Introduction
Este documento descreve o atraso antes que o prompt de senha apareça enquanto você faz login via SSH/Telnet.
Esse problema é geralmente observado quando você tenta fazer login via SSH ou Telnet para a interface mgmt0 em um Nexus 5K/6K.
Depois que você digitar a ID de usuário, este texto é exibido e há um atraso maior como esperado, antes que o prompt de senha seja exibido.
login as: admin
<delay for several seconds before below text is appears>
Nexus 5000 Switch
Using keyboard-interactive authentication.
Password:
Problema: Atraso antes que o prompt de senha seja exibido enquanto você faz login via SSH/Telnet
O problema ocorre devido à pesquisa de DNS reverso.
Por padrão, ip domain-lookup é ativado no Nexus e se uma lista de servidores DNS (ip name-server) for configurada no Gerenciamento de VRF, o switch executará uma pesquisa de DNS reversa do endereço IP origem do usuário sempre que se conectar à porta mgmt0 via SSH ou Telnet.
Uma pesquisa de DNS reversa é destinada para fins de segurança, para verificar se o endereço IP de origem é legítimo e para evitar falsificação de IP.
Aqui está um exemplo onde usamos um servidor DNS 10.67.84.45
O servidor DNS nesse caso não tem uma entrada para o endereço IP origem do cliente e não fornece uma resposta. Isso faz com que o switch Nexus execute várias consultas, pois o servidor não retorna um resultado, portanto isso causa o atraso.
ip domain-lookup
vrf context management
ip name-server 10.67.84.45
A partir dessa saída de show hosts, você pode ver que há um servidor DNS configurado para o Gerenciamento de VRF e que a pesquisa de domínio IP está habilitada.
N5548P-2# show hosts
DNS lookup enabled
Name servers for vrf:management is 10.67.84.45
Host Address
Essas capturas do Ethanalzyer foram feitas depois que o nome de usuário foi inserido e você espera a exibição do prompt de senha.
Ele mostra que o switch Nexus executa duas pesquisas de DNS reverso em relação ao endereço IP origem do usuário, 62.84.137.10
SSH para a interface N5K mgmt0
Username: admin
<delay for several seconds>
N5548P-2# ethanalyzer local interface mgmt display-filter dns
Capturing on eth0
2015-05-09 22:11:44.105674 10.67.84.56 -> 10.67.84.45 DNS Standard query PTR 6
2.84.137.10.in-addr.arpa
2015-05-09 22:11:49.102673 10.67.84.56 -> 10.67.84.45 DNS Standard query PTR 6
2.84.137.10.in-addr.arpa
N5548P-2# 2 packets captured
The password prompt is then displayed for the user
Nexus 5000 Switch
Using keyboard-interactive authentication.
Password
:
Da mesma forma, quando você faz login via Telnet, o switch executa primeiro a pesquisa de DNS reversa acima no endereço IP de origem do usuário e exibe o prompt de login.
Telnet para a interface N5K mgmt0
telnet to switch 10.67.84.56
N5548P-2# ethanalyzer local interface mgmt display-filter dns
Capturing on eth0
2015-05-09 22:24:56.303878 10.67.84.56 -> 10.67.84.45 DNS Standard query PTR 6
2.84.137.10.in-addr.arpa
2015-05-09 22:25:01.302680 10.67.84.56 -> 10.67.84.45 DNS Standard query PTR 6
2.84.137.10.in-addr.arpa
2 packets captured
O prompt de login é então exibido:
Nexus 5000 Switch
login: admin
Password:
Solução
Solução 1. Modifique a lista de servidores DNS configurados no Nexus para que o servidor DNS responsivo seja consultado antes do servidor DNS não responsivo.
Se o Nexus receber um registro DNS válido do servidor DNS local, ele não consultará o segundo servidor DNS na lista. Isso reduz o atraso.
Exemplo:
vrf context management
no ip name-server 10.67.84.45
ip name-server 10.67.84.48 10.67.84.45
Você pode usar estes comandos para verificar a lista atual de servidores DNS onde o servidor local aparece primeiro na lista:
N5548P-2# sh hosts
DNS lookup enabled
Name servers for vrf:management is 10.67.84.48 10.67.84.45
Host Address
A partir dessa captura do Ethanalyzer, primeiro a pesquisa de IP para nome é executada e uma resposta é recebida.
Isso é seguido por uma pesquisa de nome para endereço IP em que uma resposta é recebida.
Nesse caso, não houve atraso notável ao fazer login via SSH ou Telnet.
N5548P-2# ethanalyzer local interface mgmt display-filter dns
Capturing on eth0
2015-05-09 22:55:46.037079 10.67.84.56 -> 10.67.84.48 DNS Standard query PTR
20.196.104.64.in-addr.arpa
2015-05-09 22:55:46.037444 10.67.84.48 -> 10.67.84.56 DNS Standard query res
ponse PTR no-sense-1.cisco.com
2015-05-09 22:55:46.041907 10.67.84.56 -> 10.67.84.48 DNS Standard query A n
o-sense-1.cisco.com
2015-05-09 22:55:46.042295 10.67.84.48 -> 10.67.84.56 DNS Standard query res
ponse A 64.104.196.20
Solução 2. Remova a lista DNS do VRF de gerenciamento.
Exemplo:
vrf context management
no ip name-server 10.67.84.48 10.67.84.45
- Desativar pesquisa de domínio IP
no ip domain-lookup
Note: Há uma solicitação de aprimoramento aberta para desativar a pesquisa de DNS reverso para SSh/Telnet.
CSCur27501 Desative a pesquisa r-DNS para SSH/Telnet
Feedback