☰

升级到17.10后DNS解析问题

tag-icon • tag-icon networking 17.10 dns systemd-resolved
升级到17.10后DNS解析问题

升级到 17.10 后，Ubuntu 使用 systemd-resolved 来处理所有 DNS 请求，并且它有一个存根侦听器，但该侦听器仅接受来自本地的请求。我正在使用 Vultr VPS，这就是发生的情况。

root@00:~# nslookup www.google.com 127.0.0.53
Server:     127.0.0.53
Address:    127.0.0.53#53

** server can't find www.google.com: SERVFAIL

在错误日志中：

Dec 19 01:20:24 00.tokyo.jp.mole systemd-resolved[684]: Got packet on unexpected IP range, refusing.

我尝试转储 udp 包，结果如下：

root@00:~# tcpdump -i lo udp port 53 -vv -X
tcpdump: listening on lo, link-type EN10MB (Ethernet), capture size 262144 bytes
01:20:24.230349 IP (tos 0x0, ttl 64, id 24187, offset 0, flags [none], proto UDP (17), length 60)
    45.xx.xx.xx.vultr.com.60360 > 127.0.0.53.domain: [bad udp cksum 0xbf8c -> 0xe032!] 58738+ A? www.google.com. (32)
    0x0000:  4500 003c 5e7b 0000 4011 5ce3 2dxx xxxx  E..<^{..@.\.-...
    0x0010:  7f00 0035 ebc8 0035 0028 bf8c e572 0100  ...5...5.(...r..
    0x0020:  0001 0000 0000 0000 0377 7777 0667 6f6f  .........www.goo
    0x0030:  676c 6503 636f 6d00 0001 0001            gle.com.....
01:20:24.230963 IP (tos 0x0, ttl 64, id 25931, offset 0, flags [DF], proto UDP (17), length 40)
    127.0.0.53.domain > localhost.60360: [bad udp cksum 0xfe5b -> 0xae9c!] 58738 ServFail [0q] 0/0/0 (12)
    0x0000:  4500 0028 654b 4000 4011 d743 7f00 0035  E..(eK@[email protected]
    0x0010:  7f00 0001 0035 ebc8 0014 fe5b e572 8182  .....5.....[.r..
    0x0020:  0000 0000 0000 0000                      ........

可以看出，它使用公网 IP 发送请求，而不是 127.0.0.1，所以 systemd-resolved 拒绝回复。使用systemd-resolve www.google.com可以得到结果，说明服务正常运行。

root@00:~# systemd-resolve www.google.com
www.google.com: 216.58.196.228
                2404:6800:400a:806::2004

-- Information acquired via protocol DNS in 6.6ms.
-- Data is authenticated: no

我临时将符号链接更改/etc/resolv.conf为/run/systemd/resolve/resolv.conf，以便服务器可以访问互联网，但我想知道如何更改请求 IP 来解决这个问题？

答案1

我刚刚在将 Ubuntu 16.04 升级到 Ubuntu 18.04 服务器上遇到了同样的问题。我的解决方案是检查防火墙设置并排除环回设备lo伪装源 IP（D'oh！）。

请务必检查您的路由和防火墙路由魔法，例如 POSTROUTING { MASQUERADE; }。它之前一直有效，因为旧的 DNS 解析器似乎对源 IP 不那么挑剔。

相关内容