Probleem met UDP en port forwarding bij P2602H(W)

[DukeBox]

Onlangs heb ik een 2 maal een Zyxel Prestige 2602H en een 2602HW (alle drie voorzien van ZyNOS F/W Version: V3.40(MS.4)D0 | 04/26/2005) aangeschaft, hierbij heb ik helaas het volgende probleem:

Wanneer ik poort 53 map naar een interne DNS server dan krijg ik vreemde verschijnselen wanneer ik DNS over UDP resolve:

Resolve over UDP :

user@host>dig www.test.nl @82.171.103.30
;; reply from unexpected source: 82.171.103.30#10057, expected 82.171.103.30#53
;; reply from unexpected source: 82.171.103.30#10057, expected 82.171.103.30#53

; <<>> DiG 9.2.3 <<>> www.test.nl @82.171.103.30
;; global options: printcmd
;; connection timed out; no servers could be reached

Hij antwoord over een UDP poort die helemaal niet klopt.
Wanneer ik de expliciet via TCP resolve gaat het wel goed:

user@host>dig www.test.nl @82.171.103.30 +tcp
; <<>> DiG 9.2.3 <<>> www.test.nl @82.171.103.30 +tcp
;; global options: printcmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 41
;; flags: qr aa rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0

;; QUESTION SECTION:
;www.test.nl. IN A

;; ANSWER SECTION:
www.test.nl. 86400 IN A 127.0.0.1

;; Query time: 2 msec
;; SERVER: 82.171.103.30#53(82.171.103.30)
;; WHEN: Tue May 03 20:12:52 2005
;; MSG SIZE rcvd: 40

Nu iets nog vreemders, het lijkt erop dat het ook uitmaakt vanaf welke ip-adressen de resolve gedaan wordt, hiervoor heb ik een overzichtje gemaakt wat misschien kan helpen bij het bieden van een oplossing:

Vanaf:	Naar:	UDP	TCP
82.171.96.9	82.171.103.30	NEE	JA
82.171.103.30	82.171.96.9	JA	JA
83.160.206.174	82.171.96.9	NEE	JA
83.160.206.174	82.171.103.30	JA	JA
82.171.107.172	82.171.103.30	NEE	JA
82.171.107.172	82.171.96.9	NEE	JA
81.58.57.245	82.171.103.30	JA	JA
81.58.57.245	82.171.96.9	JA	JA
213.46.8.146	82.171.103.30	NEE	JA
213.46.8.146	82.171.96.9	JA	JA
62.195.73.189	82.171.103.30	NEE	JA
62.195.73.189	82.171.96.9	NEE	JA

Met de originele firmware had ik hetzelfde probleem, en de firewall staat uit op die dingen.

Via ethereal zie ik dat de server (vóór de modem/router) wel netjes een request verstuurd, en dat klopt ook volledig, bij de ip's waar het fout gaat zie je dan het pakketje retour komen met een onjuist poortnummer (eigenlijk zoals de melding al is in dig zelf).

Hierbij het verzoek of jullie ook kunnen 'diggen' en de uitkomsten hier posten, misschien kan ik daar iets uit aflijden. Ben al wezen puzzelen met byteswapping, maar dat gaat allemaal goed. Om eerlijk te zijn snap ik er helemaal niets meer van en hoop ik dat jullie mij op nieuwe iedeen kunnen brengen.

[Verwijderd]

Move PNS > NT

[DukeBox]

kick

[ Voor 255% gewijzigd door DukeBox op 05-05-2005 19:15 ]

[DukeBox]

nog een kickje..

[elevator]

Stomme opmerking misschien - maar is het niet gewoon je DNS server die de verkeerde sourceport gebruikt om te replyen?

[DukeBox]

nee, als ik via ethereal kijk dan klopt de reply gewoon. Helaas kan ik met ethereal niet het dataverkeer NA het modem sniffen... daarom het verzoek of jullie het misschien ook kunnen proberen met ethereal/netwerk monitor.. ?

[DukeBox]

Kickje..

[DukeBox]

Valt me best tegen dat niemand de moeite genomen heeft mij even te helpen bij het testen. Sluit dit topic maar, ik ga het op een ander forum proberen.

[r0b]

Allemaal vanaf 213.51.248.x (@Home Groningen) op een Debian Sarge (kernel 2.4.26) machine in een NAT netwerk.

UDP:

marina:~# dig www.test.nl @82.171.103.30

; <<>> DiG 9.2.4 <<>> www.test.nl @82.171.103.30
;; global options: printcmd
;; connection timed out; no servers could be reached

TCP:

marina:~# dig www.test.nl @82.171.103.30 +tcp

; <<>> DiG 9.2.4 <<>> www.test.nl @82.171.103.30 +tcp
;; global options: printcmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 58957
;; flags: qr aa rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0

;; QUESTION SECTION:
;www.test.nl. IN A

;; ANSWER SECTION:
www.test.nl. 3600 IN A 127.0.0.1

;; Query time: 76 msec
;; SERVER: 82.171.103.30#53(82.171.103.30)
;; WHEN: Mon May 9 00:43:39 2005
;; MSG SIZE rcvd: 45

marina:~#

UDP met -p param

marina:~# dig www.test.nl @82.171.103.30 -p 53

; <<>> DiG 9.2.4 <<>> www.test.nl @82.171.103.30 -p 53
;; global options: printcmd
;; connection timed out; no servers could be reached
marina:~#

Nog een paar testjes:

UDP met -p param en notcp meegegeven:

marina:~# dig www.test.nl @82.171.103.30 +notcp -p 10057

; <<>> DiG 9.2.4 <<>> www.test.nl @82.171.103.30 +notcp -p 10057
;; global options: printcmd
;; connection timed out; no servers could be reached

TCP met -p param:

marina:~# dig www.test.nl @82.171.103.30 +tcp -p 10057
;; Connection to 82.171.103.30#10057(82.171.103.30) for www.test.nl failed: connection refused.
marina:~#

Heb je toevallig een ander (merk) modem in de buurt zodat je wat dingen kort kan sluiten?

_{Je hoeft trouwens niet veel reacties te verwachten als je mensen om een dig result vraagt in NETWORK Troubleshooting.}

[ Voor 100% gewijzigd door r0b op 09-05-2005 01:01 ]

[DukeBox]

Tnx, oorspronkelijk stond ie ook in pns... met een ander modem blijkt het wel te werken. Ik ben onderhand bezig met een mail wisseling met zyxel support. Ik laat wel ff wetenwat daaruit komt.

[r0b]

DukeBox schreef op maandag 09 mei 2005 @ 09:01:
Tnx, oorspronkelijk stond ie ook in pns... met een ander modem blijkt het wel te werken. Ik ben onderhand bezig met een mail wisseling met zyxel support. Ik laat wel ff wetenwat daaruit komt.

Doe dat, lijkt me interessant om te weten.

[DukeBox]

Ze hebben beloofd het in de volgende versie van de firmware te bekijken...
m.a.w. ik heb maar een vigor 2510 gekocht omdat ik geen zin had daarop te wachten.

[DukeBox]

Ter info, de 2510 werkt nagenoeg perfect.De routering is super stabiel en snel er zijn echter 2 dingetjes m.b.t. voip die (nog) niet werken. Als je via tiscali belt werkt de nummer herkenning nog niet, draytec heeft gemeld dat in de eerstvolgende firmware op te lossen. Ook de nummerherkenning van de failover lijn werkt niet (in mijn geval geen probleem want ik heb geen nummer herkenning op die lijn), het is echter niet bekend of dit met een nieuwe firmware kan worden opgelost. Ze hebben me wel verdeld dat het ook met een toekomstige firmware moet gaa nwerken maar ik vermoed dat het niet mogelijk is met de hardware.
Een ander nadeel is dat het aantal portforward beperkt is tot 12 stuks, normaal gesproken geen probleem maar er kunnen situaties zijn dat het net te kort is.

[DukeBox]

Even een hoofdstukje afsluiten..

Zyxel (Valadis) heeft 2 weken na de laatste post contact opgenomen, zij zijn als tussen persoon opgetreden tussen hun kantoor in Taiwan. NA diverse beta/test firmwares en zelfs een compleet ander type modem dat was aangepast om de fout te kunnen achterhalen zijn ze er in geslaagd alle fouten er uit te kunnen halen.

De Vigor is opzich ook ok erg robuust (lees: spartaans), alles werkte maar het modem net niet af. Op dit moment heb im met de zyxel i.c.m. de huidige beta4 firmware geen fouten meer kunnen ontdekken. Misschien zou nog enige verbetering met VoIP i.v.m. firewall table mogelijk zijn (bij mij wil 1 keer in de 2 maanden de telefoon niet meer overgaan wanneer ik gebeld wordt, een reset lost het op), ik ben dus erg benieuwd naar de final.

Voor vragen/locaties voor firmware of over het modem zelf e.d. kunnen jullie mij mailen.