DNS registration met meerdere Subnets

[Red Cell]

Denk je een oplossing gevonden te hebben voor een probleem, blijkt een software programmeur weer roet in het eten te gooien...

Ik heb een issue waarbij ip adressen uit verschillende subnets geregisteerd worden in DNS zones waar deze niet "thuis horen".

Laat ik even de situatie schetsen.

Ik heb een hoofddomein met DNS zone test.local. (subnet 10.220.x.x)
Hiernaast heb ik in m'n nieuwe omgeving diverse zones erbij gekregen: test.backup en test.management
Deze zones heb ik aangemaakt in DNS, geen issue. Voor de duidelijkheid alvast voor de stukken hieronder, de DNS server staat in het 10.220.x.x subnet, maar de subnets zijn routed en daardoor wel bereikbaar.

Nu komt de truuk. Sommige servers hebben meerdere netwerk kaarten waarbij elke kaart bedoelt is voor een specifieke DNS zone met een specifiek subnet.
Wat default gebeurt is dat de IP adressen van beide adapters in de primairy DNS zone geregisteerd worden. NSlookup
Name: servernaam.test.local
Addresses: 10.221.11.1
10.222.11.1

Dit had ik verholpen door de primairy suffix leeg te halen en per adapter een connection suffix toegevoegd. Resultaat. Elke adapter registeerde zijn subnet ip in de juiste DNS zone. NSlookup
Name: servernaam.test.Backup
Addresses: 10.221.11.1
Name: servernaam.test.management
Addresses: 10.222.11.1

Nu denk je opgelost toch? Ik ook, maar toen kwam de software om de hoek kijken. De software is niet in staat om te gaan met de lege primairy suffix en meld zich als "servernaam". Nou heeft de engineer primair de "management" suffix nodig dus heb ik "test.management" als primairy suffix opgegeven. Dit zorgt ervoor dat de software werkt. Echter heb ik nu een vervuilde DNS, want nu is dit het resultaat
Name: servernaam.test.Backup
Addresses: 10.221.11.1
Name: servernaam.test.management
Addresses: 10.221.11.1
10.222.11.1

Mijn doel is dus dat per zone alleen het subnet voor die zone geregisteerd word zonder dat de primairy suffix weg gehaald word. Als iemand een idee of suggestie heb graag.

[Paul]

Het zijn servers met fixed adressen, geen werkstations met DHCP. Hoe groot is je probleem als je in je uitrol-script een stop 'aanmaken DNS-records' opneemt?

Oftewel, static records aanmaken en dynamic registration helemaal uitzetten?

[Red Cell]

Het zijn inderdaad servers met Fixed IP's.
Echter vanwege dat dit een VM omgeving is waarbij servers verhuist kunnen worden tussen de lokaties (waarbij ook mogelijk subnets kunnen wijzigen) wil ik juist dit dynamisch houden.
Hoe minder statics hoe kleiner de kans op misconfigurations.

[Paul]

Dan denk ik dat je met powershell / invoke-command en dnscmd /addrecord moet gaan scripten

[Wim-Bart]

Heel simple, van de adapters welke je niet in je primary DNS wilt hebben gewoon het vinkje "Use this adapter DNS suffix aanzetten",

[Razwer]

Wim-Bart schreef op zaterdag 19 oktober 2013 @ 02:13:
Heel simple, van de adapters welke je niet in je primary DNS wilt hebben gewoon het vinkje "Use this adapter DNS suffix aanzetten",

Bijna goed, het vinkje wat uit moet heet "Register this connection's addresses in DNS"

Overigens is het niet geheel verstandig om je DNS servers op elke NIC maar in te vullen. Deze is in principe alleen vereist op je "hoofd" nic. Zodoende voorkom je ook nog eens die DNS registratie op de verkeerde nic en is het vinkje uitzetten zelfs overbodig

^{je hebt neem ik aan toch ook maar 1 keer een default gateway ingevuld op 1 van je nics en de rest leeg?}

[ Voor 36% gewijzigd door Razwer op 20-10-2013 18:31 ]

[Brahiewahiewa]

Razwer schreef op zondag 20 oktober 2013 @ 18:29:
[...]Bijna goed, het vinkje wat uit moet heet "Register this connection's addresses in DNS"
...

Wat vervolgens weer niet werkt als je servers domain controller zijn.

Maar - om even boven het topic uit te stijgen - zie je nu wat er gebeurt als je "gereedschap" gebruikt op de manier waar het niet voor bedoeld is? DNS is nooit bedoeld om routering te bewerkstelligen; staat volges mijn zelfs letterlijk in de RFC.

Zo'n routeringsprobleem is veel eenvoudiger op te lossen met virtuele servers. Je hebt nu 1 virtuele server met 3 interfaces. Waarom niet 3 servers met elk één interface. 'k Bedoel: nu zit er vast weer een of andere draak van een applikatie achter, die uit moet zoeken op welke interface een request is binnengekomen en afhankelijk daarvan een vooraf bepaalde return te geven. Je zit feitelijk je eigen virtuele server te schrijven.
Allemaal complexiteit die achterwege kan blijven.

[Wim-Bart]

Brahiewahiewa schreef op maandag 21 oktober 2013 @ 00:10:
[...]

Wat vervolgens weer niet werkt als je servers domain controller zijn.

Maar - om even boven het topic uit te stijgen - zie je nu wat er gebeurt als je "gereedschap" gebruikt op de manier waar het niet voor bedoeld is? DNS is nooit bedoeld om routering te bewerkstelligen; staat volges mijn zelfs letterlijk in de RFC.

Zo'n routeringsprobleem is veel eenvoudiger op te lossen met virtuele servers. Je hebt nu 1 virtuele server met 3 interfaces. Waarom niet 3 servers met elk één interface. 'k Bedoel: nu zit er vast weer een of andere draak van een applikatie achter, die uit moet zoeken op welke interface een request is binnengekomen en afhankelijk daarvan een vooraf bepaalde return te geven. Je zit feitelijk je eigen virtuele server te schrijven.
Allemaal complexiteit die achterwege kan blijven.

Een domeincontroller Multi-homed maken is sowiso NOT DONE.

[Razwer]

Wim-Bart schreef op maandag 21 oktober 2013 @ 03:02:
Een domeincontroller Multi-homed maken is sowiso NOT DONE.

Dus dat... _{(welke idioot dat in productie durft te draaien moet, zoals een dief op een golf baan, zn ballen verwijderd hebben.)}

@Brahiewahiewa, je praat de grootst onmogelijke onzin. Het gaat hier niet over routerings problemen op lossen via DNS, het gaat over "round robin" wat de soep in loopt door automagische DNS registraties. Lees de RFC eens goed na en daar gaat het dan ook niet over automagische registraties.
Thank you, come again!

[ Voor 12% gewijzigd door Razwer op 26-10-2013 01:34 ]

[Brahiewahiewa]

Round Robin? En dan beweer je dat ik de grootst mogelijke onzin praat? Think again.

Überdem, zou jij graag de elektriciteitsrekening willen betalen voor alle multi-homed DC's die er op deze aardkloot draaien?

[downtime]

Razwer schreef op zaterdag 26 oktober 2013 @ 01:32:
@Brahiewahiewa, je praat de grootst onmogelijke onzin. Het gaat hier niet over routerings problemen op lossen via DNS, het gaat over "round robin" wat de soep in loopt door automagische DNS registraties. Lees de RFC eens goed na en daar gaat het dan ook niet over automagische registraties.
Thank you, come again!

Waar haal jij het idee vandaan dat dit iets met round robin te maken heeft? TS heeft voor backup en management dedicated kaarten in zijn machine zitten. De makkelijkste manier om daarmee om te gaan is statische adressen gebruiken en die ook statisch in DNS te registreren. Maar aangezien hij dat niet wil zal hij iets anders moeten verzinnen.

[Razwer]

downtime schreef op zondag 27 oktober 2013 @ 16:39:
[...]

Waar haal jij het idee vandaan dat dit iets met round robin te maken heeft? TS heeft voor backup en management dedicated kaarten in zijn machine zitten. De makkelijkste manier om daarmee om te gaan is statische adressen gebruiken en die ook statisch in DNS te registreren. Maar aangezien hij dat niet wil zal hij iets anders moeten verzinnen.

hoe noem je meerdere ip addressen geregistreerd onder dezelfde hostname? Juist! Dat heet Round Robin.

In its simplest implementation Round-robin DNS works by responding to DNS requests not only with a single IP address, but a list of IP addresses of several servers that host identical services. The order in which IP addresses from the list are returned is the basis for the term round robin.

Wikipedia: Round-robin DNS
Know your facts
Bij de volgende les stuur ik een factuur

[ Voor 28% gewijzigd door Razwer op 28-10-2013 00:31 ]

[downtime]

Razwer schreef op maandag 28 oktober 2013 @ 00:19:
Wikipedia: Round-robin DNS
Know your facts
Bij de volgende les stuur ik een factuur

Doe jezelf een plezier, lees dat artikel en het probleem van TS nog eens door, en kom terug als je het snapt. En ga voor die tijd niet arrogant lopen doen.

Lees dit zinnetje nog eens goed:

several servers that host identical services

Round robin gaat over loadbalancing. Probleem van TS gaat niet over loadbalancing.

TS heeft 1 server met 3 kaarten die hij voor verschillende services gebruikt. Niet 3 servers die "identical services" aanbieden. Niet eens 3 netwerkkaarten die "identical services" aanbieden. Maar 3 kaarten met verschillende taken die onder 3 verschillende namen geregistreerd moeten worden.

[Paul]

Nee, round robin gaat in dit geval over de manier waarop DNS werkt. Dat het normaliter gebruikt wordt voor load balancing zorgt er nog niet voor dat het mechanisme waarmee een DNS-server de beschikbare adressen stuurt opeens anders heet of zo... Dat het in dit geval niet gaat werken omdat één van de IP-adressen op laag 3 niet benaderbaar is voor de meeste clients zorgt daar net zo min voor...

TS heeft het probleem dat in zijn DNS bij de naam 'servernaam.test.management' twee adressen geregistreerd worden (10.221.11.1 en 10.222.11.1) en guess what: je DNS-server zal (zaken als netmask ordering even uitgezonderd) dat op een round-robin manier teruggeven aan je clients...

[ Voor 12% gewijzigd door Paul op 28-10-2013 08:17 ]

[downtime]

Paul schreef op maandag 28 oktober 2013 @ 08:15:
Nee, round robin gaat in dit geval over de manier waarop DNS werkt.

Dat is me duidelijk. Maar Razwer beweerde dat round robin "in de soep" was gelopen en denkt dus blijkbaar dat TS met round robin wil werken. Dat zie ik nergens in de topicstart terug. Het ontstaan van die round robin is juist een stukje van het probleem en niet van de situatie die TS wil bereiken.

[Paul]

Nee, dat maak jij er van De boel loopt in de soep omdat er automatische registraties plaatsvinden waardoor er opeens round robin plaats vindt. Het heeft niks met routering te maken, TS heeft het nergens over het willen routeren van zijn gewone LAN naar het backup-netwerk.

[Razwer]

Paul schreef op maandag 28 oktober 2013 @ 09:20:
Nee, dat maak jij er van De boel loopt in de soep omdat er automatische registraties plaatsvinden waardoor er opeens round robin plaats vindt. Het heeft niks met routering te maken, TS heeft het nergens over het willen routeren van zijn gewone LAN naar het backup-netwerk.

+1, tnx

[Brahiewahiewa]

Paul schreef op maandag 28 oktober 2013 @ 09:20:
Nee, dat maak jij er van De boel loopt in de soep omdat er automatische registraties plaatsvinden waardoor er opeens round robin plaats vindt. Het heeft niks met routering te maken, TS heeft het nergens over het willen routeren van zijn gewone LAN naar het backup-netwerk.

Dat er Round Robin plaatsvindt, wil nog niet zeggen dat Round Robin ook meteen de oorzaak is van het probleem van TS.

Razwer schreef op maandag 28 oktober 2013 @ 00:19:
[...]hoe noem je meerdere ip addressen geregistreerd onder dezelfde hostname? Juist! Dat heet Round Robin.

Nee, dat is dus niet Round Robin.
Als een DNS server meerdere gelijknamige A-records heeft, dan moet-ie een beslissing nemen over de volgorde waarin die A-records verstuurd worden, als antwoord op een query.
Eén van de manieren die daarvoor gebruikt wordt, is Round Robin; alle mogelijke permutaties worden op een rijtje gezet en daar loopt de DNS server cyclisch doorheen.

Maar d'r zijn ook andere systemen. Zo kan een DNS server bijvoorbeeld kijken naar het IP-adres van de client en op basis daarvan de optimale volgorde bepalen. Of hij kan helemaal niet sorteren; gewoon de volgorde aanhouden waarin de IP-adressen uit z'n database tevoorschijn komen.

Vervolgens is er ook nog een client-side. De client is niet verplicht het eerste adres te gebruiken. De client zal op z'n minst kijken of er niet toevallig een IP-adres bijzit, dat ligt in z'n eigen subnet. Sommige clients vergelijken de IP-adressen met hun route-tabel, als er een specifieke entry voor een bepaald subnet in zit, gebruiken ze die.

Kortom: het is voor 90% zeker dat er in dit scenario Round Robin gebruikt wordt.
En het is voor 100% zeker dat Round Robin NIET de root cause van de problemen is.

@Razwer: ik stuur geen rekeningen, maar je mag € 10,= overmaken aan een goed doel, naar eigen keuze

[Paul]

Ok, het probleem is dat er meerdere IP-adressen worden geregistreerd bij een naam en dat TS dat niet wil, nou tevreden? Ik heb dat niemand de 'root cause' horen noemen, je trekt alleen erg fel van leer tegen iemand die er een term voor gebruikt die in twee woorden 90%+ correct is. Maar ja, Tweakers he, men wil koste wat kost dat je altijd een 100% correcte term gebruikt ook al kost dat 3 alinea's...

[Brahiewahiewa]

Hmmz, als die "iemand" zich beperkt had tot die twee woorden, zou mijn reactie anders geweest zijn, if any.

Maar als je mij beschuldigt van "de grootst mogelijke onzin" en - en passant - gaat suggereren dat ik "iemand" een financiële vergoeding verschuldigd ben dan ben ik op m'n pik getrapt. En dat mag die "iemand" best wel weten

[Paul]

Dat eerste had subtieler gekund, maar hij heeft ergens wel gelijk, het is niet iets wat op te lossen is door de routering aan te passen.

Dat tweede hoort inderdaad op een forum niet thuis, helemaal mee eens.

[Razwer]

hahaha, wat een prachtige reacties. Paul ik ben fan van je.
Brahiewahiewa, ik zeg waar het op staat. Je praatte en praat onzin. In mijn reactie over round robin zet ik het tussen aanhalingstekens. Paul legt haarfijn uit wat ik er mee bedoelde en hoe ik het bedoelde.
Het stukje humor over de factuur lees je ook weer niet goed en je vat blijkbaar de humor er niet van. Begrijpelijk gezien je het blijkbaar niet kan hebben dat je op kennisgebied voorbij gestreefd word en toch je gelijk wilt halen.
Ja ik ben een troll, maar jammer voor jou heb ik ook verstand van zaken. Dont feed the troll