A resolução do nome do cliente SSH falha para nomes que podem ser resolvidos

Question

Temos uma caixa linux (chamada jumper ) que é usada para acessar servidores em algumas DMZs separadas. Cada DMZ tem seu próprio nome de subdomínio (por exemplo, idmz.example.org , jdmz.example.org ) e cada subdomínio tem seu próprio servidor de nomes autoritativo.

Estamos no processo de substituir o antigo jumper do Solaris por uma nova caixa do Linux. A maioria das coisas funcionou bem, mas temos um problema com a conexão com servidores no subdomínio idmz.example.com usando SSH. Ping funciona bem; Podemos resolver o nome usando dig , mas o SSH diz "Não foi possível resolver".

A resolução de nomes funciona bem no lado do servidor e, quando nos conectamos usando o endereço IP, não há atraso ou tempo limite. Mas o SSH no lado do cliente afirma não ser capaz de resolver o servidor.

Ping e falha na conexão SSH:

jenny@jumper$  ping server.idmz.example.com
PING server.idmz.example.com (192.168.1.3) 56(84) bytes of data.

jenny@jumper$  ssh -v server.idmz.example.com
OpenSSH_5.3p1, OpenSSL 1.0.0-fips 29 Mar 2010
debug1: Reading configuration data /etc/ssh/ssh_config
debug1: Applying options for *
ssh: Could not resolve hostname server.idmz.example.com: Name or service not known

Conexão SSH bem-sucedida usando IP em vez do nome do host:

jenny@jumper$  ssh 192.168.1.3
[email protected]'s password: 

A única diferença que vejo do lado do cliente é que não consigo uma resposta autoritativa dos servidores de nomes para idmz , mas eu obtenho de todos os outros domínios DMZ.

    

Answer 1

Entramos em contato com os administradores de sistemas dos servidores DNS e pedimos que eles verificassem a configuração de idmz . Descobriu-se que o servidor de nomes exigia o tratamento de IPV6, mas não dava uma resposta correta para as consultas IPV6.

No servidor Solaris, o IPV4 foi usado por padrão. No novo servidor Linux, o SSH tentou primeiro o IPV6. Nesse caso, isso significava que, como não conseguia resolver o nome do servidor usando IPV6, considerava-o insolúvel. Para os outros domínios dmz, o servidor de nomes deu respostas corretas, mesmo quando usando IPV6.

Alteramos a configuração do SSH para incluir

AddressFamily inet

e o problema desapareceu.