Introducción
Este documento describe el retraso antes de que aparezca el mensaje de contraseña mientras inicia sesión a través de SSH/Telnet.
Este problema se observa comúnmente cuando intenta iniciar sesión a través de SSH o Telnet a la interfaz mgmt0 en un Nexus 5K/6K.
Después de introducir la ID de usuario, se muestra este texto y se produce un retraso mayor, como se espera, antes de que aparezca el mensaje de contraseña.
login as: admin
<delay for several seconds before below text is appears>
Nexus 5000 Switch
Using keyboard-interactive authentication.
Password:
Problema: Retraso antes de que aparezca el mensaje de contraseña mientras inicia sesión a través de SSH/Telnet
El problema ocurre debido a la búsqueda de DNS inverso.
De forma predeterminada, ip domain-lookup se habilita en el Nexus y si una lista de servidores DNS (ip name-server) se configura en VRF Management , el switch realizará una búsqueda de DNS inversa de la dirección IP de origen del usuario cada vez que se conecte al puerto mgmt0 a través de SSH o Telnet.
Una búsqueda de DNS inverso está diseñada para fines de seguridad para verificar que la dirección IP de origen es legítima y para evitar la suplantación de IP.
A continuación se muestra un ejemplo donde utilizamos un servidor DNS 10.67.84.45
El servidor DNS en este caso no tiene una entrada para la dirección IP de origen del cliente y no proporciona una respuesta. Esto hace que el switch Nexus realice varias consultas, ya que el servidor no devuelve un resultado, por lo que esto causa la demora.
ip domain-lookup
vrf context management
ip name-server 10.67.84.45
A partir de este resultado de show hosts, puede ver que hay un servidor DNS configurado para la Administración VRF y que la búsqueda de dominio IP está habilitada.
N5548P-2# show hosts
DNS lookup enabled
Name servers for vrf:management is 10.67.84.45
Host Address
Estas capturas de Ethanalzyer se tomaron después de ingresar el nombre de usuario y espera a que aparezca el mensaje de contraseña.
Muestra que el switch Nexus realiza dos búsquedas de DNS inversas con respecto a la dirección IP de origen del usuario, 62.84.137.10
SSH a la interfaz de gestión de N5K0
Username: admin
<delay for several seconds>
N5548P-2# ethanalyzer local interface mgmt display-filter dns
Capturing on eth0
2015-05-09 22:11:44.105674 10.67.84.56 -> 10.67.84.45 DNS Standard query PTR 6
2.84.137.10.in-addr.arpa
2015-05-09 22:11:49.102673 10.67.84.56 -> 10.67.84.45 DNS Standard query PTR 6
2.84.137.10.in-addr.arpa
N5548P-2# 2 packets captured
The password prompt is then displayed for the user
Nexus 5000 Switch
Using keyboard-interactive authentication.
Password
:
Del mismo modo, cuando inicia sesión a través de Telnet, el switch realiza primero la búsqueda de DNS inversa anterior en la dirección IP de origen del usuario y, a continuación, muestra el mensaje de inicio de sesión.
Telnet a la interfaz de gestión N5K0
telnet to switch 10.67.84.56
N5548P-2# ethanalyzer local interface mgmt display-filter dns
Capturing on eth0
2015-05-09 22:24:56.303878 10.67.84.56 -> 10.67.84.45 DNS Standard query PTR 6
2.84.137.10.in-addr.arpa
2015-05-09 22:25:01.302680 10.67.84.56 -> 10.67.84.45 DNS Standard query PTR 6
2.84.137.10.in-addr.arpa
2 packets captured
A continuación, se muestra el mensaje de inicio de sesión:
Nexus 5000 Switch
login: admin
Password:
Solución
Solución 1. Modifique la lista de servidores DNS configurados en el Nexus para que se consulte al servidor DNS receptivo antes de que el servidor DNS no responda.
Si el Nexus recibe un registro DNS válido del servidor DNS local, no consultará al segundo servidor DNS de la lista. Esto reduce el retraso.
Ejemplo:
vrf context management
no ip name-server 10.67.84.45
ip name-server 10.67.84.48 10.67.84.45
Puede utilizar estos comandos para verificar la lista actual de servidores DNS donde el servidor local aparece primero en la lista:
N5548P-2# sh hosts
DNS lookup enabled
Name servers for vrf:management is 10.67.84.48 10.67.84.45
Host Address
Desde esta captura de Ethanalyzer, primero se realiza la búsqueda de IP a nombre y se recibe una respuesta.
A esto le sigue una búsqueda de nombre a dirección IP donde se recibe una respuesta.
En este caso, no se observó ningún retraso notable al iniciar sesión a través de SSH o Telnet.
N5548P-2# ethanalyzer local interface mgmt display-filter dns
Capturing on eth0
2015-05-09 22:55:46.037079 10.67.84.56 -> 10.67.84.48 DNS Standard query PTR
20.196.104.64.in-addr.arpa
2015-05-09 22:55:46.037444 10.67.84.48 -> 10.67.84.56 DNS Standard query res
ponse PTR no-sense-1.cisco.com
2015-05-09 22:55:46.041907 10.67.84.56 -> 10.67.84.48 DNS Standard query A n
o-sense-1.cisco.com
2015-05-09 22:55:46.042295 10.67.84.48 -> 10.67.84.56 DNS Standard query res
ponse A 64.104.196.20
Solución 2. Quite la lista DNS del VRF de administración.
Ejemplo:
vrf context management
no ip name-server 10.67.84.48 10.67.84.45
- Desactivar búsqueda de dominio IP
no ip domain-lookup
Nota: Hay una solicitud de mejora abierta para deshabilitar la búsqueda de DNS inverso para SS/Telnet.
CSCur27501 Desactive la búsqueda de r-DNS para SSH/Telnet
Comentarios