| 1.4, Урри (ok), 21:01, 17/11/2021 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
 Патч зачетный, из двух строк. Замена
- hval = jhash_1word((__force u32)daddr, fnhe_hashrnd);
- return hash_32(hval, FNHE_HASH_SHIFT);
на
+ hval = siphash_1u32((__force u32)daddr, &fnhe_hash_key);
+ return hash_64(hval, FNHE_HASH_SHIFT);
| | |
| |
| |
| 3.29, Robin Bobin (?), 14:15, 18/11/2021 [^] [^^] [^^^] [ответить]
| +2 +/– |
Для доменов и сервисов в целом, но для https мимо. В любом случае, какой ip не получишь, а сервер должен будет подписать хендшейк приватником, которому соответствует единственный публичник этого домена, который апрувлен/подписан всей цепочкой до корневых сертификатов.
| | |
|
|
| 1.8, Аноним (8), 22:03, 17/11/2021 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– |
У меня сегодня прикол. На свежеустановленной Arch pacman без проблем устанавливает любые пакеты из реп, а chromium и firefox не открывают ни один сайт. DNS_PROBE_FINISHED_NO_INTERNET. Куда копать? Причем на другом компе с практически теми же настройками всё работает.
| | |
| |
| |
| 3.22, Аноним (22), 09:16, 18/11/2021 [^] [^^] [^^^] [ответить]
| +/– |
Не... systemd-networkd и systemd-resolved использую, да. Но pacman же работает без проблем. DNSSEC и DNSOverTLS отключал в настройках там - не помогает.
| | |
|
| |
| 3.23, Аноним (22), 09:18, 18/11/2021 [^] [^^] [^^^] [ответить]
| +/– |
Не... Не ставил. /etc/resolv.conf такой же, как и на рабочем компе.
| | |
| |
| 4.37, AntonAlekseevich (ok), 12:59, 20/11/2021 [^] [^^] [^^^] [ответить]
| +/– |
 > Не... Не ставил. /etc/resolv.conf такой же, как и на рабочем компе.
До 53/UDP порта любого хоста из resolv.conf трасса есть?
'traceroute -U -4 -p 53 1.1.1.1'
+ отдельно проверить трассу до хоста без указания протокола.
'traceroute -4 1.1.1.1'
| | |
|
|
| 2.13, microcoder (ok), 23:14, 17/11/2021 [^] [^^] [^^^] [ответить]
| +/– |
 Открывает, но оооочень долго. Ютуб без кеша DNS в самом firefox, открывает секунд 40. И кажется только с ютубом такие жестокие задержки.
| | |
| |
| 3.24, Аноним (22), 09:22, 18/11/2021 [^] [^^] [^^^] [ответить]
| +/– |
Отключал DNSoverHTTPS, запускал с чистыми профилями - не помогло. Интернет то работает. Почему только браузеры не хотят?
| | |
|
|
| |
| 2.18, leap42 (ok), 04:28, 18/11/2021 [^] [^^] [^^^] [ответить]
| +/– |
 > DNSSEC
Нет конечно. Оно никогда не было 100% рабочим и уже скорее всего не будет. Иногда корректные ответы развалидируются и всё, приплыли. Поэтому и появились DoT и DoH.
cat /etc/systemd/resolved.conf:
DNS=1.1.1.1#one.one.one.one 9.9.9.10#dns10.quad9.net
FallbackDNS=
Domains=lan local ~.
DNSSEC=no
DNSOverTLS=yes
MulticastDNS=yes
LLMNR=yes
Cache=yes
CacheFromLocalhost=yes
DNSStubListener=udp
DNSStubListenerExtra=
ReadEtcHosts=yes
ResolveUnicastSingleLabel=no
ll /etc/resolv.conf
/etc/resolv.conf -> /run/systemd/resolve/stub-resolv.conf
cat /etc/NetworkManager/NetworkManager.conf:
[main]
plugins=ifupdown,keyfile
dns=none
rc-manager=unmanaged
systemd-resolved=false
[ifupdown]
managed=true
[connection]
connection.llmnr=1
| | |
| |
| 3.19, leap42 (ok), 04:30, 18/11/2021 [^] [^^] [^^^] [ответить]
| +/– |
[morph@wrkstation] ~$ cat /etc/nsswitch.conf:
passwd: files systemd
group: files systemd
shadow: files
gshadow: files
hosts: resolve [!UNAVAIL=return] dns myhostname
| | |
| 3.20, Аноним (20), 06:38, 18/11/2021 [^] [^^] [^^^] [ответить]
| +1 +/– |
 DoH не защитит сам сервер 1.1.1.1 от этой атаки. Если отравить его кеш, то все пользователи DoH получат ядовитый ответ.
| | |
| |
| 4.21, leap42 (ok), 08:33, 18/11/2021 [^] [^^] [^^^] [ответить]
| +1 +/– |
> DoH не защитит сам сервер 1.1.1.1 от этой атаки. Если отравить его
> кеш, то все пользователи DoH получат ядовитый ответ.
Справделиво. Но вероятность успешной атаки на Клаудфлару ничтожна. Я раньше тож был фанатом DNSSEC и постоянно использовал его. И именно он не пускал на легитимные сайты (ох и не сразу я это понял, но когда понял, нагуглил что это норма).
| | |
| |
| 5.25, Аноним (20), 10:01, 18/11/2021 [^] [^^] [^^^] [ответить]
| +2 +/– | |
> Справделиво. Но вероятность успешной атаки на Клаудфлару ничтожна.
Сервера у всех одинаковые. Вероятность отравления кеша cloudflare столько же высока как и кеша провайдера. Сервер сам нам скажет, сколько времени будет жить его кеш для определённого домена и в этот момент нужно отправить ему запрос этого домена и ответ на правильно угаданный порт. Строго говоря особо гадать и не нужно, можно отправить на все порты, благо их всего лишь 65000. Главное для атаки это возможность отправлять трафик с произвольного ip-адреса и к сожалению, есть ещё довольно много мест где это возможно.
| | |
| |
| 6.34, Аноним (34), 21:05, 19/11/2021 [^] [^^] [^^^] [ответить]
| +/– |
А если я использую 5-ь ДНС серверов от разных провайдеров, и все они вернули различные IP адреса, что делать, открывать 5-ь вкладок в браузере??? ;)
| | |
| |
| 7.36, Аноним (20), 06:12, 20/11/2021 [^] [^^] [^^^] [ответить]
| +/– |
> А если я использую 5-ь ДНС серверов от разных провайдеров, и все
> они вернули различные IP адреса
Это кстати штатная ситуация для Google с его CDN. Как поступать в такой странной ситуации решать тому, кто настроил эту проблему с 5 серверами. В штатной ситуации несколько серверов настраиваются для отказоустойчивости, а не для верификации. Подлинность ответа можно проверить только через DNSSEC, но оказывается есть горе-админы, что умудряются слать ответы за свой домен с неправильными подписями.
| | |
|
|
|
|
| 3.27, Аноним (27), 13:45, 18/11/2021 [^] [^^] [^^^] [ответить]
| –1 +/– |
Не поэтому. Провайдеры его просто никогда не внедрят, ибо им предписано блокировать сайты.
| | |
| 3.28, нах.. (?), 13:50, 18/11/2021 [^] [^^] [^^^] [ответить]
| +1 +/– |
MulticastDNS=yes
LLMNR=yes
Ахахахахаохохо... ох уж эти локалхосты.
| | |
| |
| 4.33, leap42 (ok), 07:02, 19/11/2021 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> Ахахахахаохохо... ох уж эти локалхосты.
Да, на всех домашних тачках Linux. А что не так? К чему коммент? Тут далеко не все с десяточки через pussy.exe работают.
| | |
|
| 3.32, Sem (??), 22:50, 18/11/2021 [^] [^^] [^^^] [ответить]
| +1 +/– |
DNSSEC в systemd-resolved был сломан (не знаю как сейчас). Не стоит делать заключений о DNSSEC только в этой реализации.
| | |
|
|
|
