victor_sudakov | Entries tagged with dns

Часто нужно, чтобы доменное имя отлаживаемого сайта временно разрешалось в 127.0.0.1, ::1 или приватный адрес в локальной сети. Обычно для этого редактируют /etc/hosts, но если нет возможности или желания это делать (например потому, что изменения в /etc/hosts действуют на все процессы всех пользователей данной машины), некоторые HTTP клиенты позволяют переопределить разрешение имен встроенными средствами.

Предположим, вы отлаживаете сайт https://www.mysite.example/ на сервере 192.168.10.10, тогда:

Для curl можно использовать

curl --resolve '*:443:192.168.10.10' https://www.mysite.example/

Для Google Chrome

google-chrome --host-resolver-rules='MAP www.mysite.example 192.168.10.10

Для FireFox в about:config переопределить переменную network.dns.forceResolve в 192.168.10.10, можно создать отдельный профиль с такой настройкой.

Проверить свой браузер на поддержку Encrypted SNI

Также проверяет поддержку DNSSEC и др.

Crossposts: https://victor-sudakov.livejournal.com/482690.html

Прикрутил mDNS к FreeBSD, стало удобно работать с устройствами в локальной сети с динамическими IPv4 и IPv6 адресами, например http://printer1.local/ или "ssh notebook-ann.local"

pkg install net/avahi-app dns/nss_mdns
echo 'avahi_daemon_enable="YES"' >> /etc/rc.conf.local
service avahi_daemon start

В /etc/nsswitch.conf строчку про hosts поправить на:

hosts: files mdns_minimal [NOTFOUND=return] dns

IPv6 устройства тоже прекрасно регистрируются и резолвятся.

В Ubuntu-вских nsswitch.conf mDNS уже настроено, но почему-то стоит mdns4_minimal, за что они отрезали IPv6? Пришлось подправить вручную.

Crossposts: https://victor-sudakov.livejournal.com/476864.html

Network Analyzer (платный) - очень хорошо сделанный пакет сетевых утилит под Android. Способен показать то, что другими средствами не всегда удается посмотреть, например глобальный IPv6 адрес устройства, IPv6 DNS сервер и др.

Включает удобно сделанные ping, traceroute, LAN Scan, скан портов и пр. Поддержка IPv6.

Для мониторинга WiFi сетей не нашёл ничего лучше WiFiAnalyzer (open source).

Crossposts: https://victor-sudakov.livejournal.com/476506.html

net-mgmt/ipv6calc удобен помимо прочего для вычисления имен зон и PTR записей для IPv6 хостов в обратном DNS:

ipv6calc -a 2001:470:ECBA:2::/64
ipv6calc -a 2001:470:ecba:2:f1d0:2:5005:49

Crossposts: https://victor-sudakov.livejournal.com/476090.html

Есть у меня плеер Mi Box S. В последнее время всё чаще и чаще при включении стал выдавать сообщение "Подключен к сети WiFi без доступа в Интернет". Youtube не работает, просит переподключиться. При этом VLC прекрасно играет с локального SMB сервера. Телефоны, планшет и ноутбук также через этот WiFi прекрасно ходят в Интернет. Т.е. дело явно не в ошибках беспроводной сети как таковой, и не с отсутствием выхода в Сеть на роутере. Чайниковские методы вроде "перегрузить плеер по питанию" и "пересоздать WiFi подключение" не помогают.

ОК, берем в руки Wireshark и пытаемся понять, как же плеер определяет наличие подключения к Интернету.

Сперва он успешно резолвит несколько имен, в их числе 2.android.pool.ntp.org, data.mistat.intl.xiaomi.com, connectivitycheck.gstatic.com. Потом пытается соединиться по HTTPS с сервером connectivitycheck.gstatic.com. Похоже на искомое, думаю я. Сервер предлагает вполне валидный X.509 сертификат с временем годности до 3 ноября 2020 года. А плеер ему в ответ (в TLS handshake): Alert, Certificate Expired. И всё по новой. Весь tcpdump забит этими неудачными хендшейками.

Ах ты ж, думаю, часы у плеера что ли сбились? А на экране телевизора часы плеера вполне правильное время показывают, и не заподозришь.

Иду в настройки плеера, убираю галочку "автоматически получать время из сети", подвожу локальное время буквально на минутку, сохраняю. И вуаля, моя сеть WiFi с точки зрения плеера теперь уже с доступом в Интернет.

А от 2.android.pool.ntp.org к плееру ни одного NTP-ответа не пришло. Не знаю, может раньше приходили, сейчас нет.

Ох как я зол.

Crossposts: https://victor-sudakov.livejournal.com/469179.html

Проверить наличие DNSSEC validation на своем резолвере

dig dnssec-failed.org
dig dnssec-failed.org +cdflag

(у имени dnssec-failed.org нарочно неправильная DNSSEC-подпись).

Узнать, не перехватывает ли провайдер мои DNS запросы:

dig @ns1-1.akamaitech.net whoami.akamai.net

Crossposts: https://victor-sudakov.livejournal.com/448820.html

В «NCSC Advisory on Ongoing DNS Hijacking Campaign» дается совет:

if operating your own DNS infrastructure, consider robust change control processes to manage any changes to your zone file. Ideally you should use a DNS zone file that is managed through a version control system, such as git. This will provide a backup of your DNS records, allow change-auditing and easy rollback. Enforce levels of organisational approval which is monitored before changes are made.

[...]

if you operate a critical domain, consider monitoring for domain transfers, WHOIS data changes, and nameserver changes.

А я ещё с 2000 года держал зоны tomsk.ru, tomsk.su и остальные в CVS, и мониторил изменения в базе RIPN, посылая каждые 2 часа whois-запрос и сравнивая с результатом last known good запроса.

Я молодец?

Crossposts: https://victor-sudakov.livejournal.com/444960.html

Вчера умер Валерий Николаевич Елизарьев, один из основателей Томского интернета

https://www.facebook.com/victor.sudakov.tomsk/posts/2163552143936340

https://victor-sudakov.dreamwidth.org/332705.html

Он также был основателем географических доменов tomsk.ru и tomsk.su

Валерий Николаевич Елизарьев AKA evn

Crossposts: https://victor-sudakov.livejournal.com/436264.html

Администрирование и размещение зоны tomsk.ru полностью передано из Сибирского ПТУС в ООО "Рекламный Дайджест" после более чем двух десятилетий работы под эгидой СибПТУС, а ранее CISA+, известного также как ООО "Томская Деловая Сеть" или ООО "ТДС".

Можно сказать, что закончилась эпоха: теперь зона tomsk.ru связана с именем пионера Томского интернета Валерия Николаевича Елизарьева и его коллег и учеников, каковым я себя считаю, только исторически.

Crossposts: https://victor-sudakov.livejournal.com/433315.html

Использование BIND+Kerberos для обновления зон DNS (UNIX and Windows).
http://ddiguru.com/blog/136-how-to-implement-gss-tsig-on-isc-bind

Crossposts: http://victor-sudakov.livejournal.com/349582.html

Мне не нравится кириллический домен .рус по тем же причинам, по которым очень нравится домен .рф

1. Неудачен с графической точки зрения, легко спутать с латинскими буквами .pyc

2. Три буквы - слишком много.

3. Националистичен. Тогда как ".рф" подчеркивает федеративный характер нашего государства, поэтому в .рф уместны сайты не только русскоязычные, но и на других языках народов России. .рф - домен всей нашей страны, .рус - только русских (а может древних рыб пикнодонтов, или какого-то яхт-клуба).

Вангую этому домену провал и безвестность.

Crossposts: http://victor-sudakov.livejournal.com/346483.html

Открыт для регистрации домен верхнего уровня .lol

Дожили: http://www.nic.ru/dns/domain/new_gtld/list.html

Crossposts: http://victor-sudakov.livejournal.com/334034.html

$ host your.server.com
your.server.com has address 127.0.0.1
your.server.com mail is handled by 0 127.0.0.1.

Crossposts: http://victor-sudakov.livejournal.com/319583.html

Сегодня утром при попытке воспользоваться с мобильного телефона Гуглем последний сообщил: "We're sorry, but your computer or network may be sending automated queries. To protect our users, we can't process your request right now."

Внешний адрес у меня в этот момент был 213.87.225.167.

BTW 167.225.87.213.in-addr.arpa не резолвится (SERVFAIL).

Crossposts: http://victor-sudakov.livejournal.com/315474.html

Хорошая презентация по внедрению DNSSEC
https://kb.isc.org/article/AA-00820/0/DNSSEC-in-6-minutes.html

Наличие флага ad в ответе рекурсивного DNS сервера означает, что он проверил подлинность записей.

Ответ SERVFAIL может означать, что проверка подлинности RR не прошла. Тем не менее попросить показать "плохие" RR можно, установив +cdflag (например чтобы отличить от других причин, которые могли вызывать SERVFAIL, или чтобы подебажить, по какой причине проверка подлинности не прошла).

Crossposts: http://victor-sudakov.livejournal.com/313704.html

Если поддержка DNSSEC в резолвере включена, то сайт http://www.dnssec-failed.org/ не откроется и имя www.dnssec-failed.org не разрешится (status: SERVFAIL).

Если отключена или не работает, увидите сайт-предупреждение: "DETAILS: If your computer is using a DNS recursive resolver that has implemented DNSSEC validation, then you should NOT have arrived at this web page. As such, this web page is available for the Internet community to use for testing purposes, in order to validate whether or not DNSSEC validation is working correctly for end users. "

Имя с нарочно невалидной подписью из набора инструментов на http://www.internetsociety.org/deploy360/resources/dnssec-test-sites/

UPD И еще прикольный тест на http://dnssec.vs.uni-due.de/

Crossposts: http://victor-sudakov.livejournal.com/313399.html

Открыта регистрация в новом домене верхнего уровня .space
https://www.nic.ru/action/2015/space/choose.html
http://blog.nic.ru/?p=4540

Crossposts: http://victor-sudakov.livejournal.com/293608.html

Потому что

1. Он очень удачен с графической точки зрения. Буква "ф" имеет характерный облик. Например кириллические домены Монголии ".мон" и Сербии ".срб" можно ошибочно принять за латиницу. Разумеется никак нельзя было делать ".ру", который был бы визуально неотличим от латиницы ".py"

2. Всего две буквы. Не всем национальным доменам верхнего уровня так повезло, среди них есть по 3 и больше символов.

3. Буква "ф" подчеркивает федеративный характер нашего государства, поэтому в .рф уместны сайты не только русскоязычные, но и на других языках народов России. Это домен всей страны.

Хотел бы сказать Д.А.Медведеву спасибо за то, что этот домен появился во время его президентства.

Crossposts: http://victor-sudakov.livejournal.com/284927.html

https://www.nic.ru/news/2014/domain_su.html

Crossposts: http://victor-sudakov.livejournal.com/263867.html

Profile

Виктор Судаков

Navigation

December 2024

S	M	T	W	T	F	S
1	2	3	4	5	6	7
8	9	10	11	12	13	14
15	16	17	18	19	20	21
22	23	24	25	26	27	28
29	30	31

Syndicate

Page Summary

Вместо hosts
Проверка поддержки Encrypted SNI
mDNS на FreeBSD
Удобные Net Analyzer и Wifi Analyzer for Android
PTR records for IPv6 hosts
Плеер Mi Box S и "беспроводная сеть без доступа в Интернет" (причины и лечение)
2 useful DNS tools
DNS в VCS
Умер Валерий Николаевич Елизарьев
Зона tomsk.ru оторвала пуповину
How to implement GSS-TSIG on ISC BIND
Мне не нравится кириллический домен .рус
LOL
your.server.com
МТС в гугле забанили
DNSSEC_in_6_minutes.pdf
Быстрый способ проверить, включен ли DNSSEC на клиенте
Новый TLD .space
Мне нравится национальный домен .рф
Первому отечественному домену .SU — 24 года

Style Credit

Style: Night Sea for Tranquility III by branchandroot

Expand Cut Tags

No cut tags

Page generated Apr. 23rd, 2025 02:54 pm

Виктор Судаков

Всё, чему человек научится, когда-нибудь пригодится ему.

Entries tagged with dns

Вместо hosts

Проверка поддержки Encrypted SNI

mDNS на FreeBSD

Удобные Net Analyzer и Wifi Analyzer for Android

PTR records for IPv6 hosts

Плеер Mi Box S и "беспроводная сеть без доступа в Интернет" (причины и лечение)

2 useful DNS tools

DNS в VCS

Умер Валерий Николаевич Елизарьев

Зона tomsk.ru оторвала пуповину

How to implement GSS-TSIG on ISC BIND

Мне не нравится кириллический домен .рус

LOL

your.server.com

МТС в гугле забанили

DNSSEC_in_6_minutes.pdf

Быстрый способ проверить, включен ли DNSSEC на клиенте

Новый TLD .space

Мне нравится национальный домен .рф

Первому отечественному домену .SU — 24 года