Làm cách nào để vô hiệu hóa tra cứu AAAA?

... Để bù đắp cho các máy chủ DNS bị hỏng nằm ngoài tầm kiểm soát của chúng tôi.

Vấn đề của chúng tôi: Chúng tôi triển khai các thiết bị nhúng thu thập dữ liệu cảm biến tại các trang web khác nhau, chủ yếu là IPv4. Một số trang web có mạng được bảo trì kém, ví dụ như bộ nhớ cache DNS bị hỏng hoặc / hoặc tường lửa bị hỏng hoàn toàn bỏ qua các truy vấn AAAA hoặc trả lời chúng với các phản hồi bị hỏng (ví dụ IP sai nguồn!). Là một nhà cung cấp bên ngoài cho bộ phận cơ sở, chúng tôi không có ảnh hưởng gì đến các bộ phận CNTT (đôi khi miễn cưỡng). Cơ hội để họ sửa chữa máy chủ / tường lửa DNS của họ bất cứ lúc nào sớm là rất nhỏ.

Ảnh hưởng trên thiết bị của chúng tôi là với mỗi gethostbyname (), các quy trình phải đợi cho đến khi hết thời gian truy vấn AAAA, tại thời điểm đó, một số quy trình đã hết thời gian thử kết nối của chúng.

Tôi đang tìm giải pháp ...

• toàn hệ thống. Tôi không thể cấu hình lại hàng tá ứng dụng riêng lẻ
• không cố định và cấu hình. Chúng tôi cần (bật lại) bật IPv6 trong đó / khi nó được sửa / triển khai. Khởi động lại là OK.
• Nếu một giải pháp yêu cầu một thư viện lõi như glibc phải được thay thế, gói thư viện thay thế sẽ có sẵn từ một kho lưu trữ được bảo trì tốt (ví dụ: Thử nghiệm Debian, vũ trụ Ubuntu, EPEL). Tự xây dựng không phải là một lựa chọn vì rất nhiều lý do mà tôi thậm chí không biết bắt đầu từ đâu, vì vậy tôi hoàn toàn không liệt kê chúng ...

Giải pháp rõ ràng nhất sẽ là cấu hình thư viện trình phân giải, ví dụ: via / etc / { decv , nsswitch , gai } .conf để không truy vấn các bản ghi AAAA. Một tùy chọn độ phân giải no-inet6như được đề xuất ở đây sẽ chính xác là những gì tôi đang tìm kiếm. Thật không may, nó không được triển khai, ít nhất là không phải trên các hệ thống của chúng tôi (libc6-2.13-38 + deb7u4 trên Debian 7; libc6-2.19-0ubfox6.3 trên Ubuntu 14.04)

Vậy thì thế nào? Người ta tìm thấy các phương pháp sau được đề xuất trên SF và các nơi khác, nhưng không phải phương pháp nào cũng hoạt động:

• Vô hiệu hóa IPv6 hoàn toàn, ví dụ: bằng cách liệt kê danh sách đen ipv6 LKM trong /etc/modprobe.d/ hoặc sysctl -w net.ipv6.conf.all.disable_ipv6=1. ( Vì tò mò: Tại sao trình giải quyết yêu cầu AAAA nơi IPv6 bị vô hiệu hóa? )
• Xóa options inet6khỏi /etc/resolv.conf. Nó không ở đó ngay từ đầu, inet6chỉ đơn giản là được bật theo mặc định những ngày này.
• Đặt options single-requesttrong /etc/resolv.conf. Điều này chỉ đảm bảo rằng các truy vấn A và AAAA được thực hiện tuần tự chứ không phải song song
• Thay đổi precedencetrong /etc/gai.conf. Điều đó không ảnh hưởng đến các truy vấn DNS, chỉ cách xử lý nhiều câu trả lời.
• Sử dụng các trình phân giải bên ngoài (hoặc chạy trình nền trình phân giải cục bộ phá vỡ các máy chủ DNS bị hỏng) sẽ giúp ích, nhưng thường không được phép bởi các chính sách tường lửa của công ty. Và nó có thể làm cho tài nguyên nội bộ không thể truy cập.

Ý tưởng xấu xí khác:

• Chạy bộ đệm DNS trên localhost. Định cấu hình nó để chuyển tiếp tất cả các truy vấn không phải AAAA, nhưng để trả lời các truy vấn AAAA bằng NOERROR hoặc NXDOMAIN (tùy thuộc vào kết quả của truy vấn A tương ứng). Tôi không biết bộ đệm DNS có thể làm điều này mặc dù.
• Sử dụng một số kết hợp iptables u32 thông minh hoặc mô-đun DNS iptables của Ondrej Caletka để khớp với các truy vấn AAAA, để từ chối icmp (cách trình phân giải lib phản ứng với điều đó?) Hoặc chuyển hướng chúng đến máy chủ DNS cục bộ phản hồi tất cả mọi thứ với một NOERROR trống.

Lưu ý rằng có những câu hỏi tương tự, liên quan đến SE. Câu hỏi của tôi khác nhau khi nó giải quyết vấn đề thực tế mà tôi đang cố gắng giải quyết, vì nó liệt kê các yêu cầu rõ ràng, vì nó liệt kê một số giải pháp không hoạt động thường được đề xuất và vì nó không dành riêng cho một ứng dụng. Sau cuộc thảo luận này , tôi đã đăng câu hỏi của mình.

• Tra cứu DNS IPv6
• Làm cách nào để tắt yêu cầu bản ghi AAAA khi tôi không có địa chỉ IPv6?
• Vô hiệu hóa tra cứu AAAA trong libcurl

Ngừng sử dụng gethostbyname(). Bạn nên sử dụng getaddrinfo()thay thế, và nên có được trong nhiều năm nay. Trang người đàn ông thậm chí cảnh báo bạn về điều này.

Các hàm gethostbyname * (), gethostbyaddr * (), herror () và hstrerror () đã lỗi thời. Các ứng dụng nên sử dụng getaddrinfo (3), getnameinfo (3) và gai_strerror (3) để thay thế.

Dưới đây là một chương trình mẫu nhanh chóng trong C mà chứng tỏ nhìn lên chỉ bản ghi A cho một cái tên, và chụp Wireshark cho thấy rằng chỉ một tra cứu kỷ lục đi qua mạng.

Cụ thể, bạn cần phải đặt ai_familythành AF_INETnếu bạn chỉ muốn thực hiện tra cứu bản ghi. Chương trình mẫu này chỉ in các địa chỉ IP được trả về. Xem getaddrinfo()trang hướng dẫn để biết ví dụ đầy đủ hơn về cách tạo kết nối đi.

Trong bản chụp Wireshark , 172.25.50.3 là trình phân giải DNS cục bộ; việc chụp được thực hiện ở đó, vì vậy bạn cũng thấy các truy vấn và phản hồi gửi đi của nó. Lưu ý rằng chỉ có một bản ghi A được yêu cầu. Không có tra cứu AAAA đã từng được thực hiện.

#include <sys/types.h>
#include <sys/socket.h>
#include <string.h>
#include <stdlib.h>
#include <netdb.h>
#include <stdio.h>

int main(void) {
    struct addrinfo hints;
    struct addrinfo *result, *rp;
    int s;
    char host[256];

    memset(&hints, 0, sizeof(struct addrinfo));
    hints.ai_family = AF_INET;
    hints.ai_socktype = SOCK_STREAM;
    hints.ai_protocol = 0;

    s = getaddrinfo("www.facebook.com", NULL, &hints, &result);
    if (s != 0) {
        fprintf(stderr, "getaddrinfo: %s\n", gai_strerror(s));
        exit(EXIT_FAILURE);
    }

    for (rp = result; rp != NULL; rp = rp->ai_next) {
        getnameinfo(rp->ai_addr, rp->ai_addrlen, host, sizeof(host), NULL, 0, NI_NUMERICHOST);
        printf("%s\n", host);
    }
    freeaddrinfo(result);
}

Khi nghi ngờ, hãy đến mã nguồn! Vì vậy, hãy xem ... gethostbyname () trông thú vị; mô tả chính xác những gì chúng ta đang thấy: trước tiên hãy thử IPv6, sau đó quay lại IPv4 nếu bạn không nhận được câu trả lời mình thích. RES_USE_INET6Lá cờ này là gì? Truy tìm lại, nó đến từ res_setoptions () . Đây là nơi resolv.confđược đọc trong.

Và .... đó là ý tưởng của tôi. Tôi hoàn toàn không rõ làm thế nào mà nó RES_USE_INET6được thiết lập nếu không resolv.conf.

Bạn có thể sử dụng BIND làm trình phân giải cục bộ, nó có tùy chọn để lọc AAAA:

https://kb.isc.org/article/AA-00576/0/Filter-AAAA-option-in-BIND-9-.html

Bạn đã thử thiết lập PDNS-recoder, đặt nó trong /etc/resolv.conf và từ chối tra cứu "AAAA" trong đó chưa? Sử dụng một cái gì đó nhưquery-local-address6=