Причуда Goip

[murr]

Метод научного тыка в действии.

Начал чудить один из шлюзов Goip.

Народ утром приходит в офис и обнаруживает, что через один из шлюзов не поступают звонки.
По сети не виден, даже не пингуется. Визуально и на слух - находится в непрерывном цикле перезагрузки.
Т.е. горит лампа RUN, с минуту он думает, щелкает и перезагружается. И так без конца. Включение-выключение питания не помогает.

Второй шлюз рядом, на том же свиче, с той-же версией прошивки и купленный у того же продавца в одно время с первым - работает.
Сброс на заводские помогает на пару дней, потом всё по-новой.

Шлюз ночью настроен перезагружаться. Снял эту галку в настройках. Два дня и просто тупо теряет связь с сервером FreePBX, но хотя бы пингуется. Вернул ночную перезагрузку - два дня и "щелк-щелк".

Подумал "всё приплыли", наверно для "китайца" три года работы - предел.
Отправил шлюз в ремонт столичным умельцам, сертифицированным (по их словам) аж самим DblTek-ом.
Те покамлали и "ваш шлюз у нас работает, но на всякий случай мы зальем последнюю прошивку и поколотим заячьей лапкой в бубен, вы же понимаете - это Китай..., А у вас нет проблем с сетью? Китайцы говорят, что если Гоип не видит сеть, то он может вести себя таким образом".

"Нет, с сетью всё в порядке, пробовали разные дырки в свиче, меняли свич, меняли шнурок, меняли блоки питания - без толку..."

Получаем шлюз обратно, включаем - два дня и "щелк-щелк".

Шеф покупает новый аналогичный шлюз. Ставим, настраиваем, работает. Прошло несколько дней и уже новый шлюз "щелк-щелк".

Начинаю анализировать фазы луны и погоду на Марсе за истекший месяц - "что, ёбвгд, за это время поменялось???". За исключением атаки "Пети" и восстановления двух десятков машин в офисе (ну да, была XP - не от хорошей жизни..) ничего не вспоминается. Телефония этого не заметила, сервер с FreePBX живее всех живых.

Конфигурация сети вроде осталась та же, ну за исключением мелочей... На Goip единственное изменение - шлюз ранее смотрел на внутренний сервер-маршрутизатор (RRAS/VPN) и внутренний же ДНС, но на время восстановления сервера я на Гоипах прописал шлюзом роутер к провайдеру, и ДНС 8.8.8.8 (так и оставив потом). И всё.

Роутер ночью перезагружается в 2 часа ночи, Гоипы - в 4 часа. Связи с глюками вроде никакой.

Полез смотреть логи роутера. Ничего особенного вроде. За исключением того, что в ночь, когда отваливается Гоип, сразу после перезагрузки роутера в лог роутера валится под сотню-другую сообщений

Aug 6 02:08:54 10.10.1.3 dnsmasq[1660]: possible DNS-rebind attack detected: http://www.server.cn

Пинг www.server.cn возвращает 127.0.0.1 (WTF??????). Пингую это имя с ping.eu - тоже возвращает 127.0.0.1. Robtex говорит тоже самое.
Понимаю, что у локалхоста обнаружился неведомый мне новый алиас.

Получается, что после перезагрузки роутера, Гоип зачем-то пытается у него резолвить www.server.cn, роутер от 8.8.8.8 получает ответ, который принадлежит к частным адресам (127.0.0.1), видит в своих настройках запрет отдавать такой ответ гоипу, и последнего сносит крышу.

Как резолвит www.server.cn внутренний ДНС-сервер, у которого этот же роутер является шлюзом - мне неведомо, но в кэше сервера www.server.cn->127.0.0.1 есть.

Перенастроил Гоипы, снова указав шлюзом внутренний сервер маршрутизации и удаленного доступа и внутренний же сервер DNS - три недели всё работает без нареканий и сюрпризов. Как и было "до того,как".

[virus_net]

Пинг www.server.cn возвращает 127.0.0.1 (WTF??????). Пингую это имя с ping.eu - тоже возвращает 127.0.0.1. Robtex говорит тоже самое.

А что тут удивительного в резолве ? Никто никому не запретит в своей зоне прописать 127.0.0.1
Authoritative DNS сервер для домена server.cn это dns1.iidns.com. И таки ДА, имя www.server.cn резолвится как 127.0.0.1.

Код: Выделить всё

# nslookup www.server.cn dns1.iidns.com
Server:         dns1.iidns.com
Address:        218.66.171.173#53

Name:   www.server.cn
Address: 127.0.0.1

Поэтому какой бы DNS вы не спросили, откуда бы вы не пинговали, вы получите всегда один и тот же результат.
Зачем goip`у это имя - вопрос к авторам прошивки. Судя по кол-ву результатов google поиска, текст которых, с эроглифами, данное имя явно связано с разрабами

внутренний же сервер DNS

А он как резолвит это имя ? Хакнуто путем прописывания этого домена ?

[murr]

А он как резолвит это имя ? Хакнуто путем прописывания этого домена ?

В свойствах ДНС-сервера в серверах пересылки стоит
10.10.1.3 - роутер
8.8.8.8 - эт понятно

Видимо сервер, не получив ответа от роутера, шлет затем запрос напрямую на 8.8.8.8, а поскольку защиты от DNS-rebindings виндовый ДНС-сервер не умеет (а может я плохо смотрел, конечно), то он кушает ответ 127.0.0.1.

Наверно так.

Что характерно:

C:\Program Files\Far Manager>nslookup www.server.cn 10.10.1.3
╤хЁтхЁ: proxy.хххххххххххххх.local
Address: 10.10.1.3

╚ь : www.server.cn
Address: 127.0.0.1

Т.е. сейчас почему-то роутер уже может резолвить это имя (и в логи ошибок про DNS-rebindings не пишет), а вот сразу после перезагрузки - нет. На роутере сервером персылки тоже указан 8.8.8.8. Может OpenWrt на роутере через раз таки пропускает ответы локальных адресов, хз.

[murr]

Пляски с настройками локальной сети ни к чему не привели. Глухие зависания стали реже, но не пропали.
Откатил прошивки шлюзов до GS-4.01-92. Пару недель полет нормальный.