через какое-то время (минута-две) и в логи начинает слать какое-то слишком низкоуровневое месиво. Сделайте чтобы dns-proxy debug был рабочим на постоянной основе?

[Le ecureuil]

Нет, debug он для отладки. Постоянно им пользоваться нельзя.

Если в целом, то все верно - нужно использовать нормальные, "неподмененные" DNS, иначе будет ерунда.

Насчет неработы - стоит проверить на грядущей версии, там есть некоторые улучшения.

[qmxocynjca]

7 часов назад, Le ecureuil сказал:

нужно использовать нормальные, "неподмененные" DNS, иначе будет ерунда.

DoT от Яндекса - это нормальный DNS в этом случае? Не очень понимаю что есть "неподменные". Если речь про "Интернет-фильтры", то ими не пользуюсь, всё руками прописано, никакого adguard и прочего нет в цепочке.

7 часов назад, Le ecureuil сказал:

Насчет неработы - стоит проверить на грядущей версии, там есть некоторые улучшения.

Это хорошо, будем посмотреть.

7 часов назад, Le ecureuil сказал:

Нет, debug он для отладки. Постоянно им пользоваться нельзя.

Тут вам видней, конечно, но это не первый раз когда я пробовал dns-proxy debug и все разы получалась какая-то жесть, когда было ощущение что девайс придётся ресетить, ибо всё вставало колом. 

[Le ecureuil]

18 часов назад, qmxocynjca сказал:

DoT от Яндекса - это нормальный DNS в этом случае?

А сами как думаете, им нужно выполнять требования от РКН?

The answer is blowing in the wind.

[qmxocynjca]

15 минут назад, Le ecureuil сказал:

А сами как думаете, им нужно выполнять требования от РКН?

Они же не провайдер. Буду удивлен, если DoT от яндекса как-то аффектится ркн-ом, но не исключаю такого в будущем. Сейчас, по ощущениям, работает вполне адекватно.

[semipron]

Такая же фигня.

Заметил сразу по просмотру например твича, ttvnw.net добавлен в маршруты через влесс. Но показывает через раз, то в 1080р, то в 720р(1080р для России недоступен). Так же если трассировку запустить до рандомного юрла из моего списка в маршрутах, то где то идет через влесс, где то нет. Доты 8.8.8.8, 8.8.4.4, 9.9.9.9 прописаны.

[Oleg Nekrylov]

Если списков fqdn несколько списков, то на 5.0.0 работает только первый и только по проводному сегменту, по WI-FI не работает (NC-1812/KN-1012/KN-2311) 😔

[Denis P]

44 минуты назад, Oleg Nekrylov сказал:

по WI-FI не работает (NC-1812/KN-1012/KN-2311) 😔

этим клиентам точно назначена политика по умолчанию?

[Oleg Nekrylov]

5 часов назад, Denis P сказал:

этим клиентам точно назначена политика по умолчанию?

Это не клиенты - это роутеры. А других политик и нет, только Политика по умолчанию.

Работает только eesti (wireguard), остальные идут через ISP, несмотря, что явно указан туннель. Флаг Эксклюзивный маршрут влияет  только на eesti. На 5.0b2/b3 всё работало, после обновления работает только первый список

Изменено 14 часов назад пользователем Oleg Nekrylov

[Denis P]

39 минут назад, Oleg Nekrylov сказал:

Это не клиенты - это роутеры. А других политик и нет, только Политика по умолчанию.

Работает только eesti (wireguard), остальные идут через ISP, несмотря, что явно указан туннель. Флаг Эксклюзивный маршрут влияет  только на eesti. На 5.0b2/b3 всё работало, после обновления работает только первый список

Так это вы сейчас про статикроуты, а тема то про новую фичу из 5.0

[qmxocynjca]

10 часов назад, Denis P сказал:

Так это вы сейчас про статикроуты, а тема то про новую фичу из 5.0

Да не, видно же что что это списки доменов с вручную заданными именами.

Ждём новую версию прошивки, говорят там что-то должно быть поправлено.