Newsgroup: it.news.net-abuse
Titolo: Problemi con zen.spamhaus.org?

Da poco sto notando che 
zen.spamhaus.org
 non risponde
più, è un problema mio o è generalizzato?
-- 
ValeRyo - GS500F "Camilla"
Comitato Per La Salvaguardia Dell'Italiano
E anche tu potrai dire: quest'hanno c'è l'ho l'iscrizione!
Se impareremmo i congiuntivi fossimo persone migliori!

 più, è un problema mio o è generalizzato?
La prima, pare.

 più, è un problema mio o è generalizzato?
Qui da me funziona normalmente.
G.

 più, è un problema mio o è generalizzato?
Da un server, che però non gestisco direttamente, mi dicono che
ci sono stati problemi con un "temporary lookup failure" per zen
Ho suggerito di sostituire con xbl-sbl e adesso pare andare.
Per pbl invece attendo notizie.
Parlo di un server con connettività telecom.
Sui miei server invece non mi risulta nulla di anormale (no telecom)
Sospetto problemi di routing, a naso...
-- 
Gerolamo 

Gabriele - OneNET wrote:

Pure da me...


Eh, ma routing verso *chi*?
I DNS di Spamhaus sono ben robusti e distribuiti, e i mirror anche.
Per riuscire ad avere problemi di routing tali da andare in errore con 
tutti i mirror doveva praticamente essere fuori rete...
Se avete dettagli in più, anche per via privata...

 con tutti i mirror doveva praticamente essere fuori rete...
o avere un (o 2 o N) adsl telecom per metterci dei server di posta.
Guarda, lasciamo stare che ci ho pure perso tempo :D
A questo punto, però, mi incuriosisce sapere dove sta il
server dell'OP.
-- 
Gerolamo 

 server dell'OP.
Rieccomi :-)
I problemi li ho con i miei dns su fastweb, usando opendns invece
risolve correttamente.
I dns per altro funzionano correttamente, sembra proprio un problema
di routing. Per scrupolo ho provato su tutti i mirror, sia da server a
Napoli che da altri a Salerno.


 risolve correttamente.
Attenzione che usare opendns o servizi simili come appoggio per DNSBL è 
potenzialmente soggetto a falsi positivi (o negativi), per via del fatto 
che manipolano alcune risposte: 
http://www.surbl.org/faq.html#opendns
Meglio un resolver locale, piuttosto.

 Meglio un resolver locale, piuttosto.
Si, lo so... era solo per questa prova.
Infatti il problema io ce l'ho con il miei dns locali.
-- 
ValeRyo - GS500F "Camilla"
Comitato Per La Salvaguardia Dell'Italiano
E anche tu potrai dire: quest'hanno c'č l'ho l'iscrizione!


 Meglio un resolver locale, piuttosto.
sicuramente si !

 dns locali.
uhm.. giusto per sicurezza (magari non è il
tuo caso, ma..) che DNS stai utilizzando
come resolvers ?
Hai un Cisco PIX di fronte ai DNS ?
l'accesso a DNS esterni da parte dei tuoi
resolvers è consentito sia su UDP che su
TCP (e non SOLO su UDP) ?
Se hai un traffic shaper, ti sei assicurato di
garantire sufficiente priorità al traffico DNS ?

 ha scritto nel messaggio
news:fof5j9$bm2$
1...@megan.servidellagleba.it

Si a tutto, quei dns funzionano normalmente per tante cose (bl incluse)
e stanno dando problemi da stamattina solo su zen.
Ma il problema è a monte, da quelle macchine non riesco a fare
una query NS diretta su (ad esempio) 
y.ns.spamhaus.org
 .
-- 
ValeRyo - GS500F "Camilla"
Comitato Per La Salvaguardia Dell'Italiano
E anche tu potrai dire: quest'hanno c'è l'ho l'iscrizione!


 una query NS diretta su (ad esempio) 
y.ns.spamhaus.org
 .
Query NS?
Occhio che i mirror di spamhaus *non rispondono* a query NS...
Spiega in dettaglio che query stai eseguendo...

 
y.ns.spamhaus.org
 .
prova a fare un
dig 
2.0.0.127.zen.spamhaus.org
o, se le macchine sono windows
nslookup 
2.0.0.127.zen.spamhaus.org
e dimmi cosa ti viene ritornato

 Occhio che i mirror di spamhaus *non rispondono* a query NS...
No, come non detto invece: han cambiato la zona...

 di traffico generato da EDNS0
chiarisco, nel caso di BINDv9 dovrai configurare
nella config il parametro "edns-udp-size" impostando
il valore a "512", nel caso di Windows invece dovrai
usare il tool del resource kit "dnscmd" come segue
"dnscmd /config /enableednsprobes 0" cosě da
disabilitare l'uso di EDNS0 da parte del server

 Spiega in dettaglio che query stai eseguendo...
Sorry, TXT.
host -t TXT 
2.0.0.127.zen.spamhaus.org
 
l.ns.spamhaus.org
Ora mi funziona su una rete si e l'altra no, forse problemi di routing di 
fastweb?
La butto lě, eh...
-- 
ValeRyo - GS500F "Camilla"
Comitato Per La Salvaguardia Dell'Italiano
E anche tu potrai dire: quest'hanno c'č l'ho l'iscrizione!


 dig 
2.0.0.127.zen.spamhaus.org
; <<>> DiG 9.2.3 <<>> 
2.0.0.127.zen.spamhaus.org
;; global options:  printcmd
;; connection timed out; no servers could be reached
Fa ancora un su e giù...


 Fa ancora un su e giů...
prova anche
dig @
193.43.2.1
 
2.0.0.127.zen.spamhaus.org
dig @
4.2.2.2
 
2.0.0.127.zen.spamhaus.org
poi ripeti i comandi di cui sopra usando
dig +tcp @..... ecc ....

 problemi di routing di fastweb ?
magari fare qualche trace ... :) ?

 dig +tcp @..... ecc ....
Me ne sfugge il senso...

 Me ne sfugge il senso...
serve a verificare che in effetti il traffico DNS su TCP verso DNS
esterni sia permesso .. sai, fidarsi č bene, ma verificare... :D

 esterni sia permesso .. sai, fidarsi è bene, ma verificare... :D
Questo lo capisco. Quello che non capisco è come dovrebbe impattare con 
spamhaus: i mirror sono tutti rbldnsd, che TCP manco lo supporta...



<homer>DOH .. PAFF!!</homer> hai ragione... sono fuso :P

 magari fare qualche trace ... :) ?
Ma magari hai ragione, ma ormai sono fuso... e non so
fino a che punto il trace potrebbe essere bloccato da
firewall intermedi.
Comunque i ns risolvono correttamente di tutto, il
firewall d'uscita è mio e quindi sono sicuro della configurazione
e soprattutto ha funzionato tutto bene fino a stamattina :-)
Me ne sono accorto per il rallentamento del server smtp.
-- 
ValeRyo - GS500F "Camilla"
Comitato Per La Salvaguardia Dell'Italiano
E anche tu potrai dire: quest'hanno c'è l'ho l'iscrizione!





ero proprio fuso, il discorso rbldnsd non c'entra nulla con
i tests che avevo chiesto di fare, avevo ragione io :)

 i tests che avevo chiesto di fare, avevo ragione io :)
Con un 'aiuto esterno' ho scoperto il problema... troppe macchine
che fanno uso di zen si appoggiano a quel dns, con il risultato che
spamhaus l'ha tagliato fuori per superamento dei parametri del
servizio 'free'.
Che figuraccia! :-/
(e grazie, o gran maestro :-) )


 Che figuraccia! :-/
Leggo ora.
E' successo pure a me. Tocca usare DNS esterni.
:-(
Ditemi se dico un'assurdità: e se si usasse un resolver locale che si 
appoggi a DNS esterni come forwarders? Qualcosa tipo:
zone "
spamhaus.org
" {
     type forward;
     forward only;
     forwarders {
         1.2.3.4;
         4.3.2.1;
     };
};
funzionerebbe bene?

 };
per funzionare potrebbe anche funzionare, anche se io a questo
punto utililizzerei "forward first" così da includere anche il resolver
locale nell'elenco degli IP dai quali potrà essere inviata una query
l'alternativa è (ovviamente) quella di prendersi un account "a pago"
e fare tutte le query che servono; del resto spamhaus è un servizio
e, dato che a quanto sembra, è anche utile, mi sembra giusto aiutare
il servizio a rimanere in piedi... o no ?

 servizio a rimanere in piedi... o no ?
Giustissimo, per carità.
Si tratta del server di una facoltà universitaria. Singolarmente siamo 
al di sotto della soglia indicata da Spamhaus. Probabilmente però anche 
altre facoltà dell'ateneo hanno fatto una scelta simile. Morale: 
all'intero ateneo è stato interdetto l'uso del servizio.
Da buon precario, non sono in condizione di risolvere la questione.

 funzionerebbe bene?
Funzionerebbe pure, ma dopo poco quel resolver lì sarebbe bloccato,
immagino.
Per risolvere sto cercardo di organizzarmi per un account a pagamento,
oltretutto se lo meritano.


 questione.
un classico, alla gestione delle reti ci piazzano un bidello ed un
architetto, e chi invece ha le conoscenze e le capacità per
gestire correttamente le cose viene relegato al ruolo di galoppino
non è la prima volta che vedo situazioni simili .. purtroppo :-(

 a pagamento, oltretutto se lo meritano.
concordo, già che ci sei dai anche un'occhiata qui
http://www.karmasphere.com/
sto usando KS da alcuni mesi e sinceramente il maggior
numero di hits li ho con KS e spamhaus il che.. non è
malaccio :)

 malaccio :)
Sembra interessante, lunedì me lo guardo meglio, grazie!
