会社のネットワークが参照してるDNSサーバをかえてみました。
(※回線は変えてませんし、家庭用のお話でもありません)
1.事の発端
別部署「新しいドメインのサイトが開けないんだけど!スマホでは普通に見れるからうちのネットワークがおかしくね?」
ぼく「いやどこもおかしくは…あれ、見れないっすね。ちょっと調べますわ。」
2.条件
- 外向きの回線は2本ある。(k-OpticomとOCN)
- DNSはドメコン
- ドメコンの参照先はk-op(=主回線)
- 指摘されたドメインはとって数日&その日(数時間前)に設定した
3.しらべる
いろんな場所からnslookupする
- クライアントから(参照先はドメコン) → 見つからない
- ドメコンから(参照先はk-op) → 見つからない
え?
ちょっと外に出れる場所(DMZ)から引いてよう。
- DMZからk-opに聞く → 見つからない
- DMZからGoogle Public DNS(8.8.8.8)に聞く → 出た
あるじゃん。
- DMZからOCN(副回線)に聞く → 答えてくれない
k-opの回線からOCNのDNSに聞いてた…。
ルータにスタティックルート振る
- k-opのDNSサーバをWAN1(k-op)に
- OCNのDNSサーバをWAN2(OCN)に
明示的に指定した。
これで切れたら切れた方聞きに行けなくした。
再びnslookupする
- DMZからOCN(副回線)に聞く → 出る
あるじゃん。
- DMZからk-opに聞く(再び) → 見つからない
まだ出ないじゃん。
何か早くね?
下(ドメコンとか)からも通るようにした。
適当なドメイン(キャッシュしてなさそうなドメイン)を両方宛に聞いてみる
- ドメコンからk-opに聞く → 問題なく引ける
- ドメコンからOCNに聞く → 問題なく引ける
よし。
と思ったんだけど、なんかOCNのほうが早くね??
4.はやい・おそい
「Google Public DNS使えば?」とか軽々しく言われるけど、
これ会社のネットワークだからそんな簡単じゃないの。家なら別にいいけど。
それぞれのDNSサーバ
k-Opticom
http://cs.eonet.ne.jp/usqa/net/connect/2090/30120/3012855_2632.html
Pri:60.56.0.135 / Sec:218.251.89.134
(※eoじゃない、ビジネス光も同じっぽい)
OCN
http://www.ocn.ne.jp/info/tech/netset/
Pri:221.113.139.250 / Sec:202.234.232.6
(※うちは関西です)
しらべる
namebenchをつかいました
http://www.forest.impress.co.jp/docs/review/20091218_336554.html
あ、やっぱり数字でわかるレベルでOCNのほうが早いわ。
5.設定をいじる
フォワーダ
ドメコンのdnsmgmt.mscを開いてDNSサーバのプロパティからフォワーダの設定をいじるだけ
- k-op(Pri)
- k-op(Sec)
こうなってたのを、
- OCN西(Pri)
- OCN東(Sec)
- k-op(Pri)
- k-op(Sec)
こうした。上から順に聞く。
スタティックルート
そもそもドメコンのデフォルトルートが外向いてない。
別のルータに行ってから、そいつのスタティックルートで上記DNSサーバだけ外向きに飛んでるけど、
DNSサーバのDNSリクエストだけFWさんに通れるようにしてもらった。
ので、ドメコンに設定
「route print」←確認
「route add -p 221.113.139.250 mask 255.255.255.255 192.168.***.***」←ネクストホップ
「route print」←確認
これを4回くりかえす。
これで、
ドメコン→ルータ→ルータ→FW→ルータ→DNSサーバ
が
ドメコン→FW→ルータ→DNSサーバ
こうなった。
6.何かネット速くなったね
DNSを
- 聞きに行くルートが短くなった
- そもそも聞きに行く先がかわった
回線自体は変わってないんだけど、わりと実感できるレベルでレスポンス変わったよねってお話。
企業のネットワークで非常に複雑になってるところを変えてるので、
家のパソコンで参照先をGoogle Public DNSに変えた時以上の変化がありました。
って主目的忘れてた。
7.k-OpticomのDNSの何が悪いの
切れる
そもそも「eo DNS 障害」でググるとそこそこでる。
攻撃うけてよくとまってるみたいで、一時期自宅のネットワークも参照先をGoogle Public DNSに変えたことがある。
DoS攻撃くらってんなら仕方ないんじゃない?とか思うけど、
それ以前にたまに返事なかったりする、気がする。(外向きルータの死活監視)
気分の問題だといいね。
実際はそれなりにログとか残ってたりすんだけど。
公開しないけど。
浸透がおそい?
浸透いうな!!
http://www.e-ontap.com/dns/propagation/
DNSは「浸透」じゃないです。(学生時代はぼくも「浸透」って言ってました)
そもそも今回問題の発端になったドメインは、真新しい設定したてのドメインです。
他のどのDNSサーバに聞いても帰ってきたので、知らないのは「ごく一部だけ」です。
その「ごく一部」に該当したk-opのDNSサーバは、ISPのDNSサーバのわりにはちょっとアレっぽい。
というのが今回の結論。
何か前にも同じ事があって、折角TTL短くしてたのに切り替わらないってことがあったみたいです。うちで。
あ、そうそう、ずっと問い合わせ続けてたら引けるようになりました。
遅いよ!!!!
8.どうすればいいの
2本以上回線引いてる環境なら、もう片方の回線にDNSリクエストだけ全部振ればいいんじゃない?
1本しかないなら…フォワーダの下の方に8.8.8.8入れとく?
あとドールとかの趣味ブログにこういう話って似合わないよね?
最近のコメント