При использовании dnsmasq не срабатывает правило l7 protocol в микротике?

Question

[mikes]

Есть роутер микротик RD3011UiAS и несколько клиентов (android windows linux) для которых он шлюз и dns.
Роутер является VPN клиентом для частных сетей и для реализации custom domain forwarding сделано правило на основе l7 protocol (regexp простой domain1.ru|domain2.ru ) , которое перенаправляет DNS запросы двух доменных имен на другой DNS сервер.

На windows и android все работает исправно.. нужные имена разрешаются, а вот на ubuntu которая принудительно использует dnsmasq такое не срабатывает :(

nslookup zabbix.domain.ru
Server: 127.0.1.1
Address: 127.0.1.1#53

** server can't find zabbix.domain.ru: NXDOMAIN

хотя в wireshark видно что запросы в итоге уходят к ip шлюза.. ибо он роздан через dhcp

но в тоже время, если сделать

nslookup zabbix.domain.ru192.168.100.10
Server: 192.168.100.10
Address: 192.168.100.10#53

Name: zabbix.domain.ru
Address: 172.16.11.21

все работает, в wireshark честно говоря не увидел разницы между пакетами.. но правило срабатывает на микротике.
Что можно сделать в такой ситуации? не хочется удалять dnsmasq и network manager из ubuntu

Answer 1

[Vladimir Zhurkin]

Если я правильно понял, то в dnsmasq укажите разрешение имен для вашего домена.
Те укажите dnsmasq что за доменом domain1.ru надо ползти к ДНС mikrotik.

server=/yourdomain.ru/ip_your_mikrotik

Опять же, если я вас правильно понял.

Comments

[mikes]

беда в том, что конфиг dnsmasq контролирует Network manager.. и единственный forward для него уже является mikrotik.
если конечно убить NM и dnsmasq то все будет норм.. но не хотелось бы такого

[Vladimir Zhurkin]

mikes: Честно говоря странное желание, что мешает просто в NM указать в качестве dns 127.0.0.1 ?
Просто я таким не занимался вообще :)

С другой стороны

Network manager.. и единственный forward для него уже является mikrotik.

то он явно не отрабатывается. Так как в dnsmasq могут быть свои днс, но честно говоря в связки с NM я его не использовал. Но еще раз замечу, что проще наверно при подключении к VPN сразу отдачу DNS mikrotik. Отключились и DNS не будет.

Те будет такая связка VPN_Client > mikrotik > dns_other
На mikrotik указываем в качестве основного тот DNS где прописаны нужные сервера , у клиентов будет dns mikrotik. И вам не надо будет парсить трафик на L7 и перенаправлять запросы.

[mikes]

Vladimir Zhurkin: корни проблемы убунту идут отсюда forum.ubuntu.ru/index.php?topic=204076.0
dnsmasq используется теперь всюду в десктопной убунте.

пока решил проблему резолвинга отключением оного в /etc/NetworkManager/NetworkManager.conf

[Vladimir Zhurkin]

mikes: Да уж. Посмотрел я на NetworkManager и зависимости. Еще минус в копилку его не использовать.
Те насколько я понял, они пытаются его использовать как кеш днс в системе и должны передовать пакеты на указанный ДНС сервер. В общем все это сильно начинает смахивать на винду. Нет я сам так делаю, только с пониманием и без сторонний помощи в виде NetworkManager.

[mikes]

Vladimir Zhurkin: это решает проблему доступа к ресурсам в vpn подключениях по именам... Но в моем случае создаёт проблему, потому как vpn держит микротик.

[Vladimir Zhurkin]

mikes: а какая там проблема ? и чем она будет решатся лучше, чем ты укажешь любой другой днс сервер ?
Чем кеширование днс записей решает проблему подключения к VPN ?
Если провайдер блокирует имена и например они vpn (особенно актуально с принятием закона в РФ) , то есть у тебя кеш или нет пофиг. Другой момент, если провайдер будет заворачивать все записи ДНС к себе, но в пень такого провайдера и решать надо уж точно не таким путем. Разработчики NM просто вконец обкурились и им лень писать код, что добавляют еще больше лютого треша. Нет бы посмотреть код реализации ДНС кеша в dnsmasq и написать модуль для себя, мы лучше притащим весь dnsmasq. Ну , а если мне надо простите хитрожопа настроить dnsmasq, то видимо ты и без NM проживешь :) ты же типа умный. Это видимо такое мнение разрабов NM.

[mikes]

Vladimir Zhurkin: дело в автоматизации. ели через nm добавляешь vpn, то доменные имена для впн идут через одни dns, а остальное через другие.. логика тут есть.
непонятно только почему микротик не ловит пакеты от dnsmasq. понять бы в чем отличие.

[Vladimir Zhurkin]

mikes:

о доменные имена для впн идут через одни dns, а остальное через другие.. логика тут есть.

Я всегда считал, что если ты попал в VPN сеть , то используй его правила, его маршруты и его днс.
Проблема, что нам ВДРУГ при vpn надо куда еще , и что бы использовался другой ДНС спорна.
Хотя конечно такие ситуации бывают.

Другой момент:

которое перенаправляет DNS запросы двух доменных имен на другой DNS сервер.

Так как на mikrotik это по сути кеш, почему бы не все днс запросы отправлять туда ? Зачем такая выборка двух доменов ?

непонятно только почему микротик не ловит пакеты от dnsmasq. понять бы в чем отличие.

Покажите правило L7 и нарисуйте схематично схему.

[mikes]

Vladimir Zhurkin: микротик держит постоянный vpn (l2tp) с офисом.. и при этом я не хочу, что бы все домашние компы использовали офисный dns.. хочется только запросы в офисный домен пересылать в офисный dns, а все остальное через dns провайдера. и на других клиентах в сети это работает.. проблема тока в убунте.

правило простое.. все что попадает в l7 и udp на порт 53 идет в dstnat ip офисного dns

ubuntu -> microtik -> vpn

[Vladimir Zhurkin]

правило простое.. все что попадает в l7 и udp на порт 53 идет в dstnat ip офисного dns

В чем причина не показать правило? Ну ок будем немного телепатами.

Если убрать L7 (все еще непонятно зачем ради двух доменов) и прописать статикой
/ip dns static add name=".*\\.lan\$" address=нужный вам днс сервер
соотвественно поставив свой домен, будет ли работать пересылка ?

ну и через l7 , самый простой вариант
копи паст с сайта

/ip firewall layer7-protocol
add name=testdns regexp=lantest.mindlesstux.com

/ip firewall nat
add action=dst-nat chain=dstnat disabled=no dst-address=4.2.2.2 dst-port=53 layer7-protocol=testdns protocol=udp to-addresses=8.8.8.8 to-ports=53
add action=dst-nat chain=dstnat disabled=no dst-address=4.2.2.2 dst-port=53 layer7-protocol=testdns protocol=tcp to-addresses=8.8.8.8 to-ports=53

где 4.2.2.2 это сервер Mikrotik
8.8.8.8 - куда пересылать

На mikrotik можно настроить снифер и посмотреть, куда все же летят пакеты. На худой конец запустить tcpdump на ubuntu и посмотреть, куда они улетают.

[mikes]

сейчас и есть правило
chain=dstnat action=dst-nat to-addresses=172.16.10.110 layer7-protocol=work_domain protocol=udp in-interface=home_net dst-port=53 log=yes log-prefix="work_dns_dnat"

add name=work_domain regexp=domain1.ru|domain2.ru

на микротике смотрел снифер.. пакеты исправно приходят на ip mikrotik
wireshark на ubuntu показывает тож самое.. разницы в пакетах между dnsmasq и простым запросом не увидел.

Единственное я не пробовал вот такой вариант.. чет не нашлось при поиске
/ip dns static add name=".*\\.lan\$" address=нужный вам днс сервер

[Vladimir Zhurkin]

на микротике смотрел снифер.. пакеты исправно приходят на ip mikrotik
wireshark на ubuntu показывает тож самое.. разницы в пакетах между dnsmasq и простым запросом не увидел.

Ну, а ответ то уходит ? :) Иначе мистика.
Как вариант dig еще раз пройтись по всем запросам, я не очень люблю nslookup

[mikes]

Vladimir Zhurkin: ответ конечно приходит.. тока имя не резолвит ибо публичные dns не содержат нужных адресов.. они есть только во внутреннем dns (172.16.10.110)

по непонятной причине запросы приходят именно в резолвер самого микротика, а не в правило которе делает dst-nat..
в тоже время если сделать даже от балды на компе с убунту
nslookup zabbix.domain.ru 1.1.1.1
то правило сработает и я получу ответ

[Vladimir Zhurkin]

mikes: так mikrotik пошлет сам себе запрос на input и не будет проходит цепочку nat, это если я правильно понял. Тогда надо static прописать.

Я ради интереса попробовал, у меня в общем на ubuntu все прекрасно проходит и уходит.

[mikes]

Vladimir Zhurkin: если запрошу nslookup zabbix.domain.ru IP_микротик то правило отрабатывает 100 из 100.
и на андроид+вин где dns приходит по dhcp и там IP_микротик все работает исправно.

мистика и только.
по идее бы не важно что делает dnsmasq .. пакеты должны быть перехвачены и отправлены куда надо, но этого не происходит

[mikes]

Vladimir Zhurkin: static не подходит.. в этом случае все адреса домена будут резолвится в 1 ip.