Problemas com DNS Mk 6.18

[gabrielest]

Prezados,
Boa tarde,

Estou tendo problemas com o cache de DNS, bem parecido com o que esta neste tópcio:

https://under-linux.org/showthread.php?t=162684

Mk 6.18, rb 2011, tudo configurado certo começa a navegar, fazer cache de DNS e tal mas chega um hora que a navegação para e a propria RB não consegue pingar pelo new terminal o google, por exemplo, pelo 8.8.8.8 vai mas quando coloca o nome ela não consegue resolver, dai limpa o cache, mas logo o problema volta.
Aos que ja passaram por isso o que fizeram??

[netuai]

ja tentou downgrade para a 5.26? ou a 6.10, para mim são as mais estaveis

[alexrock]

Uso a 6.17 (já usei a 6.15 também) e faço cache de DNS, não tive problemas (RB750).

[Fael]

6.19 Aqui e tudo na paz...

[gabrielest]

Uso a 6.17 (já usei a 6.15 também) e faço cache de DNS, não tive problemas (RB750).

Pois é, também temos uma 750 normal e uma 750Up. A 750 ta com o 4,5 a up ta com o 6.18 e também tá normal. Mas a bendita 2011 que resolveu pentelhar..... mas acho que meu amigo descobriu o que foi, mudou a configuração pra ip fixo (a chegada de link nela estava via DHCP) , dessa forma não tem mais dns dinamico e setou o mesmo manualmente com DNS de nossa preferencia, dai estabilizou....ao que parece o cache de DNS não se entende muito bem quando o link chega via DHCP, mudando pra estatico "o cavalo parou de dar coice"kkkkkkk vamos ver se foi só isso mesmo......
De qualquer forma muito obrigado a quem tentou ajudar.

[gabrielest]

Alguém usando CCR com 6.19?

Ve ai se não é parecido com meu caso....

[gabrielest]

Aqui ainda não tenho problema nenhum com cache de DNS.

Tenho um agendamento para cada 1 hora dar um "/ip dns cache flush".

Mas o cache não limpa automaticamente quando enche a memoria estipulada ou quando termina o time alive??

[Luspmais]

Amigo @gabrielest isso se resolve assim:

Em ip>dns em "Max UDP Packet Size" o seu deve estar me 2048, mude para 512 dê um Flush Cache ou reinicie seu servidor.
Abraço, boa sorte.

[Luspmais]

@gabrielest veja esse post https://under-linux.org/showthread.php?t=154135
serve pra vc também @alexrock que acha que sou fera...

[alexrock]

Amigo @Luspmais, não quis criar flames, obrigado por compartilhar esse link (mandei uma estrelinha para você).
Parece que usar acima de 512 seria somente para IPV6 ou para casos especificos (algumas consultas DNS podem retornar mais que 512 bytes, como por exemplo registros TXT que podem conter muitos dados). Se setar em 512, será fragmentado.
Isso pode ser ataque de DNS também (se ele está ativo - "allow remote requests") tem que criar uma regra que bloqueia consultas DNS vindas da Internet.
Nem sempre uma solução para um problema é universal para todos os problemas parecidos.
Peço desculpas aos amigos pelo desvio do tópico.

[Luspmais]

Tranquilo @alexrock, as vezes nossas colocações soam como arrogantes, mas sei que você não é assim, já acompanhei seus tópicos.
Abraço e boa sorte.
Vamos esperar o autor do tópico se manifestar.

[directbusiness]

Prezados, cada um arranja uma solução paliativa, pra não dizer "gambiarra", o que precisa ser feito em uma rede, é encontrar a compilação correta do sistema que gerencia sua rede, por exemplo mikrotik é ESPETACULAR, mas tem problemas de compilação como qualquer sistema que conhecemos, mas mesmo assim ele é a melhor ferramenta que conheço para gerenciamento de redes!

A versão 6.19 do mikrotik, esta horrivelmente com problemas de ROTEAMENTO, DNS é tradução de uma forma para outra, portanto precisa de um aplicativo-motor muito eficiente para conseguir traduzir com eficiência a demanda, principalmente em "dirty network", onde não existe um planejamento para evolução da rede.

Dicas:
1 Nunca use o IP de WAN da sua rede como DNS (use sempre o IP de LAN, mesmo que seja INVALIDO)

2 Nunca encha seu MK, com centenas e mais centenas de regras no firewall (use sempre regras para filtros que vale a pena, do contrario somente os buffer de memorias serão consumidos e problemas começarão aparecer)

3 Todas as redes WAN no mundo inteiro, tem um principio genérico! "receber uma porta para interconexão e gerencia-la"

4 Routerbord que fazem roteamento WAN, tem que usar versões mais estáveis (v5.26, v4.17), elas não tem aqueles botõezinhos bonitinhos, mas funcionam.

No começo desta semana, dia 22/09/2014 minha rede amanheceu com um problema no roteamento dos IPs validos dos clientes (uso PPPoE) plena segunda feira, e tudo o que eu tinha feito nos equipamentos, era "NADA"! Parece coisa de amador, mas foi isso mesmo, NADA, e não dava pra entender o por que parou de rotear os IPs. Liguei pra minha operadora, e falei com o suporte, a resposta foi "Não fizemos nenhuma alteração na nossa rede, sua rang de ip esta em nossa tabela de roteamento etc, etc... e o tempo passando e eu quase morrendo de preocupação com clientes me ligando, ai notei que minhas RBs não estavam reconhecendo os TTL dos pacotes, liguei novamente na operadora e informei o problema esta ai, teus roteadores não reconhecem os TTL da LAN da minha rede, portando não passa pra dentro da sua rede (tive que fazer um nat para minha rang valida, ve se pode isso!), mas pelo menos a internet funcionava, mas sem acesso remoto ta! Quando olhei na tabela neighbors da minha RB vi que a RB-CCR1036 da minha operadora estava com a versão 6.19, liguei imediatamente pra eles novamente e informei que eu ja tinha acessorado outros provedores com problemas depois que atualizaram a versão 6.19 do MK, e pedi para eles retornarem para a versão 6.14, que até o momento estamos usando, e assim que fizerem o downgrade, tudo voltou a funcionar perfeito.

[Fael]

CCR So aceita 6.x mais da pra achar uma versão estável dentro do contesto que você quer que ela faça, Bgp, Concentrador e etc..
To usando a 6.19 em 3 Rbs e não tenho o que reclamar, 100% aqui...
Sempre uso o Dns como Auto ou seja quem manda é o Mikrotik, fica fácil de fazer a troca de dns.
Gabriel Aqui uso 1024 Com Max Packet e 10M como tamanho máximo do dns.
E funciona bem, vou te da outra dica.
Baixe o DNSBench E o Namebench, faça o teste full demora sera de 30 Minutos.
Ele vai te apresenta o melhor dns, geralmente é o da sua operadora devido ao Ping.
Mais caso tenha falhas na resolução de nomes, ele vai te mostrar apos isso seta o dns primário de acordo com o programa, o secundário ponha o google e o terceiro o open dns, Assim você tem uma consulta rápida e com redundância.
Veja a foto do Meu Teste.

[marcelomeddeiros]

Pessoal tive um problema parecido em um cliente, porém como estava remoto e uma considerável distancia até o cliente, optei em diminuir o Max UDP Packet Size para 512k e o Cache Size também para 512k com isso diminuiu drasticamente a porcentagem de uso da CPU de 100% de uso para 5% em média.
Voltou a navegar normalmente toda a rede do cliente e os pings ficaram estabelecidos.

[Fael]

Que rb era ? estranho uma rb bater 100% por causa de um dns...
Nem uma 750...
So se ele usava ip publico e o dns do mk tava sendo atacado (ou usado) externamente.

[1929]

Tranquilo @alexrock, as vezes nossas colocações soam como arrogantes, mas sei que você não é assim, já acompanhei seus tópicos.
Abraço e boa sorte.
Vamos esperar o autor do tópico se manifestar.

Quero parabenizar os dois companheiros.
Um excelente exemplo de convivência. Todos nós estamos sujeitos a pequenos desencontros.
Mas a grandeza está em saber como contorna-los e continuar num convívio pacífico.
Com certeza esta atitude de voces vai contribuir muito para a paz no forum.

[alexrock]

Pessoal tive um problema parecido em um cliente, porém como estava remoto e uma considerável distancia até o cliente, optei em diminuir o Max UDP Packet Size para 512k e o Cache Size também para 512k com isso diminuiu drasticamente a porcentagem de uso da CPU de 100% de uso para 5% em média.
Voltou a navegar normalmente toda a rede do cliente e os pings ficaram estabelecidos.

Então, diminuir o Max UDP Packet Size para 512 bytes é uma forma de mitigar um ataque de dns conhecido como "DNS DDoS Amplification Attack". Basicamente funciona da seguinte forma: uma requisição DNS que retorna um volume grande de dados (uma entrada no DNS to tipo TXT ou SOA pode conter até 4kbytes de dados) é efetuada ininterruptamente, por várias máquinas, derrubando o DNS (jogando o processamento lá nas alturas).
Para mitigar isso, pode ser feito de duas formas: como os amigos @marcelomeddeiros e @Luspmais falaram, reduzir o tamanho máximo da requisição para 512 bytes (se for ataque de dentro ou de fora) ou desativar o acesso externo ao DNS (se for ataque de fora).
Sempre que usar o cache DNS do RouterOS é importante bloquear seu acesso de fora. Quanto aos ataques de dentro, poderia ser várias causas (vírus, concorrentes, etc).
Mais informações sobre esse ataque DNS DDos:
http://blog.cloudflare.com/deep-insi...n-ddos-attack/
http://www.watchguard.com/infocenter...rial/41649.asp

[directbusiness]

Direct, e quem usa CCR como roteador de borda? Não tem como usar outra versão senão a 6.x

Podem utilizar a versão 6.17, que possui varias correções de compilação no kernell.

[Fael]

Aqui já uso a quase um més, também no tenho nenhum problema.

[gabrielest]

É gente, o problema sumiu...parece que foi isso mesmo, Cache DNS se o link entra na rb com Cliente DHCP dá pau na 2011 tem que ser ip fixo. Porr@ vou te falar gosto paca da MK mas tem horas que da uma raiva desses bugs bobos