DNS : résoudre une entrée avec un IPv4 privé

nmset · Hobbit de L'Univers Inscrit le: 26 Avr 2014 Messages: 3

Bonjour,

J'ai noté un comportement bizarre concernant la résolution DNS via la Freebox V6.

La box est en mode routeur avec comme IP 192.168.1.1. Après avoir établi la connexion en DHCP, /etc/resolv.conf est :

nameserver 192.168.1.1
nameserver 2a01:e00::2
nameserver 2a01:e00::1

J'ai un serveur DNS chez un pro (GANDI) où il y'a une entrée DNS de type A comme suit :

machine.domaine.tld 192.168.1.x

La résolution de machine.domaine.tld échoue via 192.168.1.1 par défault, ou via le DNS de Free en IPv4.

$ host machine.domaine.tld
> Aucune réponse
$ host machine.domaine.tld 212.27.40.240
> Aucune réponse

La résolution s'effectue avec succès via un autre serveur DNS en IPv4:

$ host machine.domaine.tld 8.8.8.8
> ... 192.168.1.x...

La résolution s'effectue avec succès via IPv6, même avec les DNS de Free :

$ host -6 machine.domaine.tld
> ... 192.168.1.x...
$ host machine.domaine.tld 2a01:e00::2
> ... 192.168.1.x...

Je sais que la Freebox ne comporte pas de serveur DNS en soi et qu'elle effectue la résolution des noms via les serveurs de Free.

Il semble que la résolution d'une entrée DNS avec une IP4 privé échoue sur les serveurs de Free en IPv4. La résolution d'une entrée DNS avec une IPv4 publique réussit toujours.

Cela semble donc être un refus du serveur DNS de Free en IPv4.

Est-ce connu déjà ? J'aurais probablement alors loupé une donné élémentaire.
Est-ce un problème de configuration de la Freebox ? J'ai beau cherché, rien vu pour changer ça.
Est-ce que Free zy'eute les post du forum ici ?
Faut-il remonter l'info à Free ?

Merci de vos suggestions.

loggoi · Geek de L'Univers Inscrit le: 22 Jan 2007 Messages: 9685

nmset · Hobbit de L'Univers Inscrit le: 26 Avr 2014 Messages: 3

[M'ouais, cela est une autre question, mais derrière la passerelle au boulot (y'a pas la Freebox, on est d'accord), où l'on ignore totalement IPv6 (eh oui, les dinos ont survécu !), ça rend bien service, un seul serveur DNS à gérer.]

philippe83

ogbk · Hobbit de L'Univers Inscrit le: 30 Déc 2011 Messages: 11

Bonjour,

Pouvez-vous communiquer le nom de domaine qui pointe sur une IP non routable de classe C sur le réseau Internet ? (Soit librement, soit en MP).

Dans la théorie, effectuer un enregistrement DNS vers un IP non routable est possible (même si c'est incoéhrent et surtour une grossière erreur).
En pratique, on parlera de vue interne et externe sur lesquelles on intégrera des enregistrements DNS vers des IP privées sur vue interne (interrogeable depuis un réseau interne ou privé) et des enregistrements DNS vers des IP publiques sur vue externe (interrogeable depuis un réseau Internet publique).

De toute façon, effectuer un enregistrement d'une IP privée sur un serveur DNS (dans une vue externe : interrogeable depuis l'extérieure ou le réseau Internet) pour répondre depuis le réseau interne publique ne sert à rien et est incohérent car les IP privées ne sont pas routées sur le réseau Internet.

Note : je vous invite à lire la RFC 1912/1918. Tout adresse IP qui n'a pas de reverse ou ptr est considérée comme erreur opérationnelle.

Cdt,

marc2008 · Esprit de L'Univers Inscrit le: 04 Jan 2008 Messages: 353

Normalement, ca ne devrait même pas être possible de pouvoir mettre une IP privée dans un DNS public ... Chez toi OK mais un serveur DNS public Shocked

Il existe une option sur Unbound par exemple qui permet de rejeter toutes les réponses DNS non cohérentes, par exemple une IP privée.

nmset · Hobbit de L'Univers Inscrit le: 26 Avr 2014 Messages: 3

Je suis bien au fait des adresses privées et public, bien conscient qu'une adresse privée n'est pas routable et n'est pas accessible depuis le réseau public, et ce n'est certes pas ce que j'ai espéré en insérant les entrées privées dans une zone d'un serveur DNS publique.

Ma question concernait la Freebox, qui donne des réponses différentes selon qu'on interroge les serveurs DNS de Free en IPv6 ou IPv4. Pourquoi n'avons nous pas les mêmes résultats ? Ce n'est pas bien grave, c'était pour comprendre comment sur le plan technique.

[Pour continuer sur les aspects bifurqués des réponses, dont je vous en remercie, le fait que les entrées DNS avec des adresses IPv4 privées puissent être résolues chez Gandi m'arrange très bien, car cela m'évite de gérer un deuxième serveur DNS en interne.]

ogbk · Hobbit de L'Univers Inscrit le: 30 Déc 2011 Messages: 11

Vous pouvez utiliser les vues internal et external au niveau de votre serveur DNS afin de faire ce que vous souhaitez(ça évite deux serveurs DNS).

Concernant les DNS de Free qui répondent pas en IPv4 mais répondent en IPv6, cela peut être lié a la gestion des réseaux en adresses privées qui sont formatées différemment en IPv6.
Du coup il faudrait que Free configure leurs serveurs DNS (pile IPv6) en refusant de répondre si la reponse contient une IP privée IPv4 (cf dns64 et RFC 1918).

Cependant, votre solution n'est pas adéquate a une utilisation correcte.