Zonder proxy geen domain resolve

[battler]

Probleem: Als ik geen proxy server instel heb ik geen internet

Context:
Internet --- Router == 2 clients.

Router is een Ubuntu doos draaiend op 2.6.31-21-server. Behalve routeren doet dit doosje nog wat zaken als firewall, http, ftp, dns, mail en proxy.

Client A: Windows XP, Volledig up to date.
Client B: Mac OS X, Volledig up to date.

Aangezien de router ook dienst doet als transparante proxy heb ik een port redirect nodig in mijn iptables.

code:

############################################################################################
#                                   SQUID HTTP CONFIG                                      #
############################################################################################

#squid transparant proxy, port redirect
iptables -t nat -A PREROUTING -i LAN -p tcp --dport 80 -j REDIRECT --to-port 3128

#http (80)
#From Firewall to WAN
iptables -A OUTPUT -o WAN -p tcp --dport 80 -s 10.0.1.2 -j ACCEPT
#From WAN to Firewall
iptables -A INPUT -i WAN -p tcp --sport 80 -d 10.0.1.2 -m state --state ESTABLISHED,RELATED -j ACCEPT

#http (3128)
#From Firewall to LAN
iptables -A OUTPUT -o LAN -p tcp --sport 3128  -s 192.168.0.1 -d 192.168.0.0/24  -m state --state ESTABLISHED,RELATED -j ACCEPT
#From LAN to Firewall
iptables -A INPUT -i LAN -p tcp --dport 3128 -s 192.168.0.0/24 -d 192.168.0.1 -j ACCEPT

Internetten op dit punt lukt nog niet. Als ik handmatig een proxy instel op de clients heb ik wel verbinding.
Dan zou je denken dat het probleem zit bij de port redirect. Maar als ik zonder proxy ingesteld connect naar een ip adres lukt dit wel (uiteraard http).

Dus er gaat iets mis met DNS dat blijkt ook uit een packet capture op de router.

code:

931.546812 192.168.0.67 -> 192.168.0.1  DNS Standard query TXT time.euro.apple.com
931.546861  192.168.0.1 -> 192.168.0.67 ICMP Destination unreachable (Port unreachable)
933.408634 192.168.0.67 -> 192.168.0.1  DNS Standard query A RED002.mail.emea.microsoftonline.com
933.408684  192.168.0.1 -> 192.168.0.67 ICMP Destination unreachable (Port unreachable)
940.565456 192.168.0.67 -> 192.168.0.1  DNS Standard query TXT time.euro.apple.com
940.565498  192.168.0.1 -> 192.168.0.67 ICMP Destination unreachable (Port unreachable)

Ik ben het even kwijt. Ik heb geen idee waar dit probleem kan liggen.

[stfn345]

moet je niet gewoon een udp port 53 exception maken?

[battler]

Die is er ook. Hij resolved wel gewoon de domains als er een proxy server staat gespecificeerd.
Zoals je ook in de log kan zien krijgt hij die DNS request ook binnen. Alleen met het terugsturen gaat wat mis.
Iets wat niet mis gaat als de proxy server gedefinieerd staat.

[leuk_he]

Als er een proxy in desteld staat in A/B dan doet de client geen DNS lookup, dan stuurt hij heel het request door naar de proxy en laat het die uitzoeken.

Als er geen proxyingesteld staan gaan A/B gewoon dns requests doen bij hun DNS server en versturen daarna het http bericht dat je afvangt in de transparante proxy.

Dus je moet je firewall/router zodanig open zetten dat A/B bij hun DNS server kunnen.

Want een nslookup op A/B zal wellicht niet lukken. (want je filtert inkomende dns berichten, of zelfs de ICMP ARP berichten van router naar de clients?)

[battler]

Super bedankt! Dit was de oplossing.

De fout die ik nog maakte was een TCP port open gooien voor DNS, hier heb ik dus meerdere malen overheen gelezen. Na het aanpassen van dit in UDP werkt alles perfect.