DNS via VPN?
Arne Schmitz
Sitze hier gerade hinter einer berï¿œhmten landesweiten Firewall, und
verwende den Cisco VPN Client um ins RWTH- und sonstige Netz zu kommen
(Full Tunnel Profil). Kann es sein, dass DNS Anfragen trotzdem NICHT
ï¿œber das VPN gehen? Ich kann einige Webseiten nï¿œmlich trotz Full Tunnel
nicht auflï¿œsen. Kann man das abschalten, i.e. kann ich DNS ï¿œber das VPN
tunneln?
Viele Grￜￜe,
Arne
PS: System Mac OS X 10.5.8
Arne Schmitz
> Sitze hier gerade hinter einer berï¿œhmten landesweiten Firewall, und
> verwende den Cisco VPN Client um ins RWTH- und sonstige Netz zu kommen
> (Full Tunnel Profil). Kann es sein, dass DNS Anfragen trotzdem NICHT
> ï¿œber das VPN gehen? Ich kann einige Webseiten nï¿œmlich trotz Full Tunnel
> nicht auflï¿œsen. Kann man das abschalten, i.e. kann ich DNS ï¿œber das VPN
> tunneln?
Ein klein bisserl mehr Infos: Es scheint, ich werde von DNS-Rebinding
gefoppt. DNS Lookup liefert normale IP, Zugriff auf Port 80 per telnet
oder Web-Browser, liefert komplett andere IP. Ja, ich kann per SSH und
X11 auf einen Browser in .de zugreifen, das ist allerdings unglaublich
langsam. Besser wï¿œre, wenn ich irgendwie den Full Tunnel dicht bekommen
kï¿œnnte...
Arne Schmitz
Trick #1: IP per nslookup nachschauen, in /etc/hosts eintragen,
glï¿œcklich sein. :-D Ist nur etwas mï¿œhselig, und muss man up2date halten.
Julian Poschmann
Arne Schmitz schrieb:
> Trick #1: IP per nslookup nachschauen, in /etc/hosts eintragen,
> glï¿œcklich sein. :-D Ist nur etwas mï¿œhselig, und muss man up2date halten.
klingt nach meinem Verstï¿œndnis von DNS sehr merkwï¿œrdig, denn eigentlich
sollte $Programm genau das gleiche tun, was du von Hand getan hast.
Einen DNS-Lookup machen, dann die IP ansprechen, die zurï¿œckgeliefert
wird. Wenn du per Hand nslookup benutzt solltest du das gleiche
zurï¿œckkriegen, wie $Programm, wenn es einen lookup macht.
Nach deinen Angaben gehe ich mal von Linux aus. Kannst du mal Ausgaben
von "route -n" und "cat /etc/resolv.conf" posten, am Besten vor und nach
dem Starten des VPN-Clients?
Ist ein Proxy im Browser eingestellt, evtl. ï¿œber die "automatisch
beziehen"-Funktion?
MfG,
Julian
Holger Jeromin
> Arne Schmitz schrieb:
>> Trick #1: IP per nslookup nachschauen, in /etc/hosts eintragen,
>> glï¿œcklich sein. :-D Ist nur etwas mï¿œhselig, und muss man up2date halten.
> klingt nach meinem Verstï¿œndnis von DNS sehr merkwï¿œrdig, denn eigentlich
> sollte $Programm genau das gleiche tun, was du von Hand getan hast.
> Einen DNS-Lookup machen, dann die IP ansprechen, die zurï¿œckgeliefert
> wird. Wenn du per Hand nslookup benutzt solltest du das gleiche
> zurï¿œckkriegen, wie $Programm, wenn es einen lookup macht.
Seh ich ï¿œhnlich.
> Nach deinen Angaben gehe ich mal von Linux aus. Kannst du mal Ausgaben
er schrieb: "PS: System Mac OS X 10.5.8"
--
Mit freundlichen Grￜￜen
Holger Jeromin
Arne Schmitz
> Julian Poschmann schrieb am 29.09.2009 13:21:
>
>> Arne Schmitz schrieb:
>>> Trick #1: IP per nslookup nachschauen, in /etc/hosts eintragen,
>>> glï¿œcklich sein. :-D Ist nur etwas mï¿œhselig, und muss man up2date halten.
>> klingt nach meinem Verstï¿œndnis von DNS sehr merkwï¿œrdig, denn eigentlich
>> sollte $Programm genau das gleiche tun, was du von Hand getan hast.
>> Einen DNS-Lookup machen, dann die IP ansprechen, die zurï¿œckgeliefert
>> wird. Wenn du per Hand nslookup benutzt solltest du das gleiche
>> zurï¿œckkriegen, wie $Programm, wenn es einen lookup macht.
>
> Seh ich ï¿œhnlich.
Problem ist folgendes: Ich muss per PPPoE ins Netz, dort bekomme ich
zwei lokale DNS fest zugeteilt. So weit meine Recherchen im Netz recht
haben, antworten diese DNS fï¿œr gewisse IPs mit einer sehr kurzen TTL, so
dass die zweite Anfrage eine fake IP liefert. Das sehe ich auch im
Browser, der dann plï¿œtzlich die fake IP verwendet.
Nun, mit der /etc/hosts-Methode klappt es zumindest, ist nur sehr mï¿œhselig.
>> Nach deinen Angaben gehe ich mal von Linux aus. Kannst du mal Ausgaben
>
> er schrieb: "PS: System Mac OS X 10.5.8"
Ich bin noch kein OS X Experte, aber in der /etc/resov.conf stehen nach
VPN Einwahl nur die RWTH-Server drin, aber es scheint mir, dass immer
noch die PPPoE DNS ebenfalls abgefragt werden. Keine Ahnung, wo das
abgelegt wird unter OS X. Die DNS werden auf jeden Fall in den PPPoE
Properties angezeigt, sind aber grau, d.h. ich darf sie nicht lï¿œschen.
Holger Jeromin
> Holger Jeromin schrieb:
>> Julian Poschmann schrieb am 29.09.2009 13:21:
>>> Arne Schmitz schrieb:
>>>> Trick #1: IP per nslookup nachschauen, in /etc/hosts eintragen,
>>>> glï¿œcklich sein. :-D Ist nur etwas mï¿œhselig, und muss man up2date halten.
>>> klingt nach meinem Verstï¿œndnis von DNS sehr merkwï¿œrdig, denn eigentlich
>>> sollte $Programm genau das gleiche tun, was du von Hand getan hast.
>>> Einen DNS-Lookup machen, dann die IP ansprechen, die zurï¿œckgeliefert
>>> wird. Wenn du per Hand nslookup benutzt solltest du das gleiche
>>> zurï¿œckkriegen, wie $Programm, wenn es einen lookup macht.
>> Seh ich ï¿œhnlich.
> Problem ist folgendes: Ich muss per PPPoE ins Netz, dort bekomme ich
> zwei lokale DNS fest zugeteilt. So weit meine Recherchen im Netz recht
> haben, antworten diese DNS fï¿œr gewisse IPs mit einer sehr kurzen TTL, so
> dass die zweite Anfrage eine fake IP liefert. Das sehe ich auch im
> Browser, der dann plï¿œtzlich die fake IP verwendet.
Diese DNS-Server sollten bei aktivem Tunnel nicht mehr gefragt werden.
>>> Nach deinen Angaben gehe ich mal von Linux aus. Kannst du mal Ausgaben
>> er schrieb: "PS: System Mac OS X 10.5.8"
> Ich bin noch kein OS X Experte, aber in der /etc/resov.conf stehen nach
> VPN Einwahl nur die RWTH-Server drin, aber es scheint mir, dass immer
> noch die PPPoE DNS ebenfalls abgefragt werden. Keine Ahnung, wo das
> abgelegt wird unter OS X. Die DNS werden auf jeden Fall in den PPPoE
> Properties angezeigt, sind aber grau, d.h. ich darf sie nicht lï¿œschen.
Das ist wahrscheinlich eine reine Info was die PPP Verbindung so fï¿œr
Daten erhalten haben.
Speichert da vielleicht irgendein Programm DNS antworten der lokalen DNS
Server. Probier mal nach einem vpn start:
http://webupd8.blogspot.com/2009/09/quick-tip-how-to-flush-dns-cache-in.html
Arne Schmitz
> Speichert da vielleicht irgendein Programm DNS antworten der lokalen DNS
> Server. Probier mal nach einem vpn start:
>
> http://webupd8.blogspot.com/2009/09/quick-tip-how-to-flush-dns-cache-in.html
Ich habe mal ein "dscacheutil -flushcache" versucht -- zwecklos. Da
passiert also noch irgendetwas. Ich verstehe aber das ganze ds-System
bei OS X so ï¿œberhaupt nicht...
Arne
Mark Asbach
> > er schrieb: "PS: System Mac OS X 10.5.8"
>
> Ich bin noch kein OS X Experte, aber in der /etc/resov.conf stehen nach
> VPN Einwahl nur die RWTH-Server drin, aber es scheint mir, dass immer
> noch die PPPoE DNS ebenfalls abgefragt werden. Keine Ahnung, wo das
> abgelegt wird unter OS X. Die DNS werden auf jeden Fall in den PPPoE
> Properties angezeigt, sind aber grau, d.h. ich darf sie nicht l�schen.
Mac OS X hat mehrere Ebenen auf denen Lookups durchgef�hrt werden. Je
nachdem, welches API ein Programm benutzt, kommt dabei etwas anderes
heraus. Ist etwas inkonsequent, h�ngt aber wohl mit der Historie der
NetInfo Verzeichnisdienste (jetzt Open Directory) zusammen.
Aus 'man host':
> Mac OS X NOTICE
>
> The host command does not use the host name and address resolution or
> the DNS query routing mechanisms used by other processes running on Mac
> OS X. The results of name or address queries printed by host may differ
> from those found by other processes that use the Mac OS X native name
> and address resolution mechanisms. The results of DNS queries may also
> differ from queries that use the Mac OS X DNS routing library.
Mit "dscacheutil -configuration" siehst Du die Abfragereihenfolge, die
f�r Software gilt, die CoreFoundations / Carbon / Cocoa benutzen.
Mit "dscacheutil -q host www.apple.com" kannst Du nachsehen, was
entsprechende Programme zu sehen bekommen, wenn sie eine Anfrage nach
"www.apple.com" stellen.
Gru�, Mark