本次给大家分享一个小概率问题,问题是这样的: 问题描述: 客户反馈当前内网有两个域名访问不到,时通时不通,我问客户有没有在防火墙上面放通测试一下,当前已经在防火墙和上网行为管理上加白了,但是还是不行,因为白名单的优先级是大于黑名单,所以我一开始考虑的是DNS的问题,然后我让客户提供远程进行下一步排查。
问题排查: 接入远程之后首先在本机上复现一下问题现象,是否跟客户说的现象一致,经过测试发现确实访问不到个别的两个域名,通过本机nslookup解析后有返回IP地址,但是与我自己电脑解析的IP地址不一致,发现客户的电脑ping不通自己解析的IP,但是可以ping通我电脑解析出来的IP地址,这让我更加怀疑是DNS的问题,查看客户的DNS是202.99.160.68是联通的DNS,随后我把客户的DNS修改为222.222.222.222和114.114.114.114的通用IP地址之后发现其中一个域名可以正常访问,但是另外一个还是不行,这个就很奇怪了,那感觉也不是DNS的问题,随后我在出口防火墙上面进行测试,发现防火墙是可以正常通信的,查看防火墙的DNS是202.99.160.68这一步更让我确认了不是DNS的问题,还是有安全设备有拦截,随后在防火墙上进行抓包,tcpdump -i any icmp host www.NBA.com -nn -c 1000发现对端没有回包,开启直通后发现该域名已经被添加在永久封锁名单里面了,但是奇怪的是我的黑名单找遍了都没有这个域名 这个时候只能通过解析的IP下手了,通过IP查询后发现这IP绑定了许多的域名,那应该是跟黑名单的某个域名解析出来的IP地址相同给封禁了,因为防火墙的封禁域名机制是先解析IP再去封禁的,还有就是他是动态解析入库的所以我感觉是这个原因导致时通时不通的现象。 终于功夫不负有心人终于是找到域名了,这问题查的跟派出所办案一样,哈哈哈
解决方式: 发现这个域名解析的IP地址与目的域名解析的相同,并且在黑名单中找到了这个犯罪份子,放通之后域名恢复访问 |