会社のネットワークが参照してるDNSサーバをかえてみました。
（※回線は変えてませんし、家庭用のお話でもありません）
１．事の発端
別部署「新しいドメインのサイトが開けないんだけど！スマホでは普通に見れるからうちのネットワークがおかしくね？」
ぼく「いやどこもおかしくは…あれ、見れないっすね。ちょっと調べますわ。」
２．条件
- 外向きの回線は２本ある。（k-OpticomとOCN）
- DNSはドメコン
- ドメコンの参照先はk-op（＝主回線）
- 指摘されたドメインはとって数日＆その日（数時間前）に設定した
３．しらべる
いろんな場所からnslookupする
- クライアントから（参照先はドメコン） → 見つからない
- ドメコンから（参照先はk-op） → 見つからない
え？
ちょっと外に出れる場所（DMZ）から引いてよう。
- DMZからk-opに聞く → 見つからない
- DMZからGoogle Public DNS（8.8.8.8）に聞く → 出た
あるじゃん。
- DMZからOCN（副回線）に聞く → 答えてくれない
k-opの回線からOCNのDNSに聞いてた…。
ルータにスタティックルート振る
- k-opのDNSサーバをWAN1（k-op）に
- OCNのDNSサーバをWAN2（OCN）に
明示的に指定した。
これで切れたら切れた方聞きに行けなくした。
再びnslookupする
- DMZからOCN（副回線）に聞く → 出る
あるじゃん。
- DMZからk-opに聞く（再び） → 見つからない
まだ出ないじゃん。
何か早くね？
下（ドメコンとか）からも通るようにした。
適当なドメイン（キャッシュしてなさそうなドメイン）を両方宛に聞いてみる
- ドメコンからk-opに聞く → 問題なく引ける
- ドメコンからOCNに聞く → 問題なく引ける
よし。
と思ったんだけど、なんかOCNのほうが早くね？？
４．はやい・おそい
「Google Public DNS使えば？」とか軽々しく言われるけど、
これ会社のネットワークだからそんな簡単じゃないの。家なら別にいいけど。
それぞれのDNSサーバ
k-Opticom
http://cs.eonet.ne.jp/usqa/net/connect/2090/30120/3012855_2632.html
Pri：60.56.0.135 ／ Sec：218.251.89.134
（※eoじゃない、ビジネス光も同じっぽい）
OCN
http://www.ocn.ne.jp/info/tech/netset/
Pri：221.113.139.250 ／ Sec：202.234.232.6
（※うちは関西です）
しらべる
namebenchをつかいました
http://www.forest.impress.co.jp/docs/review/20091218_336554.html
あ、やっぱり数字でわかるレベルでOCNのほうが早いわ。
５．設定をいじる
フォワーダ
ドメコンのdnsmgmt.mscを開いてDNSサーバのプロパティからフォワーダの設定をいじるだけ
- k-op（Pri）
- k-op（Sec）
こうなってたのを、
- OCN西（Pri）
- OCN東（Sec）
- k-op（Pri）
- k-op（Sec）
こうした。上から順に聞く。
スタティックルート
そもそもドメコンのデフォルトルートが外向いてない。
別のルータに行ってから、そいつのスタティックルートで上記DNSサーバだけ外向きに飛んでるけど、
DNSサーバのDNSリクエストだけFWさんに通れるようにしてもらった。
ので、ドメコンに設定
「route print」←確認
「route add -p 221.113.139.250 mask 255.255.255.255 192.168.***.***」←ネクストホップ
「route print」←確認
これを4回くりかえす。
これで、
ドメコン→ルータ→ルータ→FW→ルータ→DNSサーバ
が
ドメコン→FW→ルータ→DNSサーバ
こうなった。
６．何かネット速くなったね
DNSを
- 聞きに行くルートが短くなった
- そもそも聞きに行く先がかわった
回線自体は変わってないんだけど、わりと実感できるレベルでレスポンス変わったよねってお話。
企業のネットワークで非常に複雑になってるところを変えてるので、
家のパソコンで参照先をGoogle Public DNSに変えた時以上の変化がありました。
って主目的忘れてた。
７．k-OpticomのDNSの何が悪いの
切れる
そもそも「eo DNS 障害」でググるとそこそこでる。
攻撃うけてよくとまってるみたいで、一時期自宅のネットワークも参照先をGoogle Public DNSに変えたことがある。
DoS攻撃くらってんなら仕方ないんじゃない？とか思うけど、
それ以前にたまに返事なかったりする、気がする。（外向きルータの死活監視）
気分の問題だといいね。
実際はそれなりにログとか残ってたりすんだけど。
公開しないけど。
浸透がおそい？
浸透いうな！！
http://www.e-ontap.com/dns/propagation/
DNSは「浸透」じゃないです。（学生時代はぼくも「浸透」って言ってました）
そもそも今回問題の発端になったドメインは、真新しい設定したてのドメインです。
他のどのDNSサーバに聞いても帰ってきたので、知らないのは「ごく一部だけ」です。
その「ごく一部」に該当したk-opのDNSサーバは、ISPのDNSサーバのわりにはちょっとアレっぽい。
というのが今回の結論。
何か前にも同じ事があって、折角TTL短くしてたのに切り替わらないってことがあったみたいです。うちで。
あ、そうそう、ずっと問い合わせ続けてたら引けるようになりました。
遅いよ！！！！
８．どうすればいいの
２本以上回線引いてる環境なら、もう片方の回線にDNSリクエストだけ全部振ればいいんじゃない？
１本しかないなら…フォワーダの下の方に8.8.8.8入れとく？
あとドールとかの趣味ブログにこういう話って似合わないよね？
最近のコメント