Lancom-Reverse-DNS

[Danny]

Viele Hersteller von Routern und vergleichbaren Geräten bauen große Teile ihrer Softwareumgebung auf frei nutzbare Open-Source-Projekte auf.
Bei Betriebssystemen ist das fast immer Linux, bei DNS oft BIND oder eine der leichtgewichtigen Alternativen.
Diese sind im Quelltext und für alle relevanten Systemarchitekturen verfügbar und durch den massenhaften Einsatz hinreichend gut erprobt.
Dadurch gibt es bei diesen Geräten konsistentes Verhalten, aber eben auch identische Anfälligkeit für Sicherheitsücken (CVE) in der Software oder den zugrundeliegenden Bibliotheken wie z.B. OpenSSL. LANCOM setzt das auch ein - im Betriebssystem LCOS-LX.

Allerdings hat LANCOM auch professionelle Geräte im Angebot, bei denen auf Nutzung dieser "Referenz" bewußt verzichtet und letztlich der ganze IP-Stack neu implementiert wird. Diese Geräte haben als Betriebssystem LCOS. Durch die alternative Implementation sind sie oft nicht von "gängigen" Programmierfehlern und CVEs betroffen und müssen dann auch nicht gepatch werden.
...
Diese alternative Implementation hat aber auch Nachteile. Einer ist, da0 natürlich andere Programmierfehler entstehen können, ein anderer, daß Spezifikationen, RFCs o.ä. manchmal doch nicht eindeutig sind bzw. Interpretationsspielraum lassen. Bei LCOS ist das z.B. im IPv6-Teil der Fall, de sich manchmal subtil anders verhält als die Linux-Referenzimplementation, aber eben wie hier z.B. auch im DNS.

Danke für die Infos, interessant!

[backslash]

Hi Danny,

forwarded er eh alle DNS-Anfragen an den Nameserver seines Vertrauens, egal ob PTR oder A.

genau da kommt das Routing ins Spiel... Denn wer bei einer PTR-Anfrage der DNS-Server des Vertrauens ist, ermittelt das LANCOM dadurch, daß es die Route zur Adresse in der PTR-Abfrage sucht.
Und ganau da liegt der Hund begraben, weil RFC 2317 nicht unterstützt wird, kann die Route nicht gefunden werden und die Anfrage wird abgelehnt.
Das sollte aber durch ein Überschreiben des Forwardings für "*.in-addr.arpa" überdeckt werden können.

Gruß
Backslash