dns – iT Blog

ปัญหา DNS ไม่รู้จักบางเว็บไซต์

เล่าสู่กันฟัง พบเหตุ 12 มี.ค.57
1. มีบางเว็บไซต์ที่ผมเข้าไปไม่ถึง
ตรวจสอบแล้ว พบว่าเว็บไซต์นั้นเปิดบริการจริง
แต่ DNS ของ CAT บอกว่าไม่รู้จัก
ซึ่งอาจมี DNS อีกหลายตัว ที่บอกว่าไม่รู้จัก
แต่ DNS เบอร์ 8.8.8.8 ของ google รู้จักครับ
เช่น http://www.scarfbysocute.com
ที่เปิดร้านค้าออนไลน์กับ http://www.lnwshop.com
คาดว่าไม่อัพเดท แต่

2. ทดสอบว่ารู้จักหรือไม่ด้วยคำสั่ง DOS>nslookup
ถ้ากำหนด server ที่จะตอบเรื่อง domain name
เป็น 8.8.8.8 พบว่ารู้จักเรียบร้อยดี
แต่ 122.155.55.55 ของ กสท. พบว่าไม่รู้จัก not found
ทำให้ต้องเปลี่ยน DNS ที่เครื่องตัวเองเป็นของ google ซะแล้ว

3. เคยมีเพื่อนโทรมาถาม จากอีกองค์กรหนึ่ง
ก็ตอบยากนะครับว่า ให้ไปเปลี่ยนการแจก DNS ในองค์กรทั้งหมด
ถ้าให้ใช้ 8.8.8.8 ของ google ก็ดูไม่สมเหตุสมผล
จะเป็นการสร้าง traffic ขึ้นโดยไม่จำเป็น
เพราะต้องแก้ไขให้ DNS ในเครือข่าย ตอบได้ทุกโดเมนถึงจะถูก

เกิดอะไรกับโดเมน [มูวี่ ทูเค ดอท คอม]

เกิดอะไรกับโดเมน [มูวี่ ทูเค ดอท คอม]

แปลจากภาพ
นี่ไม่ใช่โดเมนของเรา แล้วเราก็ไม่รู้ว่าใครเป็นเจ้าของ
แต่เจ้าของโดเมนสั่งชี้มาที่เครื่องของเรา
เราไม่รู้ว่าทำไมเขาให้ชี้มา
ก็คาดว่าเขาต้องการให้เราแจ้งผู้มาเยือนเกี่ยวกับกฎหมายลิขสิทธิ์
ทำให้ท่านเห็นข้อมูลอย่างที่กำลังเห็นในขณะนี้

ข้อมูลทางเทคนิคที่น่าสนใจ
คือโดเมนนี้ถูกกำหนดให้ใช้ DNS ของเรา
ซึ่งมีปริมาณการเรียกใช้สูงมาก เราจึงกำหนด
ให้มีการตอบกลับ ด้วยข้อมูลในหน้านี้

การตรวจเครื่องบริการของเราผ่านเว็บไซต์ที่รับตรวจสอบ

29 ก.ค.53 เนื่องจาก host จำนวน 2 ตัว ไม่สามารถเข้าถึงจากภายนอกองค์กร จึงต้องมีการตรวจสอบแบบออนไลน์ หาสาเหตุว่าทำไมภายนอกไม่รู้จัก host เหมือนกับที่ภายในองค์กรรู้จัก ความเป็นไปได้คือ มีข้อกำหนดของเครื่องบริการที่บางข้อที่เป็นเหตุให้ไม่สามารถเข้าถึงจากภายนอกได้อย่างสมบูรณ์ จึงต้องใช้เครื่องมือจากหลายแหล่งช่วยตรวจ และแก้ไขไปตามอาการ

เครื่องมือตรวจบริการ website dns และ host แบบออนไลน์
1. speedtest.net ตรวจความเร็วในการเชื่อมต่ออินเทอร์เน็ต
2. ninjacloak.com บริการเข้าถึงเว็บไซต์ผ่าน proxy website
3. zend2.com บริการเข้าถึงเว็บไซต์ผ่าน proxy website
4. internet.nectec.or.th/netservices/ ตรวจการเปิด port
5. network-tools.com ตรวจผลของ nslookup และ blacklist
6. dnsstuff.com ตรวจ traceroute และตรวจการ block ping
7. my-addr.com ตรวจการเปิด port ของ host
8. robtex.com ตรวจวิเคราะห์ dns ตาม host
9. intodns.com ตรวจค่า config ของ dns

แก้ปัญหา Windows DNS ได้ 3 กรณี

29 มิ.ย.53 ในสถาบันแห่งหนึ่งใช้ DNS 2 ตัว เป็น linux และ windows แต่เครื่องบริการที่ใช้ Windows DNS นั้น ถูกรายงานว่ามีปัญหาด้วยการตรวจสอบผ่าน intodns.com และพบสิ่งที่ต้องแก้ไขหลายกรณี ซึ่งปล่อยให้เป็นเช่นนี้มาแล้วระยะหนึ่ง มาวันนี้ผมกับคุณอนุชิตมีโอกาสเข้าไปตรวจสอบอย่างจริงจัง และแก้ไขปัญหาสำคัญได้ 3 กรณี ซึ่งเครื่องนี้ทำหน้าที่เป็น DNS, NAT, Load Balance ผ่าน ADSL + Leased Line, 2 Lan Card + 1 Blank Lan Card
กรณีที่ 1 พบว่าตรวจสอบด้วย nslookup จากภายนอก พบว่าไอพีของเครื่องบริการ DNS มีถึง 6 IP และบางไอพีไม่มีความเป็นไปได้ที่จะให้บริการ พบว่า DNS Preference มีตัวเลือกที่ยอมให้ทุกไอพี หรือเฉพาะไอพีที่กำหนดเท่านั้นเป็นตัวให้บริการ เมื่อปล่อยให้ไอพีที่กำหนดเพียง 1 ip เป็นตัวให้บริการ ปัญหานี้ก็หมดไป กรณีที่ 2 ค่า Serial ของ Host ที่กำหนดใน SOA record เป็นข้อมูลที่ถูกใช้ในการจัดลำดับของ DNS ซึ่งเรามี 2 ตัว และรูปแบบที่กำหนดคือ YYYYMMDDnn พบว่าเดิมไม่กำหนด ทำให้การนำไปอ้างอิงมีความผิดพลาด กรณีที่ 3 ชื่อโฮสของ NS ซ้ำ เช่น h1.h1.domain.com ซึ่งไม่พบค่า config ใน DNS หรือ Firewall หลังตรวจสอบด้วย nslookup จากภายนอก แล้วพบว่า ไอพีที่ตอบกลับไม่สมเหตุสมผล ทำให้พบว่า การกำหนด Domain name ของเครื่องคอมพิวเตอร์ใน control panel system ระบุเกินกว่าที่ควร ทำให้ระบบอื่น ๆ นำค่าไปใช้อย่างไม่ถูกต้อง เมื่อแก้ไขเป็น domain.com แล้วทุกอย่างก็เข้าที่เข้าทาง

การเพิ่ม host name ตัวใหม่คือ creative ใน dns และ webhost

28 ธ.ค.52 การดำเนินการมี 3 ขั้นตอน คือ 1) เพิ่ม host name โดยเข้าเครื่อง DNS เบอร์ 4 แล้ว กำหนดใน Forward Lookup Zones ของ yonok.ac.th ให้ name = creative เป็น alias(CNAME) ชี้ไปที่ www.yonok.ac.th เพื่อใช้พื้นที่ในเครื่องเดียวกับ www เมื่อจบขั้นตอนนี้ ผลการเปิด creative หรือ www ก็จะให้ผลเหมือนกัน 2) เชื่อม hostname กับ web hosting โดยเข้า IIS ในเว็บเซอร์ฟเวอร์เป้าหมายคือเบอร์ 5 แล้วสั่ง new website สร้าง creative โดยกำหนด ip address เป็นเบอร์ 5 คือเครื่องตัวเอง และ Host header value เป็น creative.yonok.ac.th จากนั้นก็กำหนด Home Directory ไปชี้ในห้องที่ต้องการ 3) แก้ไข DNS ใน Linux อีกเครื่องหนึ่ง ให้ CNAME ของ Named ชี้อย่างถูกต้อง แล้วสั่ง restart named เพราะองค์กรมี DNS 2 ตัว

ผลตรวจเครื่องบริการชื่อระหว่างภายในกับภายนอก

15 ก.ค.52 ช่วงนี้ตรวจเครื่องบริการชื่อ (Name Server) กับคุณอนุชิต ยอดใจยา เพราะมีคำถามว่า ระบบถามตอบอัตโนมัติเรื่องชื่อเครื่อง ระหว่างภายในกับภายนอกตรงกันหรือไม่ เพราะหลังติดตั้งเครื่องใหม่แล้ว ภายในองค์กรใช้งานได้ปกติ แต่ภายนอกมองไม่เห็น เช่นเครื่อง IT ที่ติดตั้งเมื่อวาน และการทำงานของ dns ผ่าน Port 53 ในองค์กรมีตัวใดมีปัญหา ตัวใดเป็นตัวหลัก หรือตัวใดทำงานบกพร่องไป จึงดำเนินการทดสอบร่วมกันกับคุณธรณินทร์ สุรินทร์ปันยศอีกคน มีข้อมูลในบันทึกนี้หลายเรื่องที่จะเปลี่ยนไปไม่ตรงกับในวันนี้อีก เพราะผลการแลกเปลี่ยนเรียนรู้ การทดสอบ และการแก้ไข จะนำไปสู่การแก้ปัญหา แล้วปัญหาเหล่านั้นก็จะหมดไป
      hostname คือชื่อของเครื่องบริการ หรือเครื่องคอมพิวเตอร์ ที่ถูกใช้อ้างอิงในอินเทอร์เน็ตมักถูกเรียกภายใต้ชื่อ domain name การเรียกใช้ก็จะเป็นแบบ full hostname เช่น it.yonok.ac.th โดย hostname คือ it ที่อยู่ภายใต้ชื่อ domain name คือ yonok.ac.th ใน hostname แต่ละเครื่องจะมี ip address ประจำเครื่อง และมีบริการที่หลายหลาย ถ้าเครื่องใดบริการเป็นเว็บไซต์ ก็จะเปิดบริการ httpd ผ่าน port 80 ทำให้ผู้ใช้เรียกใช้ผ่านโปรแกรมบราวเซอร์ร้องขอบริการด้วย http://it.yonok.ac.th ซึ่งเครื่องบริการแปลชื่อถูกเรียกว่า name server หรือ domain name server ที่บริการผ่าน port 53
      ในระบบปฏิบัติการ DOS สามารถใช้คำสั่ง set, net view ดูชื่อ COMPUTERNAME ซึ่งเป็นชื่อเครื่องเฉพาะที่กำหนดขึ้น แต่ชื่อเครื่องที่เป็นชื่อสามัญ หรือมีชื่อ hostname ที่เหมือนกันก็คือ localhost และไม่มีชื่อโดเมนเนมกำกับ สามารถใช้คำสั่ง ping, nslookup ใน command prompt ตรวจชื่อ localhost ก็จะพบ 127.0.0.1 เป็นหลายเลขไอพีของเครื่อง แต่ถ้าตรวจชื่อที่ได้จาก set ก็จะพบหมายเลข ip ที่ได้มาจากเครื่องบริการ DHCP หรือ Router ที่ทำหน้าที่แจกหมายเลขไอพี
      การตรวจสอบชื่อ full hostname หรือ ipaddress ผ่าน name server สามารถใช้โปรแกรม nslookup มีตัวอย่างการใช้งานดังนี้
DOS>nslookup 122.154.225.100 ตรวจผ่าน Name Server ที่ใช้ในเครือข่าย
DOS>nslookup 122.154.225.100 122.154.225.1 ตรวจผ่านเครื่องเบอร์ 1
DOS>nslookup 122.154.225.100 ns.yonok.ac.th ตรวจผ่านเครื่อง ns
DOS>nslookup it.yonok.ac.th 122.154.225.1 ตรวจผ่านเครื่องเบอร์ 1
DOS>nslookup it.yonok.ac.th ns.yonok.ac.th ตรวจผ่านเครื่อง ns
DOS>nslookup it.yonok.ac.th ns7.idc.cattelecom.com ตรวจผ่าน cattelecom.com
       ตัวเลือกอย่างหนึ่งของ name server คือกำหนดให้เป็น delegation เช่น yonok.ac.th จะ is delegated หรือแต่งตั้งให้กับ 3 name server แต่ถ้าเครื่องบริการใดกำหนด only in delegation ก็จะยอมให้เฉพาะเครื่องที่ได้รับแต่งตั้งเท่านั้นเข้ามาใช้บริการ name server ได้ ผลตรวจจาก http://www.robtex.com/dns/yonok.ac.th.html จะพบว่า 2 เครื่องบริการตอบในทันที แต่ yn4 จะมี delay ประมาณ 2 วินาที จึงจะแสดงผลที่แตกต่าง 2 ประการคือ มี only in delegation และ reverse เป็น none อีกปัญหาหนึ่งคือการเปลี่ยน ip address ของเครื่องบริการ แล้วผลการเปลี่ยนแปลงไม่ถูก update ไปทั่วโลกอย่างถูกต้อง คาดว่าเป็นผลจาก only in delegation จากตรวจสอบบริการของ ns ทั้ง 2 ตัวใน 4 กรณีได้ผลดังนี้
กรณีที่ 1 คือ ตรวจ hostname lookup ของ yn4.yonok.ac.th
จาก http://www.robtex.com/dns/ จะได้ผลใหม่คือเบอร์ 4
แต่จาก http://www.zoneedit.com/lookup.html จะได้ผลเก่าคือเบอร์ 98
หลังทดสอบหลายครั้ง ก็พบว่าผลทดสอบได้เบอร์ใหม่ในที่สุด คาดว่า ns ฝั่งผู้ตรวจได้ update อัตโนมัติ
กรณีที่ 2 คือ ตรวจ name server ของ yonok.ac.th
จาก http://www.zoneedit.com/lookup.html จะพบอยู่ 2 เครื่องคือ yn1 และ yn4
แต่จาก http://www.robtex.com/dns/yonok.ac.th.html จะได้ 3 เครื่อง เพิ่มของ cat เข้ามา
กรณีที่ 3 คือ ตรวจ DNS Lookup หมายถึง ตรวจ host แบบของการชี้ กับ ns server ว่าชี้ ip นั้นไปยังเครื่องชื่ออะไร ด้วยบริการของ http://www.zoneedit.com/lookup.html เช่นตรวจ it.yonok.ac.th กับ yn1.yonok.ac.th ก็จะพบว่า A (IP Address) ชี้ไปยัง 122.154.225.13 เมื่อตรวจ it.yonok.ac.th กับ yn4.yonok.ac.th ก็จะพบว่า A (IP Address) ชี้ไปยัง 122.154.225.13 ถูกต้องเช่นกัน เมื่อตรวจ yn4.yonok.ac.th กับ ns7.idc.cattelecom.com ก็จะพบว่า A (IP Address) ชี้ไปยัง 122.154.225.4 ถูกต้องเช่นกัน
กรณีที่ 4 คือ ตรวจ Reverse Lookup หมายถึง ตรวจ ip กับ ns ว่าชี้ ip นั้นไปยังเครื่องชื่ออะไร ด้วยบริการของ http://www.zoneedit.com/lookup.html เช่นตรวจ 122.154.225.5 กับ yn1.yonok.ac.th ก็จะพบว่า PTR ไปยัง yn2.yonok.ac.th แต่ตรวจ 122.154.225.5 กับ yn4.yonok.ac.th จะไม่พบ เพราะ yn4 ไม่มี PTR ไปยังชื่อข้างต้น
     สรุปว่าทีมงานต้องเพิ่มส่วนของ pointer ip ไป hostname เพื่อให้มีการชี้กลับอย่างถูกต้อง และทดสอบกรณีที่ 4 ว่าผลการทดสอบเป็นที่น่าพอใจหรือไม่ พร้อมตรวจหาตัวเลือก delegation เพื่อทำให้เปิดบริการแปลชื่อเป็นไปอย่างถูกต้อง
แหล่งอ้างอิง
http://www.robtex.com/dns/yonok.ac.th.html
http://www.zoneedit.com/lookup.html
http://network-tools.com/default.asp
http://internet.nectec.or.th/netservices
http://whatismyipaddress.com
http://www.websitepulse.com/help/tools.php
http://www.hcidata.info/index.htm
http://www.dnsstuff.com
http://www.howismydns.com/tools.php

ปัญหาอีเมลที่เกิดจากความบกพร่องของ DNS

ได้รับแจ้งจาก คุณธรณินทร์ สุรินทร์ปันยศ ว่า อ.สตีเฟ่นท์ รับอีเมลจากเพื่อนที่เมืองจีนไม่ได้ เพื่อตรวจสอบเรื่องดังกล่าว จึงมีการทดสอบหลายกรณีเกิดขึ้น ทดสอบครั้งที่ 1 โดยคุณธรณินทร์ส่งอีเมลมีหัวข้อ test จาก gmail.com และพิมพ์เนื้อหาแบบมั่ว เช่น asdfasdfasdf ก็ยังส่งไม่ถึงโยนก จึงมีสมมติฐานว่าระบบอีเมลของโยนก ปิดกั้นอีเมลขยะ ดังนั้น อ.บุรินทร์ จึงเข้าไปดูกล่อง junk mail รวมของโยนก ก็ไม่พบว่าอีเมลของคุณธรณินทร์ เข้าไป ทดสอบครั้งที่ 2 โดย อ.บุรินทร์ ส่งอีเมลมีหัวข้อ test จาก gmail.com แล้วพิมพ์เนื้อหาดี ๆ ก็พบว่าไปอยู่ใน junk mail รวมของโยนก แต่ไม่อยู่ในกล่องของ burin แสดงว่าระบบได้รับอีเมลฉบับนี้จาก gmail.com แล้วส่งต่อตามนโยบายอย่างถูกต้อง ทดสอบครั้งที่ 3 โดย อ.บุรินทร์ ส่งอีเมลมีหัวข้อ test จาก gmail.com แล้วพิมพ์เนื้อหาแบบมั่ว เช่น asdfasdfasdf และ asdfasdfasdf asdfasdfasdf พบว่าอีเมลไม่ถูกส่งออกจาก gmail.com แต่ตีกลับในทันทีโดยแจ้งว่า DNS server returned answer with no data ต่อจากนั้นก็ทดสอบอีเมลดี ๆ แบบตั้งใจพิมพ์อีกหลายครั้ง เปลี่ยนทั้งหัวข้อ และเนื้อหาในหลายกรณีก็ยังได้รับข้อความแบบเดิม คือส่งไม่ออกจาก gmail.com สรุปได้ว่า ปัญหาอีเมลครั้งนี้ เกิดขึ้นแบบส่งถึงบ้างไม่ถึงบ้าง
เมื่อค้นจาก google.com ก็พบว่ามีหลายคนที่ใช้บริการของ gmail.com พบปัญหานี้ แต่ก็ไม่มีคำอธิบายถึงวิธีแก้ไขที่ชัดเจน ทดสอบครั้งที่ 4 เทียบเคียงปัญหาอีเมลกับการเปิดเว็บไซต์ isinthai.com ซึ่งใช้บริการ DNS ของ yn4 ก็พบว่ามีปัญหาเช่นกัน พอเปลี่ยนให้ yn1 เป็น DNS ในเครื่องตนเอง ก็พบว่าปัญหาก็หมดไป แสดงว่า DNS ตัวทำงานไม่ปกติ จึงสรุปร่วมกับคุณอนุชิต ยอดใจยา ผู้ดูแลระบบว่า DNS ตัวปัจจุบันอาจจะมีบริการเข้ามาร้องขอมากเกินไป เกิดปัญหา DoS = Denied of Service ที่เกิดขึ้นจากการให้บริการทั้ง DHCP และ DNS ในเครื่องเดียวกัน วิธีแก้ไข 1)ก็น่าจะหาเครื่องเพิ่ม และแยกบริการออกจากกันลดปัญหาคอขวด จากนี้ก็ต้องทดสอบว่าผลการแยกบริการออกจากกันคือวิธีแก้ปัญหาที่ถูกต้องหรือไม่ 2)ตรวจสอบว่า IP ของ DNS ที่มีอยู่หลายเบอร์ หลายภารกิจ ทำให้ระบบเครือข่ายอินเทอร์เน็ตสับสนหรือไม่ เพราะการเปลี่ยนเบอร์ DNS หลายครั้ง อาจทิ้งปัญหาจากการแก้ไขค่า Configuration ที่ยังไม่เรียบร้อยในทุกระบบก็เป็นได้
+ เครื่องมือตรวจเครือข่ายของ nectec.or.th
+ เครื่องมือตรวจเครือข่ายของ network-tools.com