Sujet :
résolution dns aléatoire pour un service externe via notre firewall
RÉSOLU
Liste des sujets Répondre Créer un sujet
Membre depuis le 16/07/2024
bonjour les devs. on a un souci bizarre. quand nos services tentent de résoudre un nom de domaine externe genre api.external-partner.com via notre firewall (Palo Alto) ça marche une fois sur deux. on dirait que le firewall laisse passer le trafic UDP 53 mais les réponses arrivent pas toujours. on a bien des règles de sortie
Répondre
vous devez être connecté pour poster un message !
Rejoindre la communauté
Recevoir les derniers articles gratuitement en créant un compte !
S'inscrire
hoareau-simone
Membre depuis le 11/07/2024
salut. les firewalls modernes font du
DNS scrubbingou de l'inspection DNS. ils peuvent refuser des réponses DNS qui ne correspondent pas à la requête initiale ou qui sont mal formées. checke les logs de ton Palo Alto pour voir s'il ne droppe pas des paquets DNS en retour. et parfois, si l'upstream DNS est trop lent, le firewall timeout la session UDPwilliam80
Membre depuis le 28/07/2024
ouais et t'utilises quel
DNS resolvercôté service ? si c'est leresolverpar défaut du système, il retente sur d'autres serveurs. assure-toi que tous lesDNS forwardersde ton firewall ou de tonresolver internesont sains et atteignables. si t'as une source qui merde ça peut créer ce genre d'aléaspatricia88
Membre depuis le 16/07/2024
ok je vois pour le
dns scrubbing. on a unforwarderinterne qui pointe vers les DNS de google (8.8.8.8) et les nôtres. je vais regarder les logs du palo alto et voir si je vois des drops pour les réponses. c'est une bonne piste le timeout aussi. thxhoareau-simone
Membre depuis le 11/07/2024
de rien. des fois aussi les
ttldes enregistrements DNS sont très bas ce qui fait bcp de requêtes et le firewall a du mal à suivre toutes les sessions UDP. mais ça c'est plus rarepatricia88
Membre depuis le 16/07/2024
je viens de checker les logs du palo alto et bingo ! il droppait des réponses dns avec le message 'dns response out of window'. c'était lié à une feature de protection. désactivée, et ça marche niquel. merci bcp !