Hetzner и eDNS

[dadv]

Оказалось, что немецкий хостер-лоукостер Hetzner в порядке защиты своей инфраструктуры от атак режет, в частности, входящие фрагментированные пакеты UDP, что в современном интернете частично ломает DNS-сервис. Проблема актуальна только тем, кто держит собственные DNS-серверы на физических или виртуальных серверах в Hetzner.

Детально проблема расписана в базе знаний ISC (наш случай - пункт 4. DNS queries/responses using EDNS are allowed, but UDP fragmentation and reassembly is broken), но решение достаточно простое - настроить свой DNS-сервер сообщать другим серверам не посылать требующие фрагментации ответы. Этакий аналог TCP adjust mss, но для DNS через UDP. Более крупные ответы будут доставляться сразу по TCP вместо UDP.

Для сервера BIND достаточно прописать в секции options:

options {
  edns-udp-size 1432;
}

Comments

[victor-sudakov.livejournal.com]

Пожаловался я в support. Они запросили пакетный дамп с этим же запросом на разные DNS сервера: 1 яндекc 77.88.8.8, 2 на гугл 8.8.8.8, 3 на локальный DNS провайдера.

Не успел я это всё собрать и выслать, как и через SkyDNS всё чудесным образом заработало. Всё равно, конечно, выслал запрошенное.