Маршрутизация DNS иногда не работает

[qmxocynjca]

В роутере (fw 5.0.0) прописан DNS от провайдера (обычный) и от Яндекса (DoT), в списке DNS маршрутизации прописан youtube.com.

Проблема: www.youtube.com не смог зароутиться куда надо. После неудачного роутинга несколько раз делал "nslookup www.youtube.com 192.168.1.1", но результата не дало - роутер упорно вёл по провайдеру.

Пробовал включить dns-proxy debug, после чего роутер почти завис секунд через 30, смог выключить эту настройку только через telnet. Кажется после этого роутинг таки заработал, но легче от этого не стало.

Наблюдения:

* провайдерные DNS возвращают 173.194.221.198 от primary и 64.233.162.198 от secondary на nslookup www.youtube.com.

* nslookup на www.youtube.com возвращает "Tracing route to wide-youtube.l.google.com", а на youtube.com возвращает "Tracing route to youtube.com".

* nslookup www.youtube.com 77.88.8.8 (обычный dns от яндекса) возвращает разные адреса на каждый запрос.

Вот как это примерно выглядит:

C:\Users\user>tracert -d -w 50 www.youtube.com

Tracing route to wide-youtube.l.google.com [173.194.220.198]
over a maximum of 30 hops:

  1    <1 ms    <1 ms    <1 ms  192.168.1.1
  2     1 ms     1 ms     1 ms  <isp_gw>
^C
C:\Users\user>nslookup www.youtube.com 192.168.1.1
Server:  UnKnown
Address:  192.168.1.1

Non-authoritative answer:
Name:    wide-youtube.l.google.com
Addresses:  2a00:1450:4010:c1e::c6
          142.251.1.198
Aliases:  www.youtube.com
          youtube-ui.l.google.com


C:\Users\user>tracert -d -w 50 www.youtube.com

Tracing route to wide-youtube.l.google.com [142.251.1.198]
over a maximum of 30 hops:

  1    <1 ms    <1 ms    <1 ms  192.168.1.1
  2     1 ms     1 ms    <1 ms  <isp_gw>
^C
  
C:\Users\user>tracert -d -w 50 youtube.com

Tracing route to youtube.com [173.194.221.91]
over a maximum of 30 hops:

  1    <1 ms    <1 ms    <1 ms  192.168.88.88
  2    91 ms    89 ms     *     <kvn_gw>
  

 

 

Изменено 4 ноября, 2025 пользователем qmxocynjca

[cheburashkaDDNS]

10 часов назад, Racer X сказал:

Да и даже если бы был, то yandeх он ru, а не com.

это не имеет значения, оба домена резолвятся через одни IP-адреса

Спойлер

nslookup yandex.ru
╤хЁтхЁ:  UnKnown
Address:  192.168.1.1

Не заслуживающий доверия ответ:
╚ь :     yandex.ru
Addresses:  2a02:6b8:a::a
          77.88.55.88
          77.88.44.55
          5.255.255.77

nslookup yandex.com
╤хЁтхЁ:  UnKnown
Address:  192.168.1.1

Не заслуживающий доверия ответ:
╚ь :     yandex.com
Addresses:  2a02:6b8:a::a
          77.88.55.88
          77.88.44.55
          5.255.255.77

если эти адреса уже добавились в таблицу маршрутизации, то все ресурсы проксируемые через них будут идти в туннель. после перезагрузки таблица сбрасывается поэтому у вас и начинает трафик идти напрямую. для определения причины дождитесь пока трафик до yandex не начнёт заворачиваться в туннель, сохраните диагностический файл и выполните в нём поиск по 'yandex.ru' и 'yandex.com' чтобы определить к какому домену они привязались в теге <parent>.

[VVS]

5 минут назад, cheburashkaDDNS сказал:

это не имеет значения, оба домена резолвятся через одни IP-адреса

А при чём здесь IP-адреса?

[cheburashkaDDNS]

@VVS потому что все отрезолвенные IP-адреса DNS-рутинга сохраняются в системную таблицу маршрутизации до перезагрузки или истечения времени жизни записей <ttl> / <deadline>. и если в моём случае из-за суффикса x.com yandex.com пошёл в туннель, то туда направился и yandex.ru который проксируется через те же адреса. если человек категорично говорит, что для yandex.ru сопоставлений по спискам нет, то возможно на каком-то из этапов запросы могли пойти к yandex.com для которого они присутствуют

[cheburashkaDDNS]

25 минут назад, VVS сказал:

И ещё хочется уточнить:
Допустим, что на адресе 123.123.123.123 находятся несколько десятков доменов.
Вы что, утверждаете, что, если один домен из этих десятков настроен через VPN, то и все остальные десятки доменов пойдут через VPN?

да, именно так и есть

Спойлер

tracert temp-mail.org

Трассировка маршрута к temp-mail.org [8.6.112.0]
с максимальным числом прыжков 30:

  1    <1 мс    <1 мс    <1 мс  192.168.1.1
  2    45 ms    45 ms    44 ms  10.8.0.1
^C

tracert pichive.online

Трассировка маршрута к pichive.online [8.6.112.0]
с максимальным числом прыжков 30:

  1    <1 мс    <1 мс    <1 мс  192.168.1.1
  2    45 ms    45 ms    44 ms  10.8.0.1
^C

tracert missav.ws

Трассировка маршрута к missav.ws [8.6.112.0]
с максимальным числом прыжков 30:

  1    <1 мс    <1 мс    <1 мс  192.168.1.1
  2    45 ms    45 ms    45 ms  10.8.0.1
^C

tracert kfmedia.ru

Трассировка маршрута к kfmedia.ru [8.6.112.0]
с максимальным числом прыжков 30:

  1    <1 мс    <1 мс    <1 мс  192.168.1.1
  2    44 ms    44 ms    44 ms  10.8.0.1

только первый домен занесён у меня в список DNS-маршрутизации, остальные просто запарсены как размещённые на том же IP-адресе

отрезолвенный IP-адрес 8.6.112.0 добавляется в таблицу маршрутизации

поэтому, добавив один домен под Anycast CDN, необязательно прописывать остальные

но здесь есть подводные камни: всё-таки прописанный домен является регламентирующим, и если его адрес сменится на 8.6.112.6, то остальные домены, которые шли в туннель, могут поломаться. поэтому во избежание эксцессов лучше закрепить целевые ресурсы вручную.

[Racer X]

7 часов назад, VVS сказал:

Вы что, утверждаете, что, если один домен из этих десятков настроен через VPN, то и все остальные десятки доменов пойдут через VPN?

В этой реализации действительно так и есть. DNS-proxy резольвит IP домена из списка и после этого вносит именно IP в список маршрутизации и дальше маршрутизирует по IP до истечения TTL.

[avn]

9 часов назад, Racer X сказал:

В этой реализации действительно так и есть. DNS-proxy резольвит IP домена из списка и после этого вносит именно IP в список маршрутизации и дальше маршрутизирует по IP до истечения TTL.

Можно из списка исключить домен, тогда он точно в маршрутизацию не пойдет. Команда exclude.

[VVS]

11 часов назад, Racer X сказал:

В этой реализации действительно так и есть. DNS-proxy резольвит IP домена из списка и после этого вносит именно IP в список маршрутизации и дальше маршрутизирует по IP до истечения TTL.

А что будет, если я в DNS-маршрутизации укажу, что один из этих доменов должен ходить через VPN, а другой - через провайдера?

[hoaxisr]

5 минут назад, VVS сказал:

А что будет, если я в DNS-маршрутизации укажу, что один из этих доменов должен ходить через VPN, а другой - через провайдера?

Зависит от порядка правил в running-config. First match wins.

[uhf]

Потестил 5.1.0.
К сожалению, изменений не видно: роутер бомбит DNS двойными запросами, и далее сам обновляет по TTL.
Это означает, что в роутинге самостоятельный ресолвер, отдельный от mDNS, и живущий своей жизнью.
При таком подходе нормальной работы роутинга по доменам не будет. Нужна интеграция с mDNS, в список маршрутов должен добавляться только тот IP, который mDNS отдал клиенту, и никакой другой. Не нужно ничего на роутере обновлять по TTL, это клиент должен решать. Отдали клиенту IP - добавили в ipset, бессрочно. Это единственный рабочий вариант.