Почему днс сервер перестал быть доступен по имени?

Question

[Довольный Айтишникъ]

Есть свой VPS, кроме всего прочего на нём установлен свой днс сервер, который фильтрует всякую гадость. Раньше, указав на своем телефоне адрес днс сервера как доменное имя dns.xxxxxxx.ru, всё прекрасно работало, но некоторое время назад такая конфигурация перестала работать, нет интернета, пока не укажешь ip адрес днс сервера вместо имени. При этом на самом сервере ничего не менялось, если выполнить на компе nslookup dns.xxxxxxx.ru то ip адрес выдает верный, аналогичная утилита в телефоне так же выдает верный адрес. Почему вдруг по имени перестало работать?

Во многих статьях указывают адрес днс именем

в общем для меня остаётся загадкой почему оно почти пол года работало и вдруг перестало.

Answer 1

[AlexVWill]

Рискну предположить, что если DNS сервер был DoH, и SSL сертификат был выдан Let's encrypt, то либо устарел сам сертификат сервера, либо корневой сертификат. Надо обновить сертификат.

Comments

[Довольный Айтишникъ]

Да, это оно(( Неожиданная подлянка.

[AlexVWill]

Довольный Жизнью, ну так обнови... не вижу проблемы

sudo certbot certonly --manual --preferred-chain "ISRG Root X1" --preferred-challenges dns

[Довольный Айтишникъ]

AlexVWill, Это я уже нашел, но certbot из репы убунты 20 не понимает параметра --preferred-chain "ISRG Root X1", а ставить snap очень неохота.

[AlexVWill]

Довольный Жизнью, старый сертбот, написал выше

Answer 2

[Rsa97]

Для того, чтобы получить IP-адрес по доменному имени клиент должен обратиться к DNS-серверу, послав запрос на IP-адрес этого сервера. Но если он знает только доменное имя DNS-сервера, то как ему найти IP-адрес сервера?

Comments

[Довольный Айтишникъ]

Логично и я это понимаю, но оно же работало почти пол года... Вот этого понять не могу. Ну и во многих статьях указывают адрес днс именем

в общем для меня это остаётся загадкой

[posters]

Довольный Жизнью, подтверждаю, что раньше работало (сейчас не проверял).

[posters]

Сейчас проверил. DNS сервер adguard, который раньше был указан по имени, а не по ip, слетел...
UPD. Переподключился и все работает.

[Drno]

Довольный Жизнью, то что у вас указано dns.google это просто настройка телефона. Что ЗА этой настройкой могу только подозревать. Но видимо IP адреса)

[AlexVWill]

Но если он знает только доменное имя DNS-сервера, то как ему найти IP-адрес сервера?

При первом подключении к DNS серверу, указанному в этом поле клиент получает его IP адрес с помощью любого работающего DNS сервера, получив IP он его кширует, и использует уже его, периодически обновляя в кеше. Если в какой то момент он не может достучаться до сервера или найти его IP, то используется любой другой доступный DNS, а для данного пол выводится сообщение об ошибке. Тоже самое происходит если устарел сертификат.

[Rsa97]

AlexVWill, А как подключиться в самый первый раз, если заданы только имена серверов? А никак. И если кэш протух, то тоже никак.
Разве что добавить записи в hosts, но это не везде возможно.

[AlexVWill]

Rsa97, провайдеры всегда предоставляют IP своих DNS, обычно роутер его автоматом получает либо он есть в инструкции по подключению провайдера. Можно вручную 8.8.8.8 забить. Та настройка о которой идет речь - это настройка Private DNS, т.е дополнительного DNS, который будет использоваться заместо штатного. Поскольку у DoH сервера в целях безопасности ест сертификат, а сертификат выдается не на IP, а на доменное имя (у него может быть много IP), то для ввода адреса DNS в данном поле IP не используют, т.к. нет смысла, а используют доменное имя.

Answer 3

[Drno]

DNS сервер всегда указывается IP адресом

Comments

[AlexVWill]

Чушь

[Saboteur]

AlexVWill, В некоторых конфигураторах, например в винде, когда в настройках ip ты указываешь днс, там даже поле ввода не позволяет ввести произвольный текст, только IP адрес.

[AlexVWill]

Saboteur, мы говорим не об "некоторых конфигураторах", а об конкретной ситуации на скриншоте, туда можно завести только URL. IP там не сработает.

[Drno]

AlexVWill, чушь вы несете. Там не URL а «настройка» телефона.
А за этой настройкой как раз ip адрес

[Довольный Айтишникъ]

Drno, ну, там в названии настройки указано hostname, логично предположить что это имя, так и указал, работало и теперь перестало. Странно.

[Drno]

Довольный Жизнью, я понимаю что это логично предполагать.
Но днс всегда использует IP)
Я соглашусь с другими в том плане что - ip адреса вшиты в прошивку, и видимо телефон их и берет
Работать оно перестало - истек срок сертификатов ssl. Андройд же старый у вас?

[AlexVWill]

Drno, перестань глупость писать, там имено доменное имя указывается, а не IP, открой любой Android смартфон и проверь сам. И никакие DNSв прошивку не вшиты, прсто при отсутствии указанных DNS берутся те DNS-записи, что даются провайдером.
Не надо писать то, в чем не понимаешь.
То, о чем мы гворим. скоре всего (но не обязательно), есть DoH сервер.
Довольный Жизнью На чем DNS поднят, не AdGuardHome случайно или Pi-Hole?

[Drno]

AlexVWill, допустим вы правы. тогда выходит что первичный запрос ДНС идет к провайдеру, определяется IP адрес dns.google, и уже после запросы идут к IP адресам dns.google. Вы это хотите сказать?

[AlexVWill]

Drno, да, и не допустим, а так и есть... полученный IP кешируется, и далее используется уже он. При этом периодически его IP (а он может меняться) обновляется и кешируется вновь. Не обязательно через DNS провайдера, т.к. в своем роутере можно указать и любой другой DNS, например Google 8.8.8.8, клиент будет использовать любой доступный. Почем используется не IP DNS а его доменное имя - я чуть выше объяснил в другом комментарии.

[Drno]

AlexVWill, Как днс работают я знаю))
ну тогда функция не так названа. т.к. это нифига не похоже на безопасный днс. т.к. идет утечка на сторонние сервера. нахрен эта функция не особо понятно, если всё равно первичные запросы идут от DNS сервака по dhcp который)

[AlexVWill]

Drno, погугли что такое DoH и как это работает. По сравнению с обычным DNS это намного надежнее...

[Drno]

AlexVWill, я вкурсе что такое DOH. у меня он и так работает для себя
я просто сомневаюсь что он внутри андройдовской прошивки

[AlexVWill]

Drno, android поддерживает этот протокол

[Довольный Айтишникъ]

Drno, Нет, андроид 10й (Redmi 9T), с сертификатом так же всё норм((

[Довольный Айтишникъ]

AlexVWill, Нет, dns на PowerDNS, но разве есть какая либо разница на чем он поднят?

[AlexVWill]

Довольный Жизнью, я просто буквально вчера решал точно такую же проблему на AdGuardHome, проблема была именно с сертификатом. Проблема не с сертификатом клиента, а сервера.

[Довольный Айтишникъ]

AlexVWill, похоже это действительно всё из-за истекшего сертификата https://community.letsencrypt.org/t/android-device...

но к сожалению certbot идущий в сдандартной репе 20й убунты параметр --preferred-chain="ISRG Root X1"не понимает((( Буду что-то думать.

[AlexVWill]

но к сожалению certbot идущий в сдандартной репе 20й убунты параметр --preferred-chain="ISRG Root X1"не понимает((( Буду что-то думать.

sudo apt-get remove certbot
sudo apt-get update && sudo apt-get upgrade
sudo snap install --classic certbot
sudo certbot certonly --manual --preferred-chain "ISRG Root X1" --preferred-challenges dns

[Довольный Айтишникъ]

AlexVWill, да, этот способ нашел, но не очень люблю snap и в системе его нет. Если не найду другого способа - придется вернуть.

[Saboteur]

Довольный Жизнью, Все дело в том, что это не есть прямая настройка DNS сервера, а просто включение режима приватный DNS. В этом случае ты или выбираешь другую опцию, где IP DNS сервера устанавливается через DHCP, или указываешь хост публичного DNS сервера, и телефон получает IP DNS сервера оттуда.

Таким образом это на самом деле не настройка DNS сервера, а настройка андроид смартфона на использование публичного DNS

Answer 4

[Василий Банников]

Предположу, что это работает с dns.google, тк его ip, скорее всего, захардкожен на android-смартфонах.
Со своим DNS это, конечно, не будет работать, тк кэш рано или поздно протухнет и негде будет узнать актуальный ip.

Как вариант решения - добавьте как альтернативный DNS - тот же гугл или конкретный ip

Comments

[Drno]

Вот я об этом же