DNS Proxy löst Websites (URLs) nicht auf

9820

Created On 09/30/22 17:15 PM - Last Modified 03/02/23 05:35 AM

Symptom

Websites werden nicht geladen.
NSLOOKUPS haben eine Zeitüberschreitung.
dnsproxyd.log zeigt die folgenden Fehlermeldungen an:

Warning: pan_dnsproxy_check_udp_size(pan_dnsproxy_pkt_parse.c:188): Adding this record exceeds udp size limit, current 508, record size: 112, udp size limit: 512
Warning: pan_dnsproxy_check_udp_size(pan_dnsproxy_pkt_parse.c:188): Adding this record exceeds udp size limit, current 454, record size: 122, udp size limit: 512

Environment

PA-220
PANOS-10.0.4
DNS Proxy-Cache aktiviert

Cause

Wenn der DNSPROXY-Cache aktiviert ist, bereiten wir immer die Antwort aus dem Cache vor (unabhängig davon, ob wir die Datensätze bereits im Cache haben oder die Anforderung zuerst an einen Namensserver weiterleiten müssen).

Während dieses Prozesses prüft dnsproxy nicht, ob die vorbereitete DNS Antwort zu groß ist oder nicht (Standard-UDP-Limit sollte 512 Byte betragen). So könnte die von dnsproxy vorbereitete Antwort von anderen PAN FWs oder Netzwerkgeräten verworfen werden, wenn die DNS Größe größer als der Grenzwert ist (512 oder anderweitig in EDNSangegeben).

Dieses Problem tritt normalerweise bei verschachtelten CNAME Datensätzen auf und wenn Cache aufgrund der eingeschränkten Komprimierungsfähigkeit von dnsproxy verwendet wird.

Resolution

Als Problemumgehung kann eine der folgenden Optionen angewendet werden:

Cache deaktivieren
Fügen Sie hierfür FQDN eine Proxy-Regel hinzu und verwenden Sie DNS keinen Cache
Verwendung EDNS (es erlaubt größere UDP DNS)

Additional Information