---

Hej alle

Jeg er bange for jeg har brug for eksperternes råd til at klare dette
problem.

En af mine kunder har fået installeret en erhvervs-adsl linje fra CyberCity,
der blev leveret med en 677 router fra Cisco. Denne fungerede tilsyneladende
også fint, og efter at have opsat statiske nat routinger til deres server på
diverse porte (20, 21, 23, 25, 53, 125 osv.) var der hul igennem til post,
ftp og web-server. Det store problem omhandler dog DNS-serveren:

Internt fungerer DNS-serveren som den skal, og har gjort det i et par år nu.
Den bliver anvendt ved almindelig udadgående internet-surf mm. uden
problemer. Men hvis jeg gennem f.eks. dk-hostmasters-side prøver at slå
forskellige adresser op på DNS-serveren, svarer den altid med routerens
WAN-adresse. Jeg kan i DNS-server statistikken se, at DNS-serveren faktisk
bliver spurgt om adressen, og hvis jeg stopper DNS-serveren får jeg en
timeout ved opslag fra internettet. Derved kan jeg vel med rette konkludere,
at DNS-opslaget faktisk når serveren, men af en eller anden grund bliver
ændret på vej tilbage af enten vores router, eller en anden
netværks-komponent på vejen.

Jeg har som sagt åbnet for port 53 på både tcp og udp og mappet specifikt
fra WAN-adressen til serverens LAN-adresse (altså ikke 0.0.0.0). Jeg har
også prøvet at route al trafik til DNS-serveren for at være sikker på at
problemet ikke lå her.

Jeg har snakket med et utal af teknikkere på forskellige niveauer hos
CyberCity, og ingen har kunnet forklare problemet. De har blot kunnet
bekræfte at min router-opsætning ser korrekt ud, og at der ikke umiddelbart
er noget galt med opsætningen.

WAN-adressen er 217.157.131.101, så hvis nogle er interesserede, kan de selv
prøve at bruge den til et par opslag, og se resultatet.

Det skal tilsidst nævnes at TTL (Time To Live) samtidig bliver ændret
undervejs tilbage (bliver sat til 0).

Jeg har søgt højt og lavt på nettet og ikke mindst Ciscos hjemmeside, men
har ikke kunnet finde nogen løsning på problemet, så jeg håber at der af
nogle af jer der kan hjælpe mig.

Tak for hjælpen,

Christian Holm

PS. Damn, det har været en lang arbejdsdag

---

Hej "Christian Holm" <cho@cubitech.dk>

>Jeg har som sagt åbnet for port 53 på både tcp og udp og mappet specifikt
>fra WAN-adressen til serverens LAN-adresse (altså ikke 0.0.0.0). Jeg har
>også prøvet at route al trafik til DNS-serveren for at være sikker på at
>problemet ikke lå her.

53/tcp benyttes normalt kun til zone-transfers, ikke at det betyder
noget, men der er ingen grund til at mappe porten hvis ikke den skal
bruges.

>Jeg har søgt højt og lavt på nettet og ikke mindst Ciscos hjemmeside, men
>har ikke kunnet finde nogen løsning på problemet, så jeg håber at der af
>nogle af jer der kan hjælpe mig.

Jeg ved ikke noget om 677-serien, men jeg tænker på om det er det
rigtige produkt til opgaven. Derudover tror jeg du er nødt til at
sende noget konfiguration, for at andre skal kunne hjælpe dig.

--
Lars Kim Lund
http://www.net-faq.dk/

---

"Lars Kim Lund" <larskim@mail.com> wrote in message
news:d1mkcto8ckcedpfa1lvsi50hcnau2mgr37@news.tele.dk...
> Hej "Christian Holm" <cho@cubitech.dk>
>
> >Jeg har som sagt åbnet for port 53 på både tcp og udp og mappet specifikt
> >fra WAN-adressen til serverens LAN-adresse (altså ikke 0.0.0.0). Jeg har
> >også prøvet at route al trafik til DNS-serveren for at være sikker på at
> >problemet ikke lå her.
>
> 53/tcp benyttes normalt kun til zone-transfers, ikke at det betyder
> noget, men der er ingen grund til at mappe porten hvis ikke den skal
> bruges.

Det var jeg ikke klar over. Faktisk skal det nok nævnes at en zone-transfer
fungerer fint.

---

Lars Kim Lund <larskim@mail.com> wrote:

>53/tcp benyttes normalt kun til zone-transfers

?

Et almindeligt dns-opslag går da også over i tcp, hvis svaret bliver
for langt til udp. Men så går det måske tilbage til en anden port end
53?


--
Allan Olesen, Lunderskov
Hvorfor er det kun Nej-sigerne, der må køre 55 i byen?

---

Hej Allan Olesen <aolesen@post3.tele.dk>

>>53/tcp benyttes normalt kun til zone-transfers
>?
>
>Et almindeligt dns-opslag går da også over i tcp,

Huh? Kan du give et eksempel på et DNS-opslag der trigger TCP?!

--
Lars Kim Lund
http://www.net-faq.dk/

---

In dk.edb.netvaerk.stort Lars Kim Lund <larskim@mail.com> wrote:

> Huh? Kan du give et eksempel på et DNS-opslag der trigger TCP?!

En forespørgsel på MX for aol.com gjorde tidligere, men jeg kan se at de nu
kun har 4 hosts listet. Root serverne blev også omdøbt til at hedde
x.ROOT-SERVERS.NET, i stedet for de gamle navne, for at man kunne liste flere
servere for . og alligevel holde svaret inden for 512 bytes. (Ideen er at
hvis dit svar indeholder flere servere, hvor domæne delen af svaret er
identisk, sender du kun hostdelen + en enkelt domænedel).

DNS svar over 512 bytes giver forøvrigt problemer med Qmail - en overgang
kørte alle Qmail installationer med statisk mailroutning til aol.com

/jan

---

Hej Jan Chrillesen <chrille@isa.dknet.dk>

>> Huh? Kan du give et eksempel på et DNS-opslag der trigger TCP?!
>
>En forespørgsel på MX for aol.com gjorde tidligere, men jeg kan se at de nu
>kun har 4 hosts listet. Root serverne blev også omdøbt til at hedde
>x.ROOT-SERVERS.NET, i stedet for de gamle navne, for at man kunne liste flere
>servere for . og alligevel holde svaret inden for 512 bytes. (Ideen er at
>hvis dit svar indeholder flere servere, hvor domæne delen af svaret er
>identisk, sender du kun hostdelen + en enkelt domænedel).
>
>DNS svar over 512 bytes giver forøvrigt problemer med Qmail - en overgang
>kørte alle Qmail installationer med statisk mailroutning til aol.com

Men hvordan fungerer det, laver den en tcp-tilbage på et udp req eller
beder den klienten om at bruge tcp? Hvis den bare returnerer tcp gi'r
det da problemer så vidt jeg lige kan se hvis klienten er firewalled.

--
Lars Kim Lund
http://www.net-faq.dk/

---

Lars Kim Lund <larskim@mail.com> wrote:
>Hej Jan Chrillesen <chrille@isa.dknet.dk>
>
>>> Huh? Kan du give et eksempel på et DNS-opslag der trigger TCP?!

>>DNS svar over 512 bytes giver forøvrigt problemer med Qmail - en overgang
>>kørte alle Qmail installationer med statisk mailroutning til aol.com
>
>Men hvordan fungerer det, laver den en tcp-tilbage på et udp req eller
>beder den klienten om at bruge tcp? Hvis den bare returnerer tcp gi'r
>det da problemer så vidt jeg lige kan se hvis klienten er firewalled.

Om svaret är över 512 bytes svarar servern med TRUNC i ett UDP-paket.
Då ska klienten bruge TCP när den ställer frågan igen.

/H

--
Håkan Lindholm hakan@af.lu.se
interAF
Sandgatan 2
SE-223 50 LUND

---

In dk.edb.netvaerk.stort Lars Kim Lund <larskim@mail.com> wrote:

> Men hvordan fungerer det, laver den en tcp-tilbage på et udp req eller
> beder den klienten om at bruge tcp? Hvis den bare returnerer tcp gi'r
> det da problemer så vidt jeg lige kan se hvis klienten er firewalled.

Serveren sender et UDP baseret svar, indeholdende den del af svaret der
er plads til, og med "truncated" bitten sat.
Derefter spørger klienten igen, denne gang via tcp, og svaret sendes
selvfølgelig også som tcp.

/jan

---

On Wed, 04 Apr 2001 07:44:11 +0200, Lars Kim Lund <larskim@mail.com>
wrote:

>>Et almindeligt dns-opslag går da også over i tcp,
>Huh? Kan du give et eksempel på et DNS-opslag der trigger TCP?!

Teoretisk set et hostnavn med ekstremt mange IP-adresser i roundrobin?


--
- Pede
Professionel nørd

Tilhørsforhold/disclaimer: http://www.ter.dk/disclaimer/

---

Peter Brodersen <professionel@nerd.dk> writes:

> >>Et almindeligt dns-opslag går da også over i tcp,
> >Huh? Kan du give et eksempel på et DNS-opslag der trigger TCP?!
>
> Teoretisk set et hostnavn med ekstremt mange IP-adresser i roundrobin?

I praksis ogsaa fra maskiner bag underlige firewalls eller med
underlige operativsystemer.

Jeg har en underlig nameserver koerende til at distribuere trafik til
ftp.perl.org paa min FreeBSD boks i koekkenet. Den faar tcp requests
nu og da selvom den altid giver svar der skulle vaere korte nok.


- ask

--
ask bjoern hansen, http://ask.netcetera.dk/ !try; do();

---

Lars Kim Lund <larskim@mail.com> wrote:

>Huh? Kan du give et eksempel på et DNS-opslag der trigger TCP?!

Jan har nævnt AOL (som jeg ikke kednte til). Jeg mener også, at nogle
*.microsoft.com-adresser kan (kunne?) give så lange svar, at man skal
over i tcp.

Det er nok ret sjældent, men netop derfor kan det sikkert give nogle
gevaldige hovedbrud, hvis man lukker for 53/tcp og så et halvt år
senere ikke kan komme i kontakt med en bestemt server.


--
Allan Olesen, Lunderskov
Hvorfor er det kun Nej-sigerne, der må køre 55 i byen?

---

Allan Olesen <aolesen@post3.tele.dk> writes:

> >53/tcp benyttes normalt kun til zone-transfers
>
> ?
>
> Et almindeligt dns-opslag går da også over i tcp, hvis svaret bliver
> for langt til udp. Men så går det måske tilbage til en anden port end
> 53?

Nej, du har ret.


- ask

--
ask bjoern hansen, http://ask.netcetera.dk/ !try; do();

---

>
> 53/tcp benyttes normalt kun til zone-transfers, ikke at det betyder
> noget, men der er ingen grund til at mappe porten hvis ikke den skal
> bruges.
>
> --
> Lars Kim Lund
> http://www.net-faq.dk/

ikk for noget, men det er ikke helt korrekt, UDP/53 bliver brugt til DNS
opslag og ikke *KUN* zonetransfers.

Mvh
Martin

---

It seems Christian Holm wrote:
>Internt fungerer DNS-serveren som den skal, og har gjort det i et par år nu.
>Den bliver anvendt ved almindelig udadgående internet-surf mm. uden
>problemer. Men hvis jeg gennem f.eks. dk-hostmasters-side prøver at slå
>forskellige adresser op på DNS-serveren, svarer den altid med routerens
>WAN-adresse. [...]

Det er en kendt "feature" ved CBOS.

Jeg ved dog ikke, om buggen har overlevet frem til den nyeste version
(2.4.1 så vidt jeg husker).

Der har været par tråde om emnet i cybercity.xdsl, måske kan du finde
mere eksakt info dér.

--
Simon Skals <spam@gid.dk>
"Never attribute to competence what can adequately be explained by luck."

---

"Simon Skals" <spam@gid.dk> wrote in message
news:slrn9ckmt6.g4c.spam@www.gid.dk...
> It seems Christian Holm wrote:
> >Internt fungerer DNS-serveren som den skal, og har gjort det i et par år
nu.
> >Den bliver anvendt ved almindelig udadgående internet-surf mm. uden
> >problemer. Men hvis jeg gennem f.eks. dk-hostmasters-side prøver at slå
> >forskellige adresser op på DNS-serveren, svarer den altid med routerens
> >WAN-adresse. [...]
>
> Det er en kendt "feature" ved CBOS.
>
> Jeg ved dog ikke, om buggen har overlevet frem til den nyeste version
> (2.4.1 så vidt jeg husker).

På CyberCitys supporteres opfordring opgradere jeg til 2.4.1, hvilket ikke
gjorde nogen forskel.

> Der har været par tråde om emnet i cybercity.xdsl, måske kan du finde
> mere eksakt info dér.

Jeg er på en Pro@ccess herhjemme, jeg må tjekke på deres forbindelse i
morgen. Tak for hjælpen.

Christian Holm

---

Simon Skals <spam@gid.dk> wrote:

>Det er en kendt "feature" ved CBOS.

Prøv også at lade DNS-serveren lytte på en høj port og så mappe port
53 på routeren til denne høje port internt.
Så omgås denne feature.

--
mvh.
Lasse Jarlskov
"Bilanalogier - nyhedsgruppernes Erasmus Montanus."

---

"Lasse Jarlskov" <lasse@jarlskov.dk> wrote in message
news:9aduck.3vvmui7.1@laptop.jarlskov.dk...
> Prøv også at lade DNS-serveren lytte på en høj port og så mappe port
> 53 på routeren til denne høje port internt.
> Så omgås denne feature.

Tak, det vil jeg straks prøve.

Christian

---

"Lasse Jarlskov" <lasse@jarlskov.dk> >
> Prøv også at lade DNS-serveren lytte på en høj port og så mappe port
> 53 på routeren til denne høje port internt.
> Så omgås denne feature.

Min erfaring er at det generelt går i lort når man mapper de eksterne porte
til nogle andre internt.. f.eks 132 til 566 .. men hvad ved jeg... det
virker nogen gange, ikke andre.. det giver ikke så meget mening... nat delen
i en cisco 677 er ikke noget at råbe hurra for.. langt fra


skohorn

---

hejsa

Generalt er det noget skidt meden DNS gemt bag NAT. Du har sikkert Hosts på
et privat netværk ??
Eller hvorfor køre du NAT, hvis du har officelle internet IP adresser ?
Men det er da klart at hvis du køre NAT med private adresser, så er du kun
kendt på internettet via din WAN IP.
dvs din DNS, som er oprettet som Nameserver hos DK-hoaxmaster, vil være
kendt med din WAN IP.
Når man så laver et opslag vil man så spørge WAN IP, og svaret vil da være
?? ja det må blive en privat IP, som ikke routes på @nettet, og med source =
WAN IP. Det kan klienten da ikke hitte ud af. (nu kender jeg jo ikke din soa
fil)

--
Martin Bilgrav

---

Er jeg den eneste der ikke syntes det giver en skid mening det martin
skriver her?
martin, prøv at læse den originale posting.. eller endnu bedre, læs hele
tråden..

skohorn

"Martin Bilgrav" <bilgrav@image.dk> wrote in message
news:nq%y6.22465$o4.1195960@news010.worldonline.dk...
> hejsa
>
> Generalt er det noget skidt meden DNS gemt bag NAT. Du har sikkert Hosts
på
> et privat netværk ??
> Eller hvorfor køre du NAT, hvis du har officelle internet IP adresser ?
> Men det er da klart at hvis du køre NAT med private adresser, så er du kun
> kendt på internettet via din WAN IP.
> dvs din DNS, som er oprettet som Nameserver hos DK-hoaxmaster, vil være
> kendt med din WAN IP.
> Når man så laver et opslag vil man så spørge WAN IP, og svaret vil da være
> ?? ja det må blive en privat IP, som ikke routes på @nettet, og med source
=
> WAN IP. Det kan klienten da ikke hitte ud af. (nu kender jeg jo ikke din
soa
> fil)
>
> --
> Martin Bilgrav
>
>
>

---

"Martin Bilgrav" <bilgrav@image.dk> wrote in message
news:nq%y6.22465$o4.1195960@news010.worldonline.dk...
> Generalt er det noget skidt meden DNS gemt bag NAT. Du har sikkert Hosts
på
> et privat netværk ??

Da der kun er en server, har opslag internt ikke været nødvendigt.

> Eller hvorfor køre du NAT, hvis du har officelle internet IP adresser ?

Fordi forbindelse samtidig bliver brugt til almindelig internet adgang for
de ansatte.

> Men det er da klart at hvis du køre NAT med private adresser, så er du kun
> kendt på internettet via din WAN IP.
> dvs din DNS, som er oprettet som Nameserver hos DK-hoaxmaster, vil være
> kendt med din WAN IP.
> Når man så laver et opslag vil man så spørge WAN IP, og svaret vil da være
> ?? ja det må blive en privat IP.

Nej, DNS serveren svarer med WAN-adresserne, så det er ikke et problem

som ikke routes på @nettet, og med source => WAN IP. Det kan klienten da
ikke hitte ud af. (nu kender jeg jo ikke din soa
> fil)

Jeg har med success brugt DNS gennem NAT flere gange tidligere, og efter at
have snakket med endnu flere teknikkere hos CyberCity, har de undersøgt
sagen og kommet frem til samme konklussion som mig selv og andre, nemlig at
det er en bug i CBOS'en i 677. Jeg har forsøgt med den seneste udgave af
CBOS (2.4.1) uden held.

For at få en fornuftig løsning har jeg nu flyttet DNS serveren til en anden
forbindelse.

Christian Holm

---

>
> Jeg har med success brugt DNS gennem NAT flere gange tidligere, og efter
at
> have snakket med endnu flere teknikkere hos CyberCity, har de undersøgt
> sagen og kommet frem til samme konklussion som mig selv og andre, nemlig
at
> det er en bug i CBOS'en i 677. Jeg har forsøgt med den seneste udgave af
> CBOS (2.4.1) uden held.
>
> For at få en fornuftig løsning har jeg nu flyttet DNS serveren til en
anden
> forbindelse.
>
> Christian Holm
>
>

Hejsa,

Der er mange Bugs i CBOS'en, hertil er jeg enig. Dog mener jeg stadig det er
noget rod, med DNS bag NAT, når @nettet skal benytte den, samtidig med
interne opslag. Det kan selvfølge sagtens lade sig gøre.

Hvis jeg var dig, ville jeg få Cybercity, til at give dig en Cisco SOHO 77
ADSL router i stedet. Det er en ren IOS router, og har sikkert bedre NAT
Implementering.

Mvh
Martin

---

"Martin Bilgrav" <bilgrav@image.dk> wrote
> Hvis jeg var dig, ville jeg få Cybercity, til at give dig en Cisco SOHO 77
> ADSL router i stedet. Det er en ren IOS router, og har sikkert bedre NAT
> Implementering.
>

Jeg snakkede med cybercity idag. De giver ikke SOHO 77 til nogen, så hvor
har du fået den ide fra?

skohorn

---

It seems Martin Bilgrav wrote:
>Hvis jeg var dig, ville jeg få Cybercity, til at give dig en Cisco SOHO 77
>ADSL router i stedet. Det er en ren IOS router, og har sikkert bedre NAT
>Implementering.

Har du tænkt den tanke, at CyberCity måske ikke bare bytter kundens
CPE-udstyr til en dyrere model uden beregning?

--
Simon Skals <spam@gid.dk>
"Never attribute to competence what can adequately be explained by luck."

---

It seems Martin Bilgrav wrote:
>Når man så laver et opslag vil man så spørge WAN IP, og svaret vil da være
>?? ja det må blive en privat IP, som ikke routes på @nettet, [...]

Hvorfor dog det? En nameserver på et netværk med NAT'et adgang til
Internet kan sagtens svare på queries med rigtige, globalt routede
IP-adresser.

--
Simon Skals <spam@gid.dk>
"Never attribute to competence what can adequately be explained by luck."

---

Hej igen,

Jeg er ganske godt klar over det sagtens kan lade sig gøre.
Det eneste jeg mener er at det er noget rod !
Specielt med den C677 NAT Implementering. Den er ikke den mest stabile i
verden.
Og ja, der er ikke meget i verden der er gartis, så det kan da godt være man
skal betale lidt for at få noget der er bedre, fx en SOHO77 ell C827.
Men så har man også noget der virker første gang.

Mvh
Martin

Simon Skals <spam@gid.dk> wrote in message
news:slrn9d2va4.97.spam@www.gid.dk...
> It seems Martin Bilgrav wrote:
> >Når man så laver et opslag vil man så spørge WAN IP, og svaret vil da
være
> >?? ja det må blive en privat IP, som ikke routes på @nettet, [...]
>
> Hvorfor dog det? En nameserver på et netværk med NAT'et adgang til
> Internet kan sagtens svare på queries med rigtige, globalt routede
> IP-adresser.
>
> --
> Simon Skals <spam@gid.dk>
> "Never attribute to competence what can adequately be explained by luck."

---

It seems Bille wrote:
>Jeg er ganske godt klar over det sagtens kan lade sig gøre.
>Det eneste jeg mener er at det er noget rod !
>Specielt med den C677 NAT Implementering. Den er ikke den mest stabile i
>verden.

Ring ind og bed om et routet netværk f.eks. /29 eller hvad du nu har brug
for. Så slipper du for NAT og for at skulle købe en ny router.

--
Kasper Mejlgaard, CC

---

"Kasper Mejlgaard" <nntpspam1@in-addr.dk> wrote
> Ring ind og bed om et routet netværk f.eks. /29 eller hvad du nu har brug
> for. Så slipper du for NAT og for at skulle købe en ny router.
>

Kan man få en /29 til sin adsl? De ville kun af med en /30 til en af mine
venner, men sagde at der snart blev mulighed for flere..

skohorn

---

It seems Bent skohorn wrote:
>Kan man få en /29 til sin adsl? De ville kun af med en /30 til en af mine
>venner, men sagde at der snart blev mulighed for flere..

/29 og over kræver RIPE ansøgning og derfor egentligt behov.

--
Kasper Mejlgaard

---

On Wed, 11 Apr 2001 08:39:54 +0000 (UTC), Kasper Mejlgaard
<nntpspam1@in-addr.dk> wrote:

>/29 og over kræver RIPE ansøgning og derfor egentligt behov.

Hvordan defineres "egentligt behov"?

I min situation har jeg 2 servere, hvoraf den ene kører nogle services
der er tilgængelige ude fra. Derudover en arbejdspede, og en bærbar.

Jeg kunne i princippet godt bruge den ene server som en slags
bastion-gateway, men jeg ville da klart foretrække at få et /29
istedet.

/Arild

---

On Tue, 10 Apr 2001 19:12:30 +0000 (UTC), Kasper Mejlgaard
<nntpspam1@in-addr.dk> wrote:

>Ring ind og bed om et routet netværk f.eks. /29 eller hvad du nu har brug
>for. Så slipper du for NAT og for at skulle købe en ny router.

Hmm? Er beta-testen slut? Jeg kan ikke finde nogen referencer til det
produkt på Cybercity's hjemmeside.

/Arild

---

It seems Arild Ehrenskjöld wrote:
>Hmm? Er beta-testen slut? Jeg kan ikke finde nogen referencer til det
>produkt på Cybercity's hjemmeside.

Det er ikke på siderne endnu, men kan købes ved telefonisk kontakt.

--
Kasper Mejlgaard