使用nginx做dns服务器代理遇到“no live upstreams while connecting to upstream”

rockiee281

Hi all，

最近遇到一个场景，需要在外网提供一组dns解析服务，只解析白名单内的域名列表，方便合作方限制办公人员对网络的访问。bind服务假设在内网，在外网服务器上架了一台nginx做代理，配置如下：

stream {
    upstream dns_upstreams {
        server 10.64.xx.xx:53;
        server 10.64.xxx.xx:53;
    }

    server {
        listen 53 udp;
        proxy_pass dns_upstreams;
        proxy_timeout 1s;
        proxy_responses 1;
        error_log logs/dns.log;
    }
}

配置好之后一测试开心的就用起来了。但是检查ng的日志，发现日志里面很多no live upstream的错误日志。后端的两台bind服务器应该是比较稳定的，不可能挂。那么就怀疑是不是因为我限制了域名解析的白名单，对类似“www.baidu.com”的请求返回的都是拒绝所导致的？对这种udp请求的upstream，check alive机制是怎样的，不知道有哪位清楚？抓了对拒绝域名的响应如下：

rockiee281

发现邮件里面不会带上图片……抓包发现dns的response里面reply code是0010对应server failed。不知道openresty会解析这块来判断backend是否正常吗

在 2017年10月10日星期二 UTC+8下午7:20:13，rockiee281写道：

Hi all，
最近遇到一个场景，需要在外网提供一组dns解析服务，只解析白名单内的域名列表，方便合作方限制办公人员对网络的访问。bind服务假设在内网，在外网服务器上架了一台nginx做代理，配置如下：
stream { upstream dns_upstreams { server 10.64.xx.xx:53; server 10.64.xxx.xx:53; } server { listen 53 udp; proxy_pass dns_upstreams; proxy_timeout 1s; proxy_responses 1; error_log logs/dns.log; } }

配置好之后一测试开心的就用起来了。但是检查ng的日志，发现日志里面很多no live upstream的错误日志。后端的两台bind服务器应该是比较稳定的，不可能挂。那么就怀疑是不是因为我限制了域名解析的白名单，对类似“www.baidu.com”的请求返回的都是拒绝所导致的？对这种udp请求的upstream，check alive机制是怎样的，不知道有哪位清楚？抓了对拒绝域名的响应如下：

agentzh

Hello!

2017-10-10 4:24 GMT-07:00 rockiee281:
>
> 发现邮件里面不会带上图片……抓包发现dns的response里面reply code是0010对应server failed。不知道openresty会解析这块来判断backend是否正常吗
>

DNS reply 都是 server failed 了，显然是挂了。要不是你的 DNS 服务器有问题，要不就是你写的域名有问题。

nginx 的 stream 代理倒并不会检查应用层协议的细节。只是闭着眼睛转发罢了。

Regards,
Yichun