- UANOG - uanog.one

Странности современного резолвинга и как их понимать и диагностировать
by Valentin Nechayev 11 Dec '22

11 Dec '22

hi all, столкнулся с такой ситуацией. Имена/IPs не секрет, но замаскированы чтобы не влезать в лишние в общем случае подробности, если надо - открою. Есть домены buka.kiev.ua и zuka.kiev.ua. Из авторитетных серверов kiev.ua выбираю для определённости nn.ns.ua (не думаю, что есть существенная разница, поправьте, если что). $ dig @nn.ns.ua buka.kiev.ua a ;; AUTHORITY SECTION: buka.kiev.ua. 28800 IN NS ns11.zuka.kiev.ua. buka.kiev.ua. 28800 IN NS ns22.zuka.kiev.ua. ;; ADDITIONAL SECTION: ns11.zuka.kiev.ua. 28800 IN A 10.1.0.1 ns22.zuka.kiev.ua. 28800 IN A 10.2.0.2 <-- ??? Повторный запрос показывает точно такой же TTL - значит, сервер отдаёт то, что считает авторитетным данным. Как я подозреваю, это идёт из какой-то glue record. В то же время, если делать прямой запрос ns22.zuka.kiev.ua, nn.ns.ua редиректит: ;; AUTHORITY SECTION: zuka.kiev.ua. 28800 IN NS ns1.the-registrar.ua. zuka.kiev.ua. 28800 IN NS ns2.the-registrar.ua. И уже эти NSʼы отвечают другим IP, который и ожидается: ;; ANSWER SECTION: ns22.zuka.kiev.ua. 3600 IN A 10.3.0.3 <-- OK Вот тут "меня начинают терзать смутные сомнения". Отдача записи glue в additional - норма начиная со времён где-то ISC BIND 9.4, когда начали вполне справедливо параноить на тему кэша и опасных записей в нём. Но почему эта запись вообще появляется тут? Клеевые записи должны применяться, по новым положениям, только для резолвинга того домена, к которым они относятся, не так ли? То есть, если рекурсор пошёл резолвить buka.kiev.ua, он должен добраться до того, кто авторитетно (не из glue) отвечает IP для ns22.zuka.kiev.ua, и уже получив эти данные идти резолвить что-то из buka.kiev.ua? А промежуточные авторитетные отдатчики зон не должны отвечать записями, которые не относятся к их компетенции? Почему вообще возник вопрос - есть подозрение, что тут некоторые (вероятно, сильно старые) рекурсоры ловят все входящие данные, в частности, из таких additional. В этом случае они накапливают неадекватные адреса, и выловить источник такого крайне тяжело. И следующий технический вопрос тогда к Хостмастеру. Вы фильтруете подаваемое от регистраторов на предмет чужих glue (не относящихся к управляемому домену)? Если да, какой механизм возникновения описанной выше ситуации? Если нет, то почему? -netch-

2 1

Есть какие-то варианты качать с торрентов через 4G Интернет Водафона?
by Alexander V Soroka 10 Dec '22

10 Dec '22

Привет всем ! Есть какие-то варианты качать с торрентов через 4G Интернет Водафона? переехал в место где "Света" есть всегда, но вот с Инетом проблемы - ЛаНЕТ вроде тут в соседнем доме есть но сопли жует, вместо ответа на мой вопрос "можете ко мне линию провести?". Торренты нужны иногда файлы покачать, не всегда пиратское :) неудобно без них... Кто-то подскажет ? Пробовал через ОпенВПН (и есть впн который работает, не фри) но чето тоже не едет ничего... Заранее спасибо! -- Best regards, Alexander V Soroka http://www.svr.ua/ AS106-RIPE mailto:alex@euro.net.ua -- Это сообщение было проверено антивирусным ПО AVG на наличие вирусов. www.avg.com

4 7

вакансия ит
by VASYL MELNYK 08 Dec '22

08 Dec '22

Всем привет, не знаю насколько это будет оффтопом, но считаю это может кого-то заинтересовать компания стабильная, я в ней проработал 20 лет, но сейчас мы перестали друг другу подходить, поэтому компания ищет линуксового админа-сетевика Вилка по зп 40-100 - в зависимости от компетенций и позиции, потому что фактически ищется руководитель отдела поддержки, условия - полная занятость 8 часов, иногда бывает надо делать чего то в выходные, чтобы процессы не останавливались в рабочее время. И верхняя цифра это все же больше позиция начальника отдела администрирования. Чего делать: Сервер виртуализации, брендовый делл, среда виртуализации проксмокс, внутри куча разных виртуалок начиная от сервера приложений 1с и заканчивая виртуалками для конкретного пользователя. Строил это все я с упором на опенсорс, поэтому никаких актив директори и не пахнет там, используются учетки из азюры, но это все через веб-морду управляется. Если кому интересно - присылайте мне резюме, я перешлю ит директору. Сама вакансия опубликована вот так: Основные обязанности: 1. Подчинение: ИТ директору 2. Наличие подчиненных: 2 системных администратора с возможностью расширения штата при необходимости 3. Серверное администрирование: Linux, виртуальные машины в зарубежном дата центре, среда виртуализации proxmox 4. Администрирование 1С Linux 5. Администрирование серверов баз данных: Postgres, MS SQL 6. Сетевое администрирование: развитие сетевой инфраструктуры на 5 локациях (cisco + mikrotik) 7. Администрирование офиса 365 и MS Azure 8. Формирование политики резервного копирования (бэкапы) 9. Техническая поддержка пользователей – вторая линия 10. Закупки ИТ инфраструктуры: обеспечение пользователей, серверного оборудования 11. Внедрение системы мониторинга Zabbix 12. Развертывание и поддержка dev окружений

2 2

Чи має право на існування отака схема з двома VPN?
by Oleh Hrynchuk 19 Nov '22

19 Nov '22

Таки не пропустило в перший раз... Привіт усім. Колеги, є наступна задача. Офіс переходить на Starlink-канал і позбавляється усіх серверів etc (виносить в AWS). У зв"язку з цим виникає питання/задача віддаленого доступу до конфігурації офісних роутера та світчів. Ну і, може, інколи, треба буде до якогось ноута/десктопа колеги (котрий сидить в офісі) доступитися по Anydesk абощо.. Але головне - можливість віддалено доступитися до офісного роутера на 22 та/чи 443-й порт. Чи живуча буде така схема, приймаючи до уваги усі прєлєсті Старлінка (не знаю чи пролізе ця jpg розміром в 101K)? [image: image.png] -- Regards, /oleh hrynchuk

5 7

по быстрому решить вопрос с 4G Инетом от Водафона
by Alexander V Soroka 17 Nov '22

17 Nov '22

Привет всем! перевожу свои пожитки в новый офис, поближе к электричеству :) ... вопрос встал: там нет Инета и домосеток - мямлят что-то но никто четко не ответил. Хочу по быстрому решить вопрос с 4G Инетом от Водафона (я клиент Водафона еще с МТС и УМС). карточку кпил, надо модем-маршрутизатор купить - мне надо 2-3 порта локалки (принтер у меня 4300 лазержет, он тока по локалке) ну и свой комп тоже. Файфай будет "для гостей". я выбрал две модели которые меня бы устроили (переплачивать не хочу). 1) Маршрутизатор TP-LINK TL-MR100 2) Маршрутизатор TP-LINK TL-MR150 второй больше нравится. антенны нужны - так как помещение полуподвал с 1.5 метра стенами :) и окнами-бойницами :) в почти центре Киева. Несколько базовых станций с 4G есть в видимости - проверял с Оператором Водафона - он по карте покрытия смотрел. Эти модели с антеннами - почитал, народ пишет что пробивает связь везде. Есть какие-то противопоказания к этим моделям? ...и так дорого как для моих задач, так что совсем дорогое н енадо мне предлагать :) заранее спасибо! -- Best regards, Alexander V Soroka http://www.svr.ua/ AS106-RIPE mailto:alex@euro.net.ua -- Это сообщение было проверено антивирусным ПО AVG на наличие вирусов. www.avg.com

2 3

Starlink/CGNAT and port forwarding
by Oleh Hrynchuk 26 Oct '22

26 Oct '22

Доброго дня, колеги. Ось читаю про сабдж. І виходить, що не можу я прокинути через наш Starlink terminal у свою офісну мережу порт для доступу ззовні (кров з носу тра ssh у внутрішню офісну сітку)? Лише через якусь комерційну VPN (де використовується static IP? Чи таки існує якийсь мозгоізйобистий dirty hack? Дякую. -- Regards, /oleh hrynchuk

2 2

DNS: rewrite answers
by Volodymyr Litovka 25 Oct '22

25 Oct '22

Привіт, маю питання. Є складна конфігурація DNS: host IN A z.z.z.z host1 IN CNAME host2 host2 IN A x.x.x.x мені треба, щоб на запит щодо host поверталась А-адреса host2. В лоб прописати нізя - host2 itself є DNS load-balancer тому повертає різні адреси в залежності від умов. Власне, host вказує на z.z.z.z, тому що це - продова адреса, а мені на тестовому сервері треба працювати з тестовою інфраструктурою. Зрозуміло, що цьому випадку /etc/hosts не при справах. Тобто треба поставити локальний DNS-сервіс, в якому прописати host IN CNAME host1 й який би повертав врешті A-record від host2. Пробував зробити це на unbound: server: local-data: "host CNAME host1" але unbound не виконує подальший lookup, а просто повертає цей CNAME - # nslookup host 127.0.0.1 Server: 127.0.0.1 Address: 127.0.0.1#53 host canonical name = host1. Як варіант - поставити ланцюжок сервісів типу dnsmasq -> unbound й звертатись до dnsmasq, який, вірогідно, зробить lookup отриманого CNAME :-D але це виглядає як патчкорд між двома портами одного пристрою :-) Перед тим, як я полізу копати, може у когось є готова відповідь? Дякую. -- Volodymyr Litovka "Vision without Execution is Hallucination." -- Thomas Edison

2 3

Re: [uanog] DNS: rewrite answers
by Volodymyr Litovka 25 Oct '22

25 Oct '22

Запрацювало, дякую! @Tasic, всі шляхи ведуть до RPZ врешті :-D On 22.10.2022 21:45, Igor Sviridov wrote: > hi! > > Bind RPZ! > > https://www.redpill-linpro.com/sysadvent/2015/12/08/dns-rpz.html > https://www.isc.org/docs/BIND_RPZ.pdf > > --igor > > On Sat, Oct 22, 2022 at 12:22 PM Volodymyr Litovka <doka(a)funlab.cc> wrote: > > Привіт, > > маю питання. Є складна конфігурація DNS: > > host IN A z.z.z.z > host1 IN CNAME host2 > host2 IN A x.x.x.x > > мені треба, щоб на запит щодо host поверталась А-адреса host2. В лоб > прописати нізя - host2 itself є DNS load-balancer тому повертає різні > адреси в залежності від умов. Власне, host вказує на z.z.z.z, тому > що це > - продова адреса, а мені на тестовому сервері треба працювати з > тестовою > інфраструктурою. Зрозуміло, що цьому випадку /etc/hosts не при > справах. > > Тобто треба поставити локальний DNS-сервіс, в якому прописати host IN > CNAME host1 й який би повертав врешті A-record від host2. > > Пробував зробити це на unbound: > > server: > local-data: "host CNAME host1" > > але unbound не виконує подальший lookup, а просто повертає цей CNAME - > > # nslookup host 127.0.0.1 > Server: 127.0.0.1 > Address: 127.0.0.1#53 > > host canonical name = host1. > > Як варіант - поставити ланцюжок сервісів типу dnsmasq -> unbound й > звертатись до dnsmasq, який, вірогідно, зробить lookup отриманого > CNAME > :-D але це виглядає як патчкорд між двома портами одного пристрою :-) > > Перед тим, як я полізу копати, може у когось є готова відповідь? > > Дякую. > > -- > Volodymyr Litovka > "Vision without Execution is Hallucination." -- Thomas Edison > > _______________________________________________ > uanog mailing list > uanog(a)uanog.kiev.ua > https://mailman.uanog.kiev.ua/mailman/listinfo/uanog > -- Volodymyr Litovka "Vision without Execution is Hallucination." -- Thomas Edison

2 2

IP-адреси на окупованих територіях
by Svitlana Tkachenko 21 Oct '22

21 Oct '22

Доброго дня! на захоплених територіях росія викрадає і вивозить не тільки зерно, техніку, людей, але й IP-ресурси. Люди під дулом автомата вимушені розвертати роутинг в сторону росії або передавати (продавати) блоки ip-адрес. RIPE NCC, який затверджує продажі блоків IPv4 адрес, ховається за "політичною нейтральністю" і вірить будь-яким документам. Від Верховної Ради України направлено лист по керівництва RIPE NCC зупинити такі продажі IP-адрес. (Лист англійською, але google translate цілком пристойно перекладає) В листі запропоновано: - повна заборона на передачу ресурсів компаніям на окупованій території, - під час війни перевірка переказів у вибраній державній установі, - АБО інші механізми, які може запропонувати RIPE NCC. Чи стикалися ви з ситуаціями, коли провайдери передавали свої ip-адреси в росію або інші країни? Що думаєте щодо запобіжників для таких сумнівних операцій? НАРОДНИЙ ДЕПУТАТ УКРАЇНИ ФЕДІЄНКО О.П. 01008, м. Київ, вул. Грушевського, 5 № 944\Р-111022 11 жовтня 2022 року Dear Hans Petter Holen, expressing our respect to you, we make the following request. On the platform of the Committee of the Verkhovna Rada of Ukraine on Digital Transformation, with the involvement of all relevant state bodies, a meeting was held on the problem of the functioning of the Internet in the occupied territories, in particular, on the registration of IP addresses. Based on the results of the meeting, it was decided to propose to the Regional Registrar of the Internet for Europe, the Middle East and part of Central Asia (RIPE NCC) to discuss mechanisms for the protection of NCC members registered on the territory of Ukraine (Ukrainian LIRs) and Ukrainian owners of the IPv4 PI address block who were in the occupied territories. It is no secret that in conditions of aggressive war Ukrainian LIRs can face the situations of forced transfer of resources (at gunpoint) to the organization of the occupant country. At the moment, the current RIPE policies do not offer any effective protection mechanisms in such a situation. However, such transfers will definitely be challenged in court after the war - and thus the basis for distrusting the data on the allocation of address space in the region is now being laid. Certainly this is contrary to the principles of the RIPE NCC and the values it declares. The Committee sees the following possible measures to address this problem: - a complete ban on resource transfers from companies in occupied territory, - during the war, verification of transfers with the chosen government agency, - OR other mechanisms that RIPE NCC can offer. For its part, the Committee is ready to participate in joint work on the preparation of such measures. Also, the Committee believes that any delay in their creation increases the risks to the stability of access to the Internet in the region. Best regards people's deputy of Ukraine member of the Committee of the Verkhovna Rada of Ukraine on matters of national security, defense and intelligence Oleksandr Fedienko

11 21

ipsec между микротиком и линуксом
by Gregory Edigarov 20 Oct '22

20 Oct '22

Добрый день, имеем микрот и линукс (стронгсван), на них настроен ряд сетей, все работает замечательно и стандартно. добавляем еще одну сеть со стороны микрота, и видим, что одна из сетей, которая до того работала отлично, отваливается, а сеть, которая только что добавлена - наоборот замечательно работает. при этом все сети настраивались с обоих сторон одинаково и встают в SA с обоих сторон. какой бубен мне взять, и как это дебажить? Спасибо заранее. -- With best regards, Gregory Edigarov

1 0