Mikrotik и странности с DNS (циклические ошибки резолвинга), как решить?

Question

[Александр]

Вот уже на протяжении пары месяцев замечаю что иногда тупят сайты, проекты и дело в том, что отваливается DNS.
Ярче всего это наблюдается когда запускаешь docker build на проекте и идет много запросов к DNS.

Вот так:
Error response from daemon: Get https://index.docker.io/v1/users/: dial tcp: lookup index.docker.io on 192.168.0.1:53: read udp 192.168.0.2:58812->192.168.0.1:53: i/o timeout

Или так:
ERROR: dial tcp: lookup dseasb33srnrn.cloudfront.net on 192.168.0.1:53: read udp 192.168.0.192:58979->192.168.0.1:53: i/o timeout

Причем это происходит на двух разных микротиках (CRS125 и RB3011), прошивки были от 6.38.1, до текущей 6.38.5 на разных провайдерах. Кратковременно решается через очистку кеша.

Сам по себе DNS настроен на Mikrotik достаточно стандартно и пробовал играться с размерами кеша, TTL, размером UDP запроса, кол-вом запросов, upstream DNS (гугловый, opendns и свои локальные):

RB3011:
/ip dns
set allow-remote-requests=yes cache-max-ttl=1m cache-size=1024KiB max-concurrent-queries=200 max-concurrent-tcp-sessions=50 query-server-timeout=1s \
query-total-timeout=2s servers=4.2.2.2,4.2.2.1

CRS125:
/ip dns
set allow-remote-requests=yes cache-max-ttl=1m max-concurrent-queries=200 max-concurrent-tcp-sessions=50 max-udp-packet-size=16384 \
query-server-timeout=1s query-total-timeout=2s servers=8.8.8.8

В файрволе были правила на редирект DNS запросов, но они сейчас отключены т.к. при action=redirect криво работали Windows машинки, часто заявляя что интернета нет (по этому вопросу было бы тоже интересно услышать комментарии).

Может кто-то поможет? Если меняешь /etc/resolv.conf на тестовой машинке с докером, то ошибок с резолвом нет вообще.

Answer 1

[Ltonid]

А много запросов это сколько? На микротике стоит RouteOS как ни крути это линукс с демонами. может вы просто его заддосили и он лег. У вас кеш в 1Мб, может он забивается, попробуйте увеличить.

Comments

[Александр]

Много, это всего-то десяток - фактически сборка докер-виртуалок через docker-compose это всегда приключение.
Кеш по-умолчанию стоит 2 Мб (т.е. я и 1 и 2 пробовал, и больше тоже), он не забивается, да и TTL я специально уменьшал до 1 минуты.

На докере это ярче всего выражено т.к. ошибка является фатальной, при обычной работе это выражается в иногда залипших процессах в браузере (помогает F5) и т.п.

P.S. Как мне ни нравится Mikrotik, но DNS и правда там корявый ;(

Answer 2

[OviKosta]

Попробуй поднять cache-size: 4096KiB, также max-concurrent-queries: 500 и max-concurrent-tcp-sessions: 250.
Глянь еще connection на 53 порт в firewall, нет ли там большого количества запросов от нежелательных src.