Commentaires sur : Attention à la migration des DNS racines (qui arrive demain…)

Par : mollo

mollo — Fri, 29 Jan 2010 15:14:41 +0000

Je vous donne deux liens complémentaires :

Rapport de tests poussés de divers équipements

http://download.nominet.org.uk/dnssec-cpe/DNSSEC-CPE-Report.pdf

Site de test, résultats par équipement

http://www.dnssec-tester.cz/

Par : D A R T H

D A R T H — Fri, 29 Jan 2010 14:11:28 +0000

donc : je suis repassé en dns orange, c’est à dire propriété de la connexion, puis réglage de tcp/ip. A serveur DNS préféré j’ai remplacé les adresses DNS d’open DNS par celle d’orange gèrée par la livebox (inventel v1) soit : 192.168.1.1

Après avoir rebooté je tape cmd puis nslookup -q=txt rs.dns-oarc.net

et j’ai cette fois ci un message du genre :

DNS request timed out.
timeout was 2 seconds.
DNS request timed out.
timeout was 2 seconds.
*** Le délai de la requête sur dns-abo-static-a.wanadoo.fr est dépassé

par contre tout marche nickel que ce soit en dns open dns et orange…

donc au final je ne sais rien.

Par : Korben

Korben — Fri, 29 Jan 2010 13:20:03 +0000

la migration sera terminée en juillet, donc faut être patient…

Par : D A R T H

D A R T H — Fri, 29 Jan 2010 12:54:15 +0000

j’en ai parlé à beaucoup de monde et personne n’y comprend rien…

Par : Philippe

Philippe — Fri, 29 Jan 2010 07:34:47 +0000

Ca s’est bien passé alors ?

Par : Hirsu

Hirsu — Thu, 28 Jan 2010 17:56:09 +0000

En fait, si je demandais ça c’était surtout en rapport avec cette histoire de DNSSEC.
Le réglage de ces MTU (sur l’interface réseau etc… a-t-il un rapport avec les résultats qu’on obtient en testant les paquets DNS ?

Par : Hirsu

Hirsu — Thu, 28 Jan 2010 14:02:10 +0000

@Edward
Merci beaucoup pour les infos.

Par : Edward

Edward — Thu, 28 Jan 2010 12:27:44 +0000

Dans le cas d’une interface réseau Ethernet filaire/WiFi, clairement pas (par contre, la valeur par défaut, pour ces cas, n’est pas de 514 :/(1500-> Ethernet ; 1496 -> WiFi)

Sinon, pour du PPPoE/PPPoA, ça dépend de ton matos ; ce n’est plus vrai maintenant, mais, avec du matériel (beaucoup) moins récent, la valeur par défaut pouvait ne pas être la bonne (ex un modem qui gère le PPPoE et le PPPoA et qui n’avait pas par défaut la bonne valeur) ce qui créait des soucis et il fallait donc rebasculer la valeur par défaut du MTU pour le protocole utilisé pour que les choses rentrent dans l’ordre).

Bref, la réponse est « si ça marche, laisse les valeurs par défaut du protocole » mais, en cas de problème avec les valeurs et si c’est clairement ça qui pose problème, tu peux toujours tenter une manip ou deux pour voir si une modification de la valeur du MTU n’arrange pas les choses.

A titre indicatif :

- Ethernet : MTU = 1500
- WiFi : MTU = 2272
- PPPoE : MTU = 1492
- PPPoA : MTU = 1500

Par : Hirsu

Hirsu — Thu, 28 Jan 2010 11:34:44 +0000

Une question aux experts.
Est-t-il vraiment nécessaire de modifier la configuration de la taille des MTU de l’interface réseau ? (dans le cas biensûr où celle-ci est paramétrée sur 514 par exemple)
Et aussi, s’il en est, du MTU pour le PPPoE ou PPPoA ?

Par : DrWaX

DrWaX — Thu, 28 Jan 2010 10:21:20 +0000

C’est caca ça, je viens de tester sur notre réseau d’entreprise, je crois que je suis bon pour mettre à jour Bind et revoir la fragmentation des paquets du firewall.

Par : eromog

eromog — Thu, 28 Jan 2010 09:59:16 +0000

@Stéphane Bortzmeyer : donc si je comprend bien , tout ces sites down seraient dû à un problème technique de leur part et non pas de la mienne ? Bon sang même le pole emploi patine dans la choucroute… C’est la keynote d’apple qui les fait tous flancher ou quoi ?

Par : Stéphane Bortzmeyer

Stéphane Bortzmeyer — Thu, 28 Jan 2010 09:37:00 +0000

@Vlad: Mais si, car la question ne venait pas réellement de la victime, elle était mensongère donc les précautions prises par la victime ne servent pas à grand'chose.

Par : Stéphane Bortzmeyer

Stéphane Bortzmeyer — Thu, 28 Jan 2010 09:35:17 +0000

@babelkot: Normal, seul L.root-servers.net diffuse dorénavant des réponses signées. Les problèmes, s'il y en a, seront en mai, lorsque *tous* les serveurs racine auront migré. C'est pour cela qu'on prévient à l'avance !

Par : Stéphane Bortzmeyer

Stéphane Bortzmeyer — Thu, 28 Jan 2010 09:34:20 +0000

@eromog: 213.228.63.32 est un résolveur de Free. Chacun d'eux est composé de plusieurs machines, qui sont configurées différemment (pourquoi ? Mystère). D'où cette impression d'incohérence. Cela n'a évidemment rien à voir avec la migration des serveurs racine. Ce test teste votre résolveur et ne dépend en rien des serveurs racine.

Par : eromog

eromog — Thu, 28 Jan 2010 08:08:17 +0000

J’ai eu droit à une réponse négative, je sais pas si c’est moi mais j’ai plein de problèmes de connexion… laptop spirit et pcinpact sont down, je peux pas me connecter à http://ftp.fr.debian.org Ca sent mauvais cette histoire…

Edit2: la migration doit être en cours, ya 10 minutes j’avais : « 213.228.63.46 DNS reply size limit is at least 490″
« 213.228.63.46 lacks EDNS, defaults to 512″

maintenant j’ai :

« 213.228.63.32 DNS reply size limit is at least 3843″
« 213.228.63.32 sent EDNS buffer size 4096″
« Tested at 2010-01-28 08:13:05 UTC »

arf et après ça revient à 512, c’est à y perdre son latin…

Par : Hirsu

Hirsu — Thu, 28 Jan 2010 07:00:35 +0000

J’ai trouvé ça :
http://www.dslvalley.com/dossiers/mtu/mtu.php#modification (sans faire de recherche plus poussée)
Et chez moi, dans la base de registre, la valeur du MTU est à 514 !
Je vais peut-être tester ce soir, en faisant d’abord un sauvegarde de la base de registre.

Par : babelkot

babelkot — Wed, 27 Jan 2010 23:50:32 +0000

En tout cas nous sommes le 28 et malgré une réponse négative…pas de problème.

Par : D A R T H

D A R T H — Wed, 27 Jan 2010 23:04:06 +0000

est ce que c’est spécifique au routeur ou à la box, ou aussi à notre config tcp ip (j’ai des réglages tweaké avec par exemple un mtu à 1492… est ce que une mise à jour du firmware suffit ou faudra il changer de matos ?

Par : D A R T H

D A R T H — Wed, 27 Jan 2010 22:22:14 +0000

heu je n’y comprends pas grand chose…. je précise et je ne sais pas si sa sert
à quelque chose que j’ai une livebox « INVENTEL version : v5.10″… logo wanadoo
et pas orange et que j’utilise open dns

donc je tape cmd puis nslookup -q=txt rs.dns-oarc.net

et :

Serveur : resolver1.opendns.com
Address: 208.67.222.222

Réponse ne faisant pas autorité :
rs.dns-oarc.net canonical name = rst.x476.rs.dns-oarc.net
rst.x476.rs.dns-oarc.net canonical name = rst.x485.x476.rs.dns-oarc.net
rst.x485.x476.rs.dns-oarc.net canonical name = rst.x490.x485.x476.rs.dns-oarc.
net
rst.x490.x485.x476.rs.dns-oarc.net text =

« 208.69.35.15 DNS reply size limit is at least 490″
rst.x490.x485.x476.rs.dns-oarc.net text =

« 208.69.35.15 lacks EDNS, defaults to 512″
rst.x490.x485.x476.rs.dns-oarc.net text =

« Tested at 2010-01-27 22:17:55 UTC »

c’est grave docteur ? (et comme je n’ai pas trout compris je balise)

Alors ?

Par : JC

JC — Wed, 27 Jan 2010 22:05:28 +0000

Chez Orange, sur un routeur Netgear :

Serveur : dns-abo-static-a.wanadoo.fr

DNS request timed out.
timeout was 2 seconds.
DNS request timed out.
timeout was 2 seconds.
*** Le délai de la requête sur dns-abo-static-a.wanadoo.fr est dépassé

Par : Hirsu

Hirsu — Wed, 27 Jan 2010 22:00:39 +0000

Pour moi c’est pas bon non plus :s
Avec et sans mon routeur Netgear :s (direct sur la tite box noire pourrie en pppoe)
A moins qu’il faille que je modifie quelquechose dans mon Win….
OK, OK je passe bientôt à Ubuntu, mais bon…
Je suis chez Neuf et j’ai envie de passer chez Numéricable, faut dire que l’immeuble est connecté.
Quelqu’un a testé en étant chez Numéricable ?

ps : merci pour le script Nosco

Par : Nosco

Nosco — Wed, 27 Jan 2010 19:44:25 +0000

Je poste un deuxième commentaire pour corriger un petit quelque chose:
Dans mon ancien commentaire (je ne peux plus l’éditer maintenant :/) j’ai écris:

« Aussi rien ne vous empêche d’améliorer le script pour que le list.ip soit mis à jour en cas de changement, ou encore de faire une boucle pour ne pas à avoir à réexecuter le script si l’on veut rajouter plusieurs adresses en même temps, aussi plus important faire en sorte que le programme n’attende pas bêtement dans le cas ou le nom de domaine n’existe pas (ou que les requêtes DNS sont mal traitées, ce qui ici pourrait être le cas!) enfin le choix est large… Si j’ai le temps je corrigerai surtout le dernier point pour éviter que le programme ne réponde rien si l’url entrée ne peut être pinguée. »

En fait ce n’est pas tout à fait ça, pour une url non existante il met le resultat du ping (hostname not found) et ne se bloque pas. Correction donc:

Aussi rien ne vous empêche d’améliorer le script pour que le list.ip soit mis à jour en cas de changement, ou encore de faire une boucle pour ne pas à avoir à réexecuter le script si l’on veut rajouter plusieurs adresses en même temps, [CORRECTION ICI] aussi plus important faire en sorte que le programme ne continue pas comme si de rien n’était dans le cas ou le nom de domaine n’existe pas (ou que les requêtes DNS sont mal traitées, ce qui ici pourrait être le cas!) enfin le choix est large… Si j’ai le temps je corrigerai surtout le dernier point pour éviter que le programme ne renvoie « L’adresse ip est » si l’url entrée ne peut être pinguée.

Voili voilou, c’est du détail, sinon le script fonctionne à merveille .
Bonne soirée à tous.

Par : Vlad

Vlad — Wed, 27 Jan 2010 19:04:27 +0000

@Stéphane Bortzmeyer: pas si on limite justement à 512 octets, ce qui était la limite « avant ».

Par : Nosco

Nosco — Wed, 27 Jan 2010 18:31:57 +0000

Mmmh! Effectivement avec les vieux matériels ça va merdouiller :/ !

Heuresement j’ai une solution (ou plutôt j’avais envie de coder un petit script) quoi qu’il en soit l’ami Nosco est là …

Alors la solution fasse à des erreurs de DNS, c’est de ne pas utiliser les DNS mais plutôt les adresse IP! La vous allez me dire, mais c’est chian heuuuuu. Effectivement ça peut paraître lourd, mais quand vous verrez « http://korben.info » inconnu au bataillon parce que orange n’aura pas upgradé votre matériel depuis l’an 8, vous serez bien embetté!

C’est la que vient à la rescousse mon charmant script! Son fonctionnement se résume à:
1) Vous entrez l’url (ce qui nécessite que les DNS fonctionne à ce moment là hein)!
2) Le script vous renvoie l’adresse ip correspondant au site!
3) Il vous propose d’enregistrer la correspondance « url – ip » dans un fichier « list.ip » spécialement créé pour l’occasion dans le dossier depuis lequel vous executez le script.
4) Vous répondez « 1″ (oui), il enregistre. « 2″ (non), il quitte et ne sauvegarde rien.

Si vous reexecutez le script et que vous reenregistrez le résultat, il sera inscrit à la fin du fichier. Cela veut dire que vous executez autant de fois que nécessaire (selon le nombre de site dont vous voulez l’ip) et à la fin, vous aurez un beau fichier list.ip contenant vos ip chérie! Et là, plus besoin de DNS .

Bon le système à ses limites je le reconnais, par exemple vous pouvez pinguer 30 fois http://google.fr, vous n’aurez jamais la même ip qui ressortira, mais pour des sites hébergé à une seule et même adresse sur un seul et même serveur, ça roule !
Aussi rien ne vous empêche d’améliorer le script pour que le list.ip soit mis à jour en cas de changement, ou encore de faire une boucle pour ne pas à avoir à réexecuter le script si l’on veut rajouter plusieurs adresses en même temps, aussi plus important faire en sorte que le programme n’attende pas bêtement dans le cas ou le nom de domaine n’existe pas (ou que les requêtes DNS sont mal traitées, ce qui ici pourrait être le cas!) enfin le choix est large… Si j’ai le temps je corrigerai surtout le dernier point pour éviter que le programme ne réponde rien si l’url entrée ne peut être pinguée.

Voilà le script:
#!/bin/bash
echo ‘######################URL TO IP TRANSFORMER#######################’
read -p « Je veux l’ip correspondant à http:// » url
ip=$(ping -c 1 $url | grep ‘(‘ | cut -d ‘(‘ -f 2 | cut -d ‘’ -f 1 | uniq)
echo « L’ip de « $url » est « $ip
echo » »
echo « Rediriger le resultat vers le fichier list.ip ? »
read -p « -1 Oui // -2 Non. Reponse: » reponse
if [ $reponse = 1 ]
then
echo « L’ip de « $url » est « $ip >> list.ip
echo « Terminé. »
elif [ $reponse = 2 ]
then
echo « Terminé. »
else
echo « Mauvais choix. »
fi
_____

Pour les débutants je rajoute comment le rendre fonctionnel (executable):
1) On le rend executable avec:
-En ligne de commande: chmod +x nom_du_script
-Avec nautilus (ou autre): clic droit > droits > possibilité d’execution // (bon les noms peuvent varier mais vous voyez l’idée!)
2) On execute le script depuis un terminal:
./nom_du_script

Et ça démarre !

_____

Amusez vous bien et au plaisir !

Par : Doc_XP

Doc_XP — Wed, 27 Jan 2010 17:34:31 +0000

Lol…

nslookup -q=txt rs.dns-oarc.net
Serveur : dns-adsl-gpe1-a.wanadoo.fr
Address: 80.10.246.1

DNS request timed out.
timeout was 2 seconds.
*** Le délai de la requête sur dns-adsl-gpe1-a.wanadoo.fr est dépassé.

Oups… Les DNS Orange merdouillent ou c’est le pare-feu intégré à la LB ?

Par : titou

titou — Wed, 27 Jan 2010 17:12:07 +0000

Arf… je suis chez orange et j’ai encore la première livebox inventel… on m’en dis que du bien mais je donnerai pas mal pour avoir la dernière et virer cette @#~%ù…

Korben, comme toi le premier test a échoué mais le second (sur ton lien) fonctionne… On va bien voir demain…

Par : Manu1400

Manu1400 — Wed, 27 Jan 2010 16:37:34 +0000

@Korben : « DNS > 512 octet » au lieu de « DNS > 512 octets »

Par : Stéphane Bortzmeyer

Stéphane Bortzmeyer — Wed, 27 Jan 2010 16:00:04 +0000

@Vlad: Nul besoin de DNSSEC pour cela. Comme l'attaquant choisit la requête, il peut la mettre pour un domaine qu'il contrôle, avec un enregistrement TXT de 4096 octets...

Par : Stéphane Bortzmeyer

Stéphane Bortzmeyer — Wed, 27 Jan 2010 15:59:04 +0000

@mattt: Non, ça n'explique rien puisque la diffusion des réponses signées ne commence qu'à 2100 heure française. Et,d e toute façon, le déploiement sera progressif (un serveur à la fois). S'il y a des problèmes, ce sera lors du basculement du dernier serveur, en juillet.

Par : PulpVision

PulpVision — Wed, 27 Jan 2010 15:58:38 +0000

Hello tous !

Je viens d’essayer la commande sur win et voici ce que j’ai :

————————–

C:\Documents and Settings\*USER*>nslookup -q=txt rs.dns-oarc.net
Serveur : livebox.home
Address: 192.168.1.1

DNS request timed out.
timeout was 2 seconds.
*** Le délai de la requête sur livebox.home est dépassé

————————–

J’ai absolument pas les mêmes résultats… que pensez vous faire pour bien effectuer ce test avec une connec orange et une livebox ?