Como desativar as pesquisas AAAA?

... para compensar servidores DNS quebrados que estão fora de nosso controle.

Nosso problema: implantamos dispositivos incorporados que coletam dados do sensor em vários sites, principalmente apenas no IPv4. Alguns sites têm redes com manutenção insuficiente, por exemplo, caches DNS e / ou firewalls mal configurados ou quebrados, que ignoram completamente as consultas AAAA ou respondem a elas com respostas quebradas (por exemplo, IP de origem incorreto!). Como fornecedor externo do departamento de instalações, quase não temos influência nos departamentos de TI (às vezes relutantes). As chances de consertar seus servidores / firewalls DNS tão cedo são mínimas.

O efeito em nosso dispositivo é que, a cada gethostbyname (), os processos precisam aguardar o tempo limite das consultas AAAA; nesse momento, alguns processos já atingiram o tempo limite de suas tentativas de conexão.

Estou procurando soluções que sejam ...

• sistema amplo. Não consigo reconfigurar dezenas de aplicativos individualmente
• não permanente e configurável. Precisamos (re) habilitar o IPv6 onde / quando ele for corrigido / implementado. Reiniciar está OK.
• Se uma solução exigir que uma biblioteca principal como o glibc seja substituída, o pacote da biblioteca de substituição deve estar disponível em um repositório conhecido por ser bem mantido (por exemplo, Debian Testing, Ubuntu universe, EPEL). Auto-construção não é uma opção por tantas razões que eu nem sei por onde começar, então simplesmente não as listo ...

A solução mais óbvia seria configurar a biblioteca do resolvedor, por exemplo, via / etc / { resolv , nsswitch , gai } .conf para não consultar registros AAAA. Uma opção resolv.conf no-inet6como sugerida aqui seria exatamente o que estou procurando. Infelizmente não está implementado, pelo menos não em nossos sistemas (libc6-2.13-38 + deb7u4 no Debian 7; libc6-2.19-0ubuntu6.3 no Ubuntu 14.04)

Então como então? Encontramos os seguintes métodos sugeridos no SF e em outros lugares, mas nenhum deles funciona:

• Desabilitando completamente o IPv6, por exemplo, na lista negra do ipv6 LKM em /etc/modprobe.d/, ou sysctl -w net.ipv6.conf.all.disable_ipv6=1. ( Por curiosidade: por que o resolvedor está pedindo AAAA em que o IPv6 está desativado? )
• Removendo options inet6do /etc/resolv.conf. Não estava lá em primeiro lugar, inet6é simplesmente ativado por padrão hoje em dia.
• Configurando options single-requestem /etc/resolv.conf. Isso garante apenas que as consultas A e AAAA sejam feitas seqüencialmente e não em paralelo
• Mudando precedenceno /etc/gai.conf. Isso não afeta as consultas DNS, apenas como várias respostas são processadas.
• Usar resolvedores externos (ou executar um daemon de resolução local que contorna os servidores DNS quebrados) ajudaria, mas geralmente não é permitido pelas políticas de firewall da empresa. E isso pode tornar os recursos internos inacessíveis.

Idéias feias alternativas:

• Execute um cache DNS no host local. Configure-o para encaminhar todas as consultas que não sejam AAAA, mas para responder às consultas AAAA com NOERROR ou NXDOMAIN (dependendo do resultado da consulta A correspondente). Não estou ciente de um cache DNS capaz de fazer isso.
• Use alguma combinação inteligente de iptables u32 ou o módulo DNS de Ondrej Caletka para corresponder às consultas AAAA, para rejeitá-las pelo icmp (como a lib do resolvedor reagiria a isso?) Ou para redirecioná-las para um servidor DNS local que responda a tudo com um NOERROR vazio.

Observe que existem perguntas semelhantes e relacionadas no SE. Minha pergunta difere na medida em que elabora o problema real que estou tentando resolver, uma vez que lista requisitos explícitos, pois lista negativamente algumas soluções não funcionais frequentemente sugeridas e não é específica para um único aplicativo. Após essa discussão , postei minha pergunta.

• Pesquisa de DNS IPv6
• Como desativar a solicitação de registros AAAA quando não tenho endereço IPv6?
• Desativar pesquisas AAAA no libcurl

Pare de usar gethostbyname(). Você deveria estar usando getaddrinfo(), e deveria ter sido por anos agora. A página do manual até avisa sobre isso.

As funções gethostbyname * (), gethostbyaddr * (), herror () e hstrerror () estão obsoletas. Os aplicativos devem usar getaddrinfo (3), getnameinfo (3) e gai_strerror (3).

Aqui está um exemplo de programa rápido em C que demonstra a busca apenas de registros A para um nome e uma captura do Wireshark mostrando que apenas as pesquisas de registro A foram feitas na rede.

Em particular, você precisa conjunto ai_familypara AF_INETse você quiser apenas uma pesquisas recordes feitas. Este programa de amostra imprime apenas os endereços IP retornados. Consulte a getaddrinfo()página do manual para obter um exemplo mais completo de como fazer conexões de saída.

Na captura do Wireshark , 172.25.50.3 é o resolvedor de DNS local; a captura foi feita lá, para que você também veja suas consultas e respostas de saída. Observe que apenas um registro A foi solicitado. Nenhuma pesquisa AAAA foi feita.

#include <sys/types.h>
#include <sys/socket.h>
#include <string.h>
#include <stdlib.h>
#include <netdb.h>
#include <stdio.h>

int main(void) {
    struct addrinfo hints;
    struct addrinfo *result, *rp;
    int s;
    char host[256];

    memset(&hints, 0, sizeof(struct addrinfo));
    hints.ai_family = AF_INET;
    hints.ai_socktype = SOCK_STREAM;
    hints.ai_protocol = 0;

    s = getaddrinfo("www.facebook.com", NULL, &hints, &result);
    if (s != 0) {
        fprintf(stderr, "getaddrinfo: %s\n", gai_strerror(s));
        exit(EXIT_FAILURE);
    }

    for (rp = result; rp != NULL; rp = rp->ai_next) {
        getnameinfo(rp->ai_addr, rp->ai_addrlen, host, sizeof(host), NULL, 0, NI_NUMERICHOST);
        printf("%s\n", host);
    }
    freeaddrinfo(result);
}

Em caso de dúvida, vá para o código fonte! Então, vamos ver ... gethostbyname () parece interessante; que descreve exatamente o que estamos vendo: tente o IPv6 primeiro e depois volte ao IPv4 se você não obtiver a resposta que deseja. O que é essa RES_USE_INET6bandeira? Rastreando de volta, é proveniente de res_setoptions () . É aqui que resolv.confé lido.

E .... esse sou eu sem idéias. Não sei ao certo como RES_USE_INET6está sendo definido, se não estiver resolv.conf.

Você pode usar o BIND como um resolvedor local, ele tem uma opção para filtrar o AAAA:

https://kb.isc.org/article/AA-00576/0/Filter-AAAA-option-in-BIND-9-.html

Você tentou configurar o PDNS-recursor, configurá-lo no seu /etc/resolv.conf e negar pesquisas "AAAA" nele? Usando algo comoquery-local-address6=