[Udnet] Cambio de zona raíz "." en servidor DNS por desempeño
Andrés Abelardo Villarroel Acosta
aavillarroela en udistrital.edu.co
Mie Ene 16 08:19:14 COT 2013
-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
Buenos d￭as.
Se encontr que el servidor DNS (ares.udistrital.edu.co) respond￭a
solicitudes de nombres DNS en tiempos mayores a 4 segundos cuando se
trataba de un nombre fresco (que no estuviera en la cache del DNS)
Haciendo pruebas con la utilidad "time" de la siguiente manera:
time nslookup <nombre_a_resolver> <servidor_dns>
Donde nombre_a_resolver, fueron nombres de dominio tomados al azar y
servidor_dns fu￩ uno de los siguientes se encontraron los siguientes
resultados:
Ejemplo
time nslookup es.blingee.com 10.20.100.18
Server: 10.20.100.18
Address: 10.20.100.18#53
Non-authoritative answer:
Name: es.blingee.com
Address: 209.59.169.23
real 0m4.194s
user 0m0.003s
sys 0m0.000s
Aqu￭ el tiempo de resolucin del nombre fu￩ de 4.194 segundos.
Muestras tomadas:
<nombre>
<dns> <tiempo>
es.blingee.com
10.20.100.18 0m4.194s <-
10.20.100.23 0m0.157s
vkontakte.com (no existe)
10.20.100.23 0m0.272s
10.20.100.18 0m4.318s <-
vkontakte.ru
10.20.100.23 0m0.201s
10.20.100.18 0m0.200s
glamtasticxxpro.xanga.com
10.20.100.23 0m0.153s
10.20.100.18 0m4.231s <-
juhgf.es.b2b168.com
10.20.100.23 0m0.329s
10.20.100.18 0m4.370s <-
www.farmaciasahumada.cl
10.20.100.18 0m5.268s <-
10.20.100.23 0m0.295s
200.69.103.49 0m0.006s
200.69.103.68 0m0.006s
www.colliers-ufg-pm.com
200.69.103.68 0m0.232s
200.69.103.49 0m4.367s <-
md5.wintvs.com
200.69.103.68 0m0.266s
200.69.103.49 0m4.299s <-
service.nso.go.th
200.69.103.49 0m10.716s <-
200.69.103.68 0m0.688s
clients.nishantarora.in
10.20.100.23 0m0.640s
10.20.100.18 0m5.204s <-
Como se puede ver en este punto hay problema de desempeo con los
servidores de nombres 10.20.100.18 y 200.69.103.49.
El servidor 10.20.100.18 utiliza el 200.69.103.49 como ra￭z, as￭ que
el problema est￡ realmente en el segundo.
Evaluacin de cambios.
Se realizaron los siguientes cambios.
Cambios que se realizaron, hasta encontrar la causa del problema.
1. Archivo named.conf contiene una IP que no responde, 10.20.100.27 se
cambia por 10.20.100.23 en la seccin de clientes permitidos.
2. Archivo named.ca era del ao 2005, aunque este archivo
pr￡cticamente no cambia se actualiza desde
http://www.internic.net/domain/named.root
3. Se agregan enlacen simblicos a todos los archivos de zona en
/var/named que no se encontraban, que si estaban en
/var/named/chroot/var/named
4. En el archivo de zona de udistrital.edu.co se mueve la directiva
$ORIGIN udistrital.edu.co. al comienzo del archivo
5. En la zona en teor￭a reversa 20.10.in-addr.arpa hay una entrada
tipo A (m￡s no tipo PTR), esto lo toma el servidor DNS solo como una
advertencia, esta entrada se ignora pues no cumple que
ares.udistrital.edu.co sea un subdominio de 20.10.in-addr.arpa
- ----8<----
named-checkzone 20.10.in-addr.arpa slaves/10.20.rev
dns_master_load: slaves/10.20.rev:3688: ignoring out-of-zone data
(ares.udistrital.edu.co)
zone 20.10.in-addr.arpa/IN: loaded serial 1346289
OK
l￭nea:
ares.udistrital.edu.co A 200.69.103.49
- ---->8----
6. Se cambia la zona 20.10.in-addr.arpa de slave a master ya que no
est￡ recibiendo actualizaciones desde el 29 de octubre (en teor￭a
deber￭a estar recibiendo actualizaciones desde los servidores DNS de
dominio Windows), el ltimo registro ingresado es:
80 PTR portatiludnet.udistrital.edu.co.
7. Se cambia la zona ra￭z "." de hint a forward y se ajustan los
forwarders para ser los servidores de DNS cach￩ pblicos de Google.
Antes:
// zone "." IN {
// type hint;
// file "named.ca";
// };
Ahora:
zone "." IN {
type forward;
forwarders { 8.8.8.8 ; 8.8.4.4 ; };
};
Este ltimo cambio hizo que los tiempos de respuesta mejoraran
significativamente respondiendo siempre en menos de 500ms
www.treescapesni.co.uk
10.20.100.18 0m0.091s
200.69.103.49 0m0.006s
www.ivoox.com
200.69.103.49 real 0m0.073s
satvocab.tk
200.69.103.49 0m0.243s
musicabateriafina.com
10.20.100.18 0m0.073s
www.veengle.com
10.20.100.18 0m0.139s
bar.foo (no existe)
10.20.100.18 0m0.153s
foo.bar (no existe)
200.69.103.49 0m0.077s
Posibles causas del problema de desempeo:
Existe un registro NS que hace referencia a un servidor que no se
puede acceder desde Internet, se trata de gemini.udistrital.edu.co el
cual es una respuesta autoritativa del servidor NS de que all￭ hay un
servidor NS y no en realidad desde gemini.udistrital.edu.co no hay
respuesta de DNS.
[andres en terpsichore ~]$ nslookup
> server A.ROOT-SERVERS.NET
Default server: A.ROOT-SERVERS.NET
Address: 198.41.0.4#53
Default server: A.ROOT-SERVERS.NET
Address: 2001:503:ba3e::2:30#53
> set type=ns udistrital.edu.co
Server: A.ROOT-SERVERS.NET
Address: 198.41.0.4#53
Non-authoritative answer:
*** Can't find udistrital.edu.co: No answer
Authoritative answers can be found from:
co nameserver = ns2.cctld.co.
co nameserver = ns4.cctld.co.
co nameserver = ns1.cctld.co.
co nameserver = ns6.cctld.co.
co nameserver = ns5.cctld.co.
co nameserver = ns3.cctld.co.
ns1.cctld.co internet address = 156.154.100.25
ns1.cctld.co has AAAA address 2001:502:2eda::21
ns2.cctld.co internet address = 156.154.101.25
ns2.cctld.co has AAAA address 2001:502:ad09::21
ns3.cctld.co internet address = 156.154.102.25
ns3.cctld.co has AAAA address 2610:a1:1009::21
ns4.cctld.co internet address = 156.154.103.25
ns4.cctld.co has AAAA address 2610:a1:1010::21
ns5.cctld.co internet address = 156.154.104.25
ns5.cctld.co has AAAA address 2610:a1:1011::21
ns6.cctld.co internet address = 156.154.105.25
ns6.cctld.co has AAAA address 2610:a1:1012::21
> server ns2.cctld.co
Default server: ns2.cctld.co
Address: 156.154.101.25#53
Default server: ns2.cctld.co
Address: 2001:502:ad09::21#53
> udistrital.edu.co
Server: ns2.cctld.co
Address: 156.154.101.25#53
Non-authoritative answer:
*** Can't find udistrital.edu.co: No answer
Authoritative answers can be found from:
udistrital.edu.co nameserver = NS9.NEUSTARREGISTRY.BIZ.
udistrital.edu.co nameserver = NEO-CATALINA.udistrital.edu.co.
udistrital.edu.co nameserver = NS8.NEUSTARREGISTRY.BIZ.
udistrital.edu.co nameserver = ARES.udistrital.edu.co.
ARES.udistrital.edu.co internet address = 200.69.103.49
NEO-CATALINA.udistrital.edu.co internet address = 200.69.103.68
> server ARES.udistrital.edu.co
Default server: ARES.udistrital.edu.co
Address: 200.69.103.49#53
> udistrital.edu.co
Server: ARES.udistrital.edu.co
Address: 200.69.103.49#53
udistrital.edu.co nameserver = gemini.udistrital.edu.co.
udistrital.edu.co nameserver = neo-catalina.udistrital.edu.co.
udistrital.edu.co nameserver = ares.udistrital.edu.co.
> server gemini.udistrital.edu.co
Default server: gemini.udistrital.edu.co
Address: 200.69.103.20#53
> mail.udistrital.edu.co
;; connection timed out; no servers could be reached
Desde Internet:
http://centralops.net/co/NsLookup.aspx?domain=mail.udistrital.edu.co&type=255&server=gemini.udistrital.edu.co&class=1&port=53&timeout=5000
Con este cambio las respuestas de todos los sistemas que dependan de
resolucin de nombres deben comenzar a tener tiempos de respuestas mas
r￡pidos incluyendo el servicio de Internet.
Adem￡s se debe cambiar el servidor NS autoritativo de
udistrital.edu.co para que deje de informar que en
gemini.udistrital.edu.co hay un servidor de nombres, esperar que este
cambio replique por Internet y si es necesario volver a la
configuracin en la que la zona "." era de hinting hac￭a los
servidores DNS ra￭ces.
Este cambio deber￭a ser transparente para todos los usuarios, sin
embargo pido por favor validar todos los sistemas que se puedan ver
impactados los cuales est￩n en su alcance. Gracias.
Cordialmete.
- --av.-
- --
Andr￩s Abelardo Villarroel Acosta
Contratista Universidad Distrital Francisco Jos￩ de Caldas
rea de plataformas - Red UDNET
aavillarroela en udistrital.edu.co
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v2.0.19 (GNU/Linux)
Comment: Using GnuPG with Thunderbird - http://www.enigmail.net/
iQEcBAEBAgAGBQJQ9qjSAAoJEMx52kKp9SgJ38sH/2SV16N1ZXQjioehl/1hEFPQ
vjhu4bxy9Gmg6zYwZ+SWlKfRzXFoNXLVlT+p9Qp5whqB6/oBaBsOvdcQCVIcQ0nh
C6R4V2+4PcLdZ18znXWqSBKWcZKg0HRcSJPe11gzCbXFeEXw5xJG+N35Qvo1HQIZ
nUnTQH7qF0pwrF3Kt/Rv5VMMLvFEH2tidLZ6DSp8kmUZF9udZ7ogRtoU6jLHf6RU
CXzX6SGwnV4efQahX7XGZPvkNsBIc0kDSNX2YRTszITIi0+fbCnbHVy7KnXqrSQV
e3Etcr+iTkPWuM2KoOTDqlRyZTJP+Yfe6IcJCOzwgwsBvbJFkYLmOSlnEJBvibg=
=uAzI
-----END PGP SIGNATURE-----
Más información sobre la lista de distribución Udnet