DNS 解析缓慢

DNS 解析缓慢

我有一台 DNS 服务器,用于解析一组内部服务器的所有查询。它是 CentOS 5.5(与 RHEL5 相同)上的绑定,我已将其设置为允许递归并解析方向,而无需任何转发器。

我面临的问题是第一次解析名称需要很长时间。(以 20 秒为单位)这会导致客户端超时。

当我将其设置为将所有转发到 Google 的公共 DNS(即 8.8.8.8+8.8.4.4)时,它运行得非常好(一秒钟内)。

我尝试监控网络上的流量以了解其原因:

[root@ns1 ~]# tcpdump -nnvvvA -s0 udp
tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
23:06:36.137797 IP (tos 0x0, ttl  64, id 35903, offset 0, flags [none], proto: UDP (17), length: 60) 172.17.1.10.36942 > 172.17.1.4.53: [udp sum ok]  19773+ A? www.paypal.com. (32)
E..<[email protected]...
.....N.5.(6.M=...........www.paypal.com.....
23:06:36.140594 IP (tos 0x0, ttl  64, id 56477, offset 0, flags [none], proto: UDP (17), length: 71) 172.17.1.4.6128 > 192.35.51.30.53: [udp sum ok]  10105 [1au] A? www.paypal.com. ar: . OPT UDPsize=4096 (43)
E..G....@........#3....5.3fR'y...........www.paypal.com.......)........
23:06:38.149756 IP (tos 0x0, ttl  64, id 13078, offset 0, flags [none], proto: UDP (17), length: 71) 172.17.1.4.52425 > 192.54.112.30.53: [udp sum ok]  54892 [1au] A? www.paypal.com. ar: . OPT UDPsize=4096 (43)
[email protected]&.....6p....5.3.q.l...........www.paypal.com.......)........
23:06:40.159725 IP (tos 0x0, ttl  64, id 43016, offset 0, flags [none], proto: UDP (17), length: 71) 172.17.1.4.24059 > 192.42.93.30.53: [udp sum ok]  11205 [1au] A? www.paypal.com. ar: . OPT UDPsize=4096 (43)
E..G....@..@.....*].]..5.3..+............www.paypal.com.......)........
23:06:41.141403 IP (tos 0x0, ttl  64, id 35904, offset 0, flags [none], proto: UDP (17), length: 60) 172.17.1.10.36942 > 172.17.1.4.53: [udp sum ok]  19773+ A? www.paypal.com. (32)
E..<.@..@..@...
.....N.5.(6.M=...........www.paypal.com.....
23:06:42.169652 IP (tos 0x0, ttl  64, id 44001, offset 0, flags [none], proto: UDP (17), length: 60) 172.17.1.4.9141 > 192.55.83.30.53: [udp sum ok]  1184 A? www.paypal.com. (32)
E..<[email protected].#..5.(...............www.paypal.com.....
23:06:42.207295 IP (tos 0x0, ttl  54, id 38004, offset 0, flags [none], proto: UDP (17), length: 205) 192.55.83.30.53 > 172.17.1.4.9141: [udp sum ok]  1184- q: A? www.paypal.com. 0/3/3 ns: paypal.com. NS ns1.isc-sns.net., paypal.com. NS ns2.isc-sns.com., paypal.com. NS ns3.isc-sns.info. ar: ns1.isc-sns.net. AAAA 2001:470:1a::1, ns1.isc-sns.net. A 72.52.71.1, ns2.isc-sns.com. A 38.103.2.1 (177)
E....t..6./A.7S......5#..................www.paypal.com..................ns1.isc-sns.net..............ns2.isc-sns...............ns3.isc-sns.info..,.......... ..p.............,..........H4G..I..........&g..
(this goes on for a few more seconds)

如果你仔细观察,你会发现前 3-4 个根服务器根本没有响应。这浪费了 7-8 秒,直到其中一个服务器响应。

你觉得我在这里设置错了吗?有趣的是,当我直接从没有响应的根服务器挖掘时,它们总是响应得非常快(表明防火墙/nat 不是这里的问题)。例如

dig www.paypal.com @192.35.51.30

运行完美、稳定且速度极快。你对这个谜题有什么看法?

答案1

我强烈怀疑 DNS 服务器和 Internet 之间的防火墙损坏了,导致长 DNS 响应被丢弃,而使用 DNSSEC 则很正常。尝试使用“+dnssec”选项运行 dig,看看它是否也开始超时。

众所周知,直到最新版本的 Cisco PIX/ASA 默认行为如下:https://supportforums.cisco.com/thread/2013390

相关内容