Problema con NsLookup, DNS, OpenDns

[Michele]

Ciao.
Ho scritto anche nel newsgroup di reti locali ma non ho trovato
sufficienti aiuti per la risoluzione del mio "problema".
Ho una rete in uffici geograficamente lontani gli uni dagli altri
collegati insieme tramite vpn di IpCop.
All'interno di questi uffici ho posizionato controllori di dominio con
2003 server standard. Questi server forniscono anche il servizio DNS per
le macchine interne e hanno abilitato il forwarder sugli ip di OpenDns.
Il problema sta proprio in quest'ultimo argomento. Su 1 dei 5 DC il
problema non si pone, sugli altri 4 si, ecco di cosa si tratta:
se da linea di comando eseguo comando "nslookup www.google.it" o chiedo
di risolvere un qualsiasi altro dominio mi viene proposto lo stesso ip
che ho scoperto essere una delle macchine di OpenDns che risponde quando
non trova un dominio nella sua cache. Il punto è che OpenDns non riesce
a risolvere i nomi di dominio esterni perchè ad ogni richiesta che passo
attraverso il comando "nslookup" viene appiccicato dietro il mio dominio
aziendale; faccio un esempio chiarificatore supponendo che il nome del
mio dominio sia appunto "miodominio":

C:\Documents and Settings\Administrator>nslookup www.google.it
Server: localhost
Address: 127.0.0.1

Risposta da un server non di fiducia:
Nome: www.google.it.miodominio.it
Addresses: 67.215.65.132


Come si vede viene incollato dietro al dominio dato in pasto a nslookup
il nome del mio dominio ed è per questo che il nome non viene risolto.
non esiste!

Nell'altro newsgroup mi hanno detto che aggiungendo un punto in fondo al
nome da risolvere la richiesta funziona ed in effetti è così.

C:\Documents and Settings\Administrator>nslookup www.google.it.
Server: localhost
Address: 127.0.0.1

Risposta da un server non di fiducia:
Nome: google.navigation.opendns.com
Addresses: 208.69.34.230, 208.69.34.231
Aliases: www.google.it, www.google.com

Mi piacerebbe capire meglio come mai avviene questa cosa e come evitare
che avvenga.

Nota importante: ciò avviene *solo* se nei forwarder del DNS imposto i
gli ip di OpenDns, se imposto quelli Telecom nslookup funziona
regolarmente. Il fatto è che su tutti i server ho impostato quelli per
beneficiare dei filtri e cmq almeno su 1 server l'anomalia non avviene.

Conto in una qualche risposta chiarificatrice.

Grazie tante.

[Luca Sasdelli]

Nota importante: ciò avviene *solo* se nei forwarder del DNS imposto i gli ip
di OpenDns, se imposto quelli Telecom nslookup funziona regolarmente. Il
fatto è che su tutti i server ho impostato quelli per beneficiare dei filtri

Scusa se salto in modo drastico, ma io manterrei sincronizzati i 5 DNS
con un DNS (BSD, Linux ...) che forwarda direttamente i root-servers e
sul quale potrai inserire tutte le liste bogon che vorrai.

Ciao
Luca

[Michele]

Post by Luca Sasdelli
Scusa se salto in modo drastico, ma io manterrei sincronizzati i 5 DNS
con un DNS (BSD, Linux ...) che forwarda direttamente i root-servers e
sul quale potrai inserire tutte le liste bogon che vorrai.

Certo, si potrebbe implementare (con l'aggiunta di un'altra macchina che
al momento non ho intenzione di aggiungere) ma comunque questa non è
certo la risposta alla questione che ho posto.
Quello che mi interessa sapere è come mai impostando nei forwarder gli
ip di OpenDns viene aggiunto il nome del mio dominio al dominio che
chiedo di risolvere.

Grazie, ciao.

[Luca Sasdelli]

Certo, si potrebbe implementare (con l'aggiunta di un'altra macchina che al
momento non ho intenzione di aggiungere) ma comunque questa non è certo la
risposta alla questione che ho posto.

Dipende da qual'era la domanda: se vuoi sapere il perche', la mia non
era la risposta (per questo ho parlato di modo drastico); se invece
vuoi risolvere il problema, la mia e' una possibile soluzione.

Quello che mi interessa sapere è come mai impostando nei forwarder gli ip di
OpenDns viene aggiunto il nome del mio dominio al dominio che chiedo di
risolvere.

In icrl ti erano state fornite delle indicazioni, es. verificare se i
domini registrati sulle macchine Windows sono relativi o assoluti.
L'hai fatto?

Ciao
Luca

[Michele]

Post by Luca Sasdelli
Dipende da qual'era la domanda: se vuoi sapere il perche', la mia non
era la risposta (per questo ho parlato di modo drastico); se invece vuoi
risolvere il problema, la mia e' una possibile soluzione.

Dipende?!? La domanda, in forma indiretta era chiara: Cit. "Mi
piacerebbe capire meglio come mai avviene questa cosa e come evitare che
avvenga."
La tua è una soluzione che non mi permette di risolvere il problema con
gli strumenti che ho a disposizione cosa che io invece vorrei fare.

Post by Luca Sasdelli
In icrl ti erano state fornite delle indicazioni, es. verificare se i
domini registrati sulle macchine Windows sono relativi o assoluti.
L'hai fatto?

Ho anche chiesto come eseguire tale l'operazione, mi è stata data forse
la risposta?!? In fondo si scrive qua per imparare visto che nessuno,
come me e come te credo, nasce imparato..
Quindi ti sarei molto grato se mi indicassi come verificare se i domini
registrati sulle mie macchine Windows sono relativi o assoluti visto che
evidentemente non so come verificarlo.

Grazie di nuovo.

[Luca Sasdelli]

Ho anche chiesto come eseguire tale l'operazione, mi è stata data forse la
risposta?!?

Se non leggo male, la persona con cui dialogavi ha detto che non aveva
una macchina Windows sottomano per darti le indicazioni precise;
poiche' questo e' un ng e non un help-desk, io non mi sarei fermato li'
:-)

Quindi ti sarei molto grato se mi indicassi come verificare se i domini
registrati sulle mie macchine Windows sono relativi o assoluti visto che
evidentemente non so come verificarlo.

Fai clic col destro su Risorse del Computer - Proprieta' - Nome
computer e controlla che tutti i server siano settati allo stesso modo:
li' trovi anche il "famoso" puntino finale, che definisce il dominio
come /assoluto/.

Qui trovi qualcosa in merito:
http://www.tcpipguide.com/free/t_AbsoluteFullyQualifiedandRelativePartiallyQualifie.htm

Ciao
Luca

[Michele]

Post by Luca Sasdelli
Se non leggo male, la persona con cui dialogavi ha detto che non aveva
una macchina Windows sottomano per darti le indicazioni precise; poiche'
questo e' un ng e non un help-desk, io non mi sarei fermato li' :-)

Beh, e che avresti fatto? Come hai visto nessun altro ha risposto...
Visto che lo hai letto e sapevi qualcosa di più potevi scrivere
qualcosa, no? ;)

Post by Luca Sasdelli
Fai clic col destro su Risorse del Computer - Proprieta' - Nome computer
e controlla che tutti i server siano settati allo stesso modo: li' trovi
anche il "famoso" puntino finale, che definisce il dominio come /assoluto/.

Sono settati allo stesso modo, nessuna apparente differenza. Ma questo
"famoso" puntino dove dovrebbe stare? Dove lo devo cercare esattamente?
Come e dove si setta il dominio in maniera assoluta o relativa?

Grazie ancora.

Ciao.

[Luca Sasdelli]

Post by Michele
Beh, e che avresti fatto?

Avrei cercato documentazione altrove :-)
Lo spirito del ng e' relativo alla competenza e disponibilita' (tempo
ecc..) di chi lo frequenta, ma lo spirito dell'informatico in ricerca
... nulla lo ferma :-D

Post by Michele
Come hai visto nessun altro ha risposto... Visto
che lo hai letto e sapevi qualcosa di più potevi scrivere qualcosa, no? ;)

L'ho letto dopo aver visto il tuo post qui.

Post by Michele
Sono settati allo stesso modo, nessuna apparente differenza. Ma questo
"famoso" puntino dove dovrebbe stare? Dove lo devo cercare esattamente?

Se posto alla fine della stringa che descrive il nome della macchina,
indica un dominio assoluto; in caso contrario, si assume che debba
essere completato con il dominio di default.

Post by Michele
Come
e dove si setta il dominio in maniera assoluta o relativa?

Ma il link che ti ho dato l'hai letto?

Ciao
Luca

[Michele]

Post by Luca Sasdelli
Avrei cercato documentazione altrove :-)
Lo spirito del ng e' relativo alla competenza e disponibilita' (tempo
ecc..) di chi lo frequenta, ma lo spirito dell'informatico in ricerca
... nulla lo ferma :-D

Vabbè dai, pensi non lo abbia fatto? Non a caso sono venuto a scrivere
qui dopo alcuni giorni...

Post by Luca Sasdelli
L'ho letto dopo aver visto il tuo post qui.

Ok.

Post by Luca Sasdelli
Se posto alla fine della stringa che descrive il nome della macchina,
indica un dominio assoluto; in caso contrario, si assume che debba
essere completato con il dominio di default.

In nessuno dei server c'è un puntino alla fine del nome macchina.

Post by Luca Sasdelli

Post by Michele
Come e dove si setta il dominio in maniera assoluta o relativa?

Ma il link che ti ho dato l'hai letto?

L'ho letto ma credo sia una argomentazione generale e non riferita a
windows 20003 server. Cmq nemmeno lì ho trovato quello che mi serve.

Altro aiuto? :)

Grazie, ciao.

[Luca Sasdelli]

Post by Michele
In nessuno dei server c'è un puntino alla fine del nome macchina.

Quindi tutti hanno il nome hostname.dominio.ext
Giusto?
Fai una cosa: se puoi, prova a rinominarne uno (senza dare Ok alla
fine): mentre scrivi il nuovo nome, nella riga sotto alla finestrella
("Nome completo computer") appare il nome FQDN.

Post by Michele
L'ho letto ma credo sia una argomentazione generale e non riferita a
windows 20003 server. Cmq nemmeno lì ho trovato quello che mi serve.

Considera che con AD Microsoft implementa il sistema DNS, per cui tutto
cio' che riguarda il naming DNS e' compatibile con la tua rete.

In ogni caso, trovi tutto nell'help di Windows 2003:
DNS - Concetti - Nozioni sul DNS - Nomi di dominio DNS e segg.

Ciao
Luca

[Michele]

Post by Luca Sasdelli
Quindi tutti hanno il nome hostname.dominio.ext
Giusto?

Si.

Post by Luca Sasdelli
Fai una cosa: se puoi, prova a rinominarne uno (senza dare Ok alla
fine): mentre scrivi il nuovo nome, nella riga sotto alla finestrella
("Nome completo computer") appare il nome FQDN.

E' così: quindi??

Post by Luca Sasdelli
Considera che con AD Microsoft implementa il sistema DNS, per cui tutto
cio' che riguarda il naming DNS e' compatibile con la tua rete.
DNS - Concetti - Nozioni sul DNS - Nomi di dominio DNS e segg.

Grazie, avevo proprio dimenticato di dare un'occhiata al valido help di
microsoft...

Ciao.

[Luca Sasdelli]

Post by Michele
Grazie, avevo proprio dimenticato di dare un'occhiata al valido help di
microsoft...

Non capisco l'ironia: a me sembra che l'help on-line sia generalmente
molto sottovalutato. Comunque a mio parere fai meglio a incaricare un
tecnico esperto della faccenda, piuttosto che andare avanti a domande
oziose. Meno "pappa fatta" e un po' di curiosita' e di iniziativa, che
diamine!

Ciao
Luca

[Michele]

Post by Luca Sasdelli
Non capisco l'ironia: a me sembra che l'help on-line sia generalmente
molto sottovalutato. Comunque a mio parere fai meglio a incaricare un
tecnico esperto della faccenda, piuttosto che andare avanti a domande
oziose. Meno "pappa fatta" e un po' di curiosita' e di iniziativa, che
diamine!

Sei un bel tipo, eh? Prima mi dici di indagare, proseguire con le
indagini e poi che scrivi? "Andare avanti con domande oziose..." Se non
hai voglia di rispondere o, come credo, non sai rispondere alle domande
che ho posto, nessuno ti obbliga! Come ti ho detto nessuno nasce
imparato, nemmeno tu.

"Pappa fatta", lavoro nell'informatica da 15 anni e nemmeno immagini che
cosa non ho fatto da solo quando internet era ancora un miraggio.
Mantieniti alle argomentazioni del post invece di fare il maestrino
bacchettine.

Saluti.

[Luca Sasdelli]

Sei un bel tipo, eh? Prima mi dici di indagare, proseguire con le indagini e
poi che scrivi? "Andare avanti con domande oziose..."

Tento di riassumere:
- poni una domanda in icrl, si conclude col fatto che chi ti risponde
non ha li' per li' sottomano una macchina Windows, tu neanche rispondi
e vai a *lamentarti* su un altro ng
- hai verificato che il problema l'hai solo con OpenDNS: viene da se'
che potresti usare altri DNS, *però voglio usare OpenDNS*
- ti suggerisco di tagliare la testa al toro mettendo un nuovo DNS
unico per tutti, *però non voglio mettere un'altra macchina*
- ti indico della documentazione online sullo standard in materia,
*però non c'e' quello che dico io*
- ti suggerisco l'uso del dettagliato help Microsoft, *però lo snobbi*

Sorvolo sulla velata pretesa di una data risposta.

In sostanza chiedi che qualcuno ti dica, *passo passo*, come risolvere
il problema. Se tu fossi un *principiante* alle prese con XP ti darei
anche una mano, pero' gestisci 5 server in altrettante locazioni
geografiche e non credo abbia senso che un *amministratore di rete* sia
alla ricerca di un aiuto del genere: come minimo e' auspicabile che
*tu* voglia capire cosa accade e che cerchi una soluzione; ma il capire
cosa accade, se non rispecchia *esattamente* il tuo set-up non lo
prendi nemmeno in considerazione, e una soluzione non ti interessa,
perche' vuoi seguire sempre e soltanto quella determinata strada.

Scusa, ma questo non e' problem-solving, e' ... cocciutaggine :-)
Al prossimo problema, con questa mentalita', se non trovi subito quello
che ti prende la manina e ti porta alla soluzione, sei perso.

"Pappa fatta", lavoro nell'informatica da 15 anni e nemmeno immagini che cosa
non ho fatto da solo quando internet era ancora un miraggio.

Non e' questione di /chi ce l'ha piu' lungo/ e non ci voglio nemmeno
entrare: e' *metodo*, un tool che nel nostro lavoro serve sempre; i
concetti devi studiarteli, partire dai principi generali per *capire*
il *tuo* sistema e intervenire per *risolvere*: invece stai solo
chiedendo che qualcun altro capisca e intervenga al posto tuo.

Mantieniti alle argomentazioni del post invece di fare il maestrino
bacchettine.

Nessun maestrino, credimi: e' solo che un amministratore di rete deve
necessariamente avere uno sguardo ampio ed evoluzione, non fermarsi
alle guidine "for dummies". L'hai letto il capitolo dell'help di
Win2003 relativo ai DNS? C'e' veramente un sacco di roba, tutta gia'
trattata in questi due thread.

Comunque, assolutamente senza voler offendere la dignita' di nessuno
:-)

Ciao
Luca

[Michele]

Luca Sasdelli ha scritto:

[cut]

Post by Luca Sasdelli
Scusa, ma questo non e' problem-solving, e' ... cocciutaggine :-)
Al prossimo problema, con questa mentalita', se non trovi subito quello
che ti prende la manina e ti porta alla soluzione, sei perso.

Pensavo questo fosse un gruppo di discussione su problemi e questioni
riguardanti i sistemi server microsoft; evidentemente, se lo è, tu di
certo non ne sei il più adatto rappresentante visto che stai passando il
tempo a darmi lezioni su come dovrei fare il mio lavoro e a elargirmi
prediche di etica professionale.
La ricerca della documentazione credo si manifesti anche ponendo domande
su gruppi come questo: se ho una certa infrastruttura, con i suoi limiti
e i suoi vantaggi, non posso accettare la prima soluzione sbrigativa
che, capisco essere più immediata, mi viene proposta come quella di
installare una macchina alternativa da aggiungere al parco macchine. E
se la struttura non lo permette? E se l'azienda non mi finanzia? E se
non conosco Linux e ho paura di imbarcarmi in qualcosa di ancor più
complesso? E...? Hai pensato a queste eventuali possibilità? Io sarò
anche cocciuto ma tu potresti anche aver peccato di superficialità...

Post by Luca Sasdelli
Non e' questione di /chi ce l'ha piu' lungo/ e non ci voglio nemmeno
entrare: e' *metodo*, un tool che nel nostro lavoro serve sempre; i
concetti devi studiarteli, partire dai principi generali per *capire* il
*tuo* sistema e intervenire per *risolvere*: invece stai solo chiedendo
che qualcun altro capisca e intervenga al posto tuo.

Hai provato a fare un'analisi del problema insieme a me forse? Mi hai
fatto fare dei test? Solo prediche...
Fai anche tu dell'autocritica però...

Post by Luca Sasdelli
Nessun maestrino, credimi: e' solo che un amministratore di rete deve
necessariamente avere uno sguardo ampio ed evoluzione, non fermarsi alle
guidine "for dummies". L'hai letto il capitolo dell'help di Win2003
relativo ai DNS? C'e' veramente un sacco di roba, tutta gia' trattata in
questi due thread.

Ti parrà strano ma l'ho letto, anche più di una volta in fase di
installazione delle macchine in passato e proprio per quello ti ho detto
e ti ripeto che non mi serve a risolvere la questione.

Post by Luca Sasdelli
Comunque, assolutamente senza voler offendere la dignita' di nessuno :-)

Assolutamente.

[Luca Sasdelli]

Hai provato a fare un'analisi del problema insieme a me forse? Mi hai fatto
fare dei test? Solo prediche...

Dai, comincia da qui: http://www.opendns.com/support/article/34 :-)

Ciao
Luca

[Michele]

Post by Luca Sasdelli
Dai, comincia da qui: http://www.opendns.com/support/article/34 :-)

Nonostante quello che puoi pensare ho letto quell'articolo settimane fa,
lo so che aggiungendo il puntino la risoluzione dei nomi è corretta; in
quel modo non viene aggiunto il mio dominio in fondo alla query di
nslookup e la risposta è corretta.
Quello che l'articolo mi fa pensare è: se opendns pubblica tra le sue
faq che con windows nslookup si comporta così, non è che magari ad avere
qualche problema è proprio il server che io credo funzioni?? :)
A questo punto non so più che pensare...

Ciao.

[Luca Sasdelli]

modo non viene aggiunto il mio dominio in fondo alla query di nslookup e la
risposta è corretta.

Infatti il sito di OpenDNS spiega che tentano di risolvere i domini
PQDN (quelli senza trailing period) aggiungendo le estensioni piu'
comuni (c'e' anche qualche problema con google); inoltre Windows di
default se ne esce col dominio locale senza trailing period, in formato
appunto PQDN. Direi che sono entrambi a rischio di equivoci. Anche per
questo avrei visto bene una macchinetta con un DNS locale :-)

con windows nslookup si comporta così, non è che magari ad avere qualche
problema è proprio il server che io credo funzioni?? :)

E' possibile. Del resto, se le macchine appaiono configurate
esattamente nel medesimo modo (e senza trailing period in fondo al nome
host), non si spiega perche' una si' e quattro no. La prima prova che
farei e' rinominarli tutti, ma dato che sono DC, e' una pazzia; e
lasciare che a risolvere sia solo quello "buono" mentre gli altri
risolvono su di lui?

Ciao
Luca

[Andrea B.]

E' possibile. Del resto, se le macchine appaiono configurate esattamente
nel medesimo modo (e senza trailing period in fondo al nome host), non
si spiega perche' una si' e quattro no. La prima prova che farei e'
rinominarli tutti, ma dato che sono DC, e' una pazzia; e lasciare che a
risolvere sia solo quello "buono" mentre gli altri risolvono su di lui?

Ed eliminare i forwarders?

[ObiWan [MVP]]

Post by Michele
faq che con windows nslookup si comporta così, non è che magari
ad avere qualche problema è proprio il server che io credo funzioni??
:) A questo punto non so più che pensare...

prova a controllare quanto segue

Click destro su "network", seleziona la connessione di rete e poi le
proprietà TCP/IP, click su avanzate e poi DNS, prova a modificare
"aggiungi suffissi dns primari.." in "aggiungi i seguenti suffissi" ..
ma
lasciando poi l'elenco dei suffissi vuoto; conferma e riprova con il
lookup; se anche questo non va, sospetto che la causa possa essere
dovuta a qualche record errato in una delle zone DNS locali

Detto questo, personalmente preferisco NON usare forwarders e
lasciare che siano i DNS a risolvere direttamente le queries usando
i root-hints e la ricorsione

[Michele]

Post by ObiWan [MVP]
Click destro su "network", seleziona la connessione di rete e poi le
proprietà TCP/IP, click su avanzate e poi DNS, prova a modificare
"aggiungi suffissi dns primari.." in "aggiungi i seguenti suffissi" ..
ma
lasciando poi l'elenco dei suffissi vuoto; conferma e riprova con il
lookup; se anche questo non va, sospetto che la causa possa essere
dovuta a qualche record errato in una delle zone DNS locali

Non me lo fa fare: se seleziono "aggiungi i seguenti suffissi" non posso
lasciare il campo sotto vuoto!

Post by ObiWan [MVP]
Detto questo, personalmente preferisco NON usare forwarders e
lasciare che siano i DNS a risolvere direttamente le queries usando
i root-hints e la ricorsione

Possiamo anche essere d'accrdo ma ho spiegato all'inizio del post che
uso i forwarder di opendns per filtrare i contenuti.

Grazie, ciao.

[Andrea B.]

Michele ha scritto:

se fai nslookup www.google.it. (nota il puntino alla fine) che ti dice?

[Michele]

Post by Andrea B.
se fai nslookup www.google.it. (nota il puntino alla fine) che ti dice?

Se aggiungo il puntino mi da la risposta giusta e cioè:

C:\Documents and Settings\Administrator>nslookup www.google.it.
Server: localhost
Address: 127.0.0.1

Non-authoritative answer:
Name: google.navigation.opendns.com
Addresses: 208.69.34.231, 208.69.34.230
Aliases: www.google.it, www.google.com

Sapevo che mettendo il puntino in fondo avrei avuto la risposta giusta.
Il fatto è che su uno dei miei server la risposta giusta ce l'ho anche
senza mettere il puntino in fondo: mi sapete spiegare perchè e come far
si che tutti i server si comportino allo stesso modo e cioè che mi
risolvino i nomi SENZA aggiungere il puntino in fondo?

Grazie, ciao.

[Lion]

Una domanda, per capire meglio:

Active Directory si appoggia ad un proprio DNS interno per il corretto
funzionamento, tale DNS dove è installato? Solo sulla macchina funzionante o
anche sugli altri DC?

[Andrea B.]

Post by Lion
Active Directory si appoggia ad un proprio DNS interno per il corretto
funzionamento, tale DNS dove è installato? Solo sulla macchina funzionante o
anche sugli altri DC?

Io ho sempre usato il servizio DNS interno dei DC, non so se era questa
la domanda o intendevi la replicazione della zona?
Una banalità: prima di fare le prove hai flushato la cache?
Io ho fatto una prova su un DC 2003 ed effettivamente se punto i
forwarders su OpenDNS devo aggiungere il puntino nelle query con
nslookup ma la cosa non sembra creare altri problemi.