Configuration DNS sur les routeurs Cisco
Contenu
Introduction
Le but de ce document est de rassembler certains éléments sur le système de noms de domaine (DNS) utilisé par les routeurs Cisco.
Conditions préalables
Conditions requises
Les lecteurs de ce document devraient avoir connaissance des sujets suivants :
-
Interface de ligne de commande Cisco IOS® (CLI)
-
Comportement général du système DNS
Components Used
Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :
-
Routeurs de la gamme Cisco 2500
-
Logiciel Cisco IOS 12.2(24a)
The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.
Conventions
For more information on document conventions, refer to the Cisco Technical Tips Conventions.
Configuration d'un routeur pour les recherches DNS
Votre routeur peut être configuré pour les recherches DNS si vous souhaitez utiliser la commande ping ou traceroute avec un nom d'hôte au lieu d'une adresse IP. Pour cela, utilisez les commandes suivantes :
| Commande | Description |
|---|---|
| ip domain lookup | Active la conversion du nom d'hôte de type DNS en adresse. Cette commande est activée par défaut. |
| ip name-server | Spécifie l'adresse d'un ou de plusieurs serveurs de noms. |
| ip domain list | Définit une liste de domaines à essayer tour à tour. Remarque : S'il n'existe aucune liste de domaines, le nom de domaine que vous avez spécifié avec la commande de configuration globale ip domain-name est utilisé. S'il y a une liste de domaines, le nom du domaine par défaut n'est pas utilisé. |
| ip domain name | Définit un nom de domaine par défaut que le logiciel Cisco IOS utilise pour compléter les noms d'hôte incomplets (noms sans nom de domaine en notation décimale pointée). N'incluez pas le point initial qui sépare un nom incomplet du nom du domaine. |
| ip ospf name-lookup | Configure Open Shortest Path First (OSPF) pour rechercher les noms DNS à utiliser dans tous les affichages de la commande EXEC ospf show. Cette fonctionnalité facilite l'identification d'un routeur, car le routeur est affiché avec son nom au lieu de son ID de routeur ou ID de voisin. |
Cet exemple montre une configuration sur un routeur configuré pour la recherche DNS de base :
| Exemple de configuration d'une DNS de base |
|---|
Router# show running-config Building configuration... Current configuration : 470 bytes ! version 12.2 service timestamps debug datetime msec service timestamps log uptime no service password-encryption ! hostname Router ! ! ip subnet-zero ip name-server 192.168.1.100 !--- Configures the IP address of the name server. !--- Domain lookup is enabled by default. ! ! interface Ethernet0 ip address 192.168.1.1 255.255.255.0 ! ! !--- Output Suppressed. end |
Router# ping www.cisco.com Translating "www.cisco.com"...domain server (192.168.1.100) [OK] Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to 198.133.219.25, timeout is 2 seconds: !!!!! Success rate is 100 percent (5/5), round-trip min/avg/max = 224/228/236 ms
Dépannage
Dans de rares conditions, vous pouvez voir une des erreurs suivantes :
Router# debug ip udp UDP packet debugging is on Router# ping www.yahoo.com Translating "www.yahoo.com"...domain server (129.250.35.250) *Mar 8 06:26:41.732: UDP: sent src=209.69.16.66(5476), dst=129.250.35.250(53), length=59 *Mar 8 06:26:44.740: UDP: sent src=209.69.16.66(5476), dst=129.250.35.250(53), length=59 *Mar 8 06:26:47.744: UDP: sent src=209.69.16.66(5476), dst=129.250.35.250(53), length=59 % Unrecognized host or address, or protocol not running. Router#undebug allAll possible debugging has been turned off Router# ping www.yahoo.co.kr Translating "www.yahoo.co.kr"...domain server (169.140.249.4) ¡¦ Not process Router# ping www.novell.com Translating "www.novell.com"...domain server (255.255.255.255) % Unrecognized host or address, or protocol not running.
Suivez ces étapes pour dépanner le problème suivant :
-
Assurez-vous que le routeur peut atteindre le serveur DNS. Envoyer un ping au serveur DNS depuis le routeur avec son adresse IP et veillez à utiliser la commande ip name-server pour configurer l'adresse IP du serveur DNS sur le routeur.
-
Suivez les étapes ci-dessous pour garantir que le routeur transmet les demandes de recherche :
-
Définissez une liste de contrôle d'accès (ACL) appropriée sur les paquets DNS :
access-list 101 permit udp any any eq domain access-list 101 permit udp any eq domain any
-
Utilisez la commande debug ip packet 101.
Remarque : assurez-vous de spécifier la liste de contrôle d'accès. Si vous entrez la commande debug ip packet sans ACL, vous risquez de générer une grande quantité de résultats sur la console et de provoquer le rechargement du routeur.
-
-
Assurez-vous que la commande ip domain-lookup est activée sur le routeur.
Vous pouvez envoyer un ping à un serveur Web mais vous ne pouvez pas afficher les pages HTML
Dans de rares cas, vous ne pourrez peut-être pas accéder à certains sites Web avec leur nom. Ce problème provient habituellement du fait que les sites inaccessibles effectuent une recherche DNS inverse sur l'adresse IP source pour vérifier que cette adresse n'est pas usurpée. Si une entrée incorrecte est renvoyée ou aucune entrée (en d'autres termes si aucun nom n'est associé à la plage IP, la demande HTTP est bloquée.
Quand vous obtenez votre nom de domaine Internet, vous devez également demander un domaine inaddr.arpa. Ce domaine spécial s'appelle un domaine inverse. Le domaine inverse mappe les adresses IP numériques avec les noms de domaine. Si votre ISP vous fournit votre serveur de noms ou vous a affecté une adresse depuis un bloc composé de ses propres adresses, il ne vous sera peut-être pas nécessaire de demander vous-même un domaine in-addr.arpa. Vérifiez avec votre ISP.
Examinons un exemple qui utilise www.cisco.com. La sortie qui suit a été saisie sur une station de travail UNIX. Nous avons utilisé le programme slookup et le programme dig. Notez les différences contenues dans la sortie :
sj-cse-280% nslookup www.cisco.com Note: nslookup is deprecated and may be removed from future releases. Consider using the 'dig' or 'host' programs instead. Run nslookup with the '-sil[ent]' option to prevent this message from appearing. Server: 171.68.226.120 Address: 171.68.226.120#53 Name: www.cisco.com Address: 198.133.219.25 sj-cse-280% nslookup 198.133.219.25 Note: nslookup is deprecated and may be removed from future releases. Consider using the 'dig' or 'host' programs instead. Run nslookup with the '-sil[ent]' option to prevent this message from appearing. Server: 171.68.226.120 Address: 171.68.226.120#53 25.219.133.198.in-addr.arpa name = www.cisco.com.
Le programme dig imprime plus d'informations sur les paquets DNS :
sj-cse-280% dig 198.133.219.25 ; <<>> DiG 9.0.1 <<>> 198.133.219.25 ;; global options: printcmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN, id: 5231 ;; flags: qr aa rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 1, ADDITIONAL: 0 ;; QUESTION SECTION: ;198.133.219.25. IN A ;; AUTHORITY SECTION: . 86400 IN SOA A.ROOT-SERVERS.NET. nstld.verisign-grs.com. ( 2002031800 1800 900 604800 86400 ) ;; Query time: 135 msec ;; SERVER: 171.68.226.120#53(171.68.226.120) ;; WHEN: Mon Mar 18 09:42:20 2002 ;; MSG SIZE rcvd: 107
Le routeur interroge différents serveurs de noms
Selon le niveau d'activité sur le réseau, le routeur peut interroger différents serveurs de noms mentionnés dans la configuration. Voici un exemple :
router> test002 Translating ?test002?...domain server (172.16.33.18) (171.70.10.78) (171.100.20.78) (172.16.33.18) (171.70.10.78) (171.10.20.78) Translating ?test002?...domain server (172.16.33.18) [OK] Trying test002.rtr.abc.com (171.68.23.130)... Open
Ce comportement est prévu et se produit quand le routeur a besoin de créer une entrée de Protocole de résolution d'adresse (ARP) pour le serveur DNS. Par défaut, un routeur conserve une entrée ARP pendant quatre heures. Lorsque l'activité est réduite, le routeur doit compléter l'entrée ARP puis exécuter la requête DNS. Si l'entrée ARP correspondant au serveur DNS n'est pas dans la table ARP du routeur, une défaillance se produit si vous n'envoyez qu'une requête DNS. Ainsi, deux requêtes sont envoyées, une pour extraire l'entrée ARP, si nécessaire, et la seconde pour exécuter effectivement la requête DNS. Ce comportement est commun aux applications TCP/IP.
Commentaires