Servicio Cliente DNS (dnscache)

[Alvaro G. Vicario]

Hace bastante tiempo que sufrimos cierta molestia en los PCs de nuestra red
local y hoy parece que he reducido el foco del problema al servicio "Cliente
DNS". Os cuento.

Es una red con un dominio en la que hay un servidor Windows 2000 Server (con
su correspondiente servidor DNS) y media docena de clientes Windows XP.
También hay un servidor Linux que hospeda varias páginas web solamente
visibles dentro de la red local a las que se accede mediante nombres de
dominio inventados (que acaban en .web) que se definen en el servidor DNS.
El problema es que a menudo (raro es el día en que no le pase a algún PC) de
repente deja de ser posible acceder a dichas páginas en uno de los
ordenadores: el navegador (sea el que sea, no es problema del mismo) da un
error de DNS y dice que no se puede encontrar la página. Esto sólo ocurre
con los nombres .web, el resto de la web es perfectamente navegable. El
problema parece estar en la caché DNS de Windows XP. Si hago un nslookup la
IP se resuelve sin problema. Pero sólo puedo volver a visitar la página si
fuerzo a que se vacíe la caché (bien renovando la conexión, bien deteniendo
el servicio "Cliente DSN").

Aparte de la molestia de no poder navegar por la intranet, el problema es
que hay que avisar al administrador porque los usuarios no tienen
privilegios suficientes para renovar la conexión o reiniciar el servicio (ni
sé cómo dárselos). Supongo que no será buena idea desactivar la caché DNS,
porque para algo está. ¿Tenéis alguna remota idea de qué leches puede estar
fallando?

Gracias de antemano,

[Alex]

No se si lo tienes configurado así, pero los DNS de todos los equipo deben apuntar al W2000 server y en éste habilitar el forwarding poniendo los DNS de tu ISP. (te cargas la zona root ".", sales vuelves a entrar y configuras los reenviadores)
Si los ordenadores de la red apuntan al DNS de Internet no funciona (obviamente)

[L. Valdés]

Post by Alvaro G. Vicario
problema parece estar en la caché DNS de Windows XP. Si hago un nslookup
la IP se resuelve sin problema. Pero sólo puedo volver a visitar la página
si fuerzo a que se vacíe la caché (bien renovando la conexión, bien
deteniendo el servicio "Cliente DSN").

Hola, Alvaro. Ozu, que problema mas curioso!
Yo creo que la parte "cliente" del servicio dns, en principio es la más
robusta y la que menos papeletas tiene para dar algún problema.
Me resulta extraño que el cliente dns haga diferencias entre distintos
nombres de dominio. Si no funciona un dominio "dot web", pero el resto
de las paginas son navegables, es posible que la prueba del nslookup
ponga de manifiesto otro tipo de problema secundario / paralelo.
(ni idea de cual puede ser)

Post by Alvaro G. Vicario
Supongo que no será buena idea desactivar la caché DNS,
porque para algo está.

Hombre, desde luego no es el adalid de las buenas maneras, supongo
que eso es lo que harían mis heroes Manolo y Benito, pero yo creo
que la idea será buena o mala, en funcion del resultado que produzca.
-yo por lo menos lo probaría- (318803.support.microsoft)
(se trata de parar el servicio "Cliente dns" con net stop dnscache)
(o bien cambiar el tipo de inicio de ese servicio a "manual")
(yo pensaba que entonces no funcionaría la resolucion de nombres,
pero si funciona, si. Al parecer ese servicio solo gestiona el cache)

Post by Alvaro G. Vicario
Aparte de la molestia de no poder navegar por la intranet, el problema es
que hay que avisar al administrador porque los usuarios no tienen
privilegios suficientes para renovar la conexión o reiniciar el servicio

Pues para "reparar" una conexion los usuarios deben pertenecer al grupo
"operadores de configuracion de red",(en XP) pero para hacer
ipconfig /flushdns no lo tengo muy claro, yo creo que un usuario si puede
hacer eso puesto que sobre windows\system32 un usuario tiene permiso
de lectura y ejecucion (no lo puedo probar, no se si digo una burrada)
Si está el directorio activo implementado, hay una manera muy elegante
de añadir estos usuarios al grupo citado, con la consola de usuarios y
equipos de ad. De lo contrario, esto se hace con la cuenta local de cada
usuario, propiedades, miembro de..., avanzadas. Ojo, despues de añadir
un usuario a ese grupo, hay que cerrar su sesion y volver a abrirla.

De cualquier forma, para confirmar todo esto, si la intuicion dice
que es el cache dns, habría que saber que es lo que realmente ocurre.
He intentado ver una forma de monitorizar / monitorear (no se como se dice)
el contenido de la cache dns, registrando el contenido de las altas y bajas
al estilo de "deb ip nat det (por ejemplo)" en algunos routers, y he visto
un comando "set tracing * enabled" de netsh, pero no vale para esto...
No se como se puede hacer eso.
En cualquier caso, no siendo esas entradas en la cache de dns
"renovables con el uso" (no se cual es la palabra) i.e: que el tiempo
de vida es fijo, creo que con registrar con ethereal (*) tranquilamente
hasta que salga un error, ayudará a saber exactamente lo que pasa,
puesto que a traves de ese registro conociendo el ttl de los registros
"dot web" en principio se puede deducir el contenido de la cache.
(*) con el filtro "udp dst port 53 or udp src port 53"
(**) si no rueda en el pc que se desea estudiar, con un filtro "host and"
(***)no conozco bien ese programa, seguro que hay un metodo mejor...
Si puedes poner por aqui el resultado (truncado) de esa captura con las
tramas que contengan "server failure" o "no such name" (o similar) y algunas
de las precedentes... seguro que hay gente que puede echarte un cable.
Un saludo, Luis.