DNS (soms) traag op firewall

[Verwijderd]

Mijn firewall ( Celeron 1Ghz RedHat 7.3 , shorewall voor de iptables configuratie) is gekoppeld aan een DSL router van Versatel (2 Mb DSL). DNS en default gateway zijn deze router ( dit is conform de installatievoorschriften van Versatel).
Alle verkeer naar buiten gaat via squid , op de werkplek PC's staat dus geen DNS enzo ingevuld. (dit even terzijde)

Het probleem is het volgende :
vanaf de firewall wordt de call naar DNS op de Versatel router soms niet onmiddelijk afgewerkt, maar duurt ca 5 seconden ( en als het dus lang duurt is het altijd net iets meer dan 5 seconden). Dit is lastig , als je 5 seconden moet wachten voordat uberhaupt een pagina geladen wordt en die pagina spat daarna op je scherm !

Ik heb dat gecontroleerd met nslookup. Het is of onmiddelijk antwoord ( < 0,2 sec) of net iets meer dan 5 seconden. Als je eenmaal een nslookup van een bepaald adres hebt gedaan gaat het daarna gewoon weer snel !

Dus heb ik een tweede systeem ingericht ( RH 7.3) en deze ook aan de router gekoppeld ( we hebben ene routed subnet dus alleen het ip adres van het systeem is anders). Op dit systeem gaat de nslookup altijd snel !

Het kan mijn inziens niet aan de firewall liggen , er zijn rules aangebracht voor port 53 voor udp en tcp. De resolv.conf is voor beide systemen hetzelfde ( alleen een verwijzing naar de router ).

Maar in welke hoek moet ik het dan zoeken ?????

Jaap

[Verwijderd]

Wat je kunt doen is op de firewall de DNS servers van je provider in te stellen ipv. die op 't modem in te stellen. Je zou ook een caching DNS op de firewall kunnen zetten en die alleen intern laten luisteren. Een andere mogelijkheid die dit probleem zou kunnen oplossen is de firmware updaten van je modem. Misschien zijn er problemen bekend met jouw firmware, dat zou je uit kunnen zoeken.

[Verwijderd]

Het kan niet in het modem zitten , want het tweede systeem doet het nl wel snel.
Het is dus (m.i.) niet het modem.
Ook het toepassen van een caching DNS verdoezelt het probleem alleen maar. Het originele probleem bijft bestaan !

Ik heb ook andere DNS servers geprobeerd ( die van xs4all ) maar dat maakt geen verschil

[Verwijderd]

Weet je heel zeker dat op je firewall geen DNS requests worden geblocked? (eventueel firewall script posten). Het lijkt er nu net op of UDP queries niet goed gaan en dan over wordt geschakeld op TCP, wat normaal is, maar waardoor het wel langer duurt. Heb je al een tcpdump gedraaid op je firewall om te zien wat er gebeurt?

[Verwijderd]

Nee, ik heb (nog) geen tcpdump gedaan.

Maar , waarom zou dan de firewall soms de UDP/TCP queries doorlaten en soms niet ? Ik kan me voorstellen dat als een regel in de iptables config fout is dat het verschijnsel altijd optreedt! Maar zoals beschreven gebeurt het soms !

[Verwijderd]

Mja het gebeurd niet altijd ergens is er dus een factor die ervoor zorgt dat het soms wel en soms niet gebeurd. Je gebruikt Squid; geen NAT? Probeer het eens zonder Squid en met NAT?

[Verwijderd]

ja ik moet toegeven dat het wel vreemd is. Heb je ook al eens gekeken of je niet lasthebt van een brakke netwerk interface? Staan er bij ifconfig veel errors?

[Equator]

En als je de IPtables nu eens runt op die andere RH dos, gaat het dan daar ook nog steeds snel

het klinkt inderdaad als een wat te strak afgestelde firewall.

Post voor het gemak je iptables eens, en kijk ook even naar de opmerking van Balou..

[Verwijderd]

Het kunnen de iptables niet zijn volgens mij omdat ie _soms_ traag is ! Een verkeerde afstelling van de firewall zou altijd een traagheid introduceren.

De interface doet het als een speer , 0 errors op 3 GByte data. Verder kan ik de DSL helemaal volpompen vanaf de firewall als ik flinke files download !

[ Voor 35% gewijzigd door Verwijderd op 19-12-2002 13:44 ]