Project

General

Profile

Scénario #16182

ipset et résolution de nom dans les tunnels : lancer les scripts des IPset quand le réseau est totalement opérationnel (VPN compris)

Added by Karim Ayari over 3 years ago. Updated about 3 years ago.

Status:
Terminé (Sprint)
Priority:
Normal
Assigned To:
Category:
-
Start date:
06/20/2016
Due date:
07/08/2016
% Done:

100%

Estimated time:
(Total: 3.00 h)
Spent time:
(Total: 8.17 h)
Story points:
4.0
Remaining (hours):
0.00 hour
Velocity based estimate:
1 days
Release:
Release relationship:
Auto

Description

à la demande d'un prestataire mandaté par la Région
nous avons ajouté en exception de proxy un nom de domaine local qui a pour serveur DNS un serveur chez les prestataire et où la résolution se fait au travers des tunnels.

  • Amon 2.5.1 :

Au moment du reconfigure ou si on relance bastion étant donné que rvp est arrêté avant la génération des règles de pare-feu, au moment de la mise en place des ipsets on a ce message :

Génération des règles de pare-feu (modèle "4z24_1-vlan")ipset v6.20.1: Syntax error: cannot parse rra.local: resolving to IPv4 address failed

normal car il ne peut pas résoudre puisque le serveur DNS n'est pas joignable au travers des tunnels.
par contre nous nous retrouvons avec le contenu de script ipset suivant :

ipset add  bastion-elv-exterieur-9-dst [rra.local]

Q1 : est-ce que cela est tout de même pris en compte malgré les [] ?

  • sur Amon 2.5.2 :

Il n'y a pas plus d'erreur (ce qui pour moi n'est pas normal, sauf si vous avez supprimé les alertes) et si je recherche le nom de domaine dans les scripts je ne lui trouve aucune référence, sauf en commentaires :

bastion-elv-ext-8-dst.sh:# IPset pour rra.local
bastion-elv-ext-8-dst.sh:# Fin IPset pour rra.local
bastion-elv-ext-9-dst.sh:# IPset pour rra.local
bastion-elv-ext-9-dst.sh:# Fin IPset pour rra.local
bastion-ped-ext-8-dst.sh:# IPset pour rra.local
bastion-ped-ext-8-dst.sh:# Fin IPset pour rra.local
bastion-ped-ext-9-dst.sh:# IPset pour rra.local
bastion-ped-ext-9-dst.sh:# Fin IPset pour rra.local

comme si la variable n'était pas prise en compte.

la variable remplie :

root@plateforme-test:/usr/share/era/ipsets# CreoleGet proxy_bypass_domain_eth2
rra.local
root@plateforme-test:/usr/share/era/ipsets# 

Même symptôme avec le modèle 4zones.

Q2 : n'y a t-il pas un soucis avec la gestion des noms de domaine ? sachant qu'il n'y a pas de problème avec les exceptions de type réseau


Subtasks

Tâche #16575: Trouver à quel endroit le VPN doit être lancé pour permettre de résoudre les FQDN à ajouter dans les ipsetsFerméFabrice Barconnière

Tâche #16574: Monter une infra de testFerméFabrice Barconnière

Associated revisions

Revision 09bea1e6 (diff)
Added by Fabrice Barconnière about 3 years ago

bastion : ne pas arrêter le VPN lors du stop en cas de restart pour
permettre la résolution d'un DNS forward dans un tunnel pour ipset

ref #16575 @2h
ref #16182

Revision 230dd07d (diff)
Added by Fabrice Barconnière about 3 years ago

bastion : ne pas arrêter le VPN lors du stop en cas de restart pour permettre la résolution d'un DNS forward dans un tunnel pour ipset

ref #16575
ref #16182

Revision 4a113c07 (diff)
Added by Fabrice Barconnière about 3 years ago

Relance temporaire de bind9 et VPN pendant reconfigure pour ipset

ref #16575 @2h
ref #16182

Revision e8f28de2 (diff)
Added by Fabrice Barconnière about 3 years ago

Utilisation de CreoleService pour relancer bind9 (si mode conteneur)

ref #16575 @2h
ref #16182

History

#1 Updated by Fabrice Barconnière over 3 years ago

  • Tracker changed from Demande to Scénario
  • Subject changed from ipset et résolution de nom dans les tunnels to ipset et résolution de nom dans les tunnels : lancer les scripts des IPset quand le réseau est totalement opérationnel (VPN compris)
  • Assigned To set to force indigo
  • Start date deleted (05/26/2016)
  • Release set to EOLE 2.6.0
  • Story points set to 4.0
  • Sur Amon 2.5.1, vérifier si l'adresse IP correspondant à rra.local se trouve dans le set bastion-elv-exterieur-9-dst (ipset list), mais j'ai un doute.
  • Sur Amon, 2.5.2, c'est manifestement vide.

Il faudrait pouvoir lancer les scripts IPset au moment où le réseau est opérationnel.

Prévoir les backport 2.5.1 et 2.5.2.

#2 Updated by Scrum Master about 3 years ago

  • Due date set to 07/08/2016
  • Target version set to sprint 2016 25-27 - Equipe MENESR
  • Start date set to 06/20/2016

#3 Updated by Scrum Master about 3 years ago

  • Status changed from Nouveau to Terminé (Sprint)

Also available in: Atom PDF