Wer hat den Namen aufgelöst?

Computer: Hardware Netzwerk
1

Hallo!

Wie kann ich festatellen, welcher Dienst/welches Verfahren die IP-Nummer zum Namen aufgelöst hat.

Gelegentlich kommt es vor, daß eine IP-Adresse falsch aufgelöst wurde. Die IP-Adresse stimmt nicht mit dem Hostnahmen überein.

Nun möchte ich feststellen, woher Windows die IP-Nummer bezogen hat.
Das könnte sein:
DNS, HOSTS, LMHOSTS, ARP, …

Verzeichnet Windows, woher es eine IPNummer hat?

Es müsste doch möglich sein, zu fragen: Woher hast Du diese (falsche?) IP-Adresse, und Windows sagt mir dann:
Habe ich von DNS oder HOSTS oder …

tks!

Herbert

2

Nun möchte ich feststellen, woher Windows die IP-Nummer
bezogen hat.
Das könnte sein:
DNS, HOSTS, LMHOSTS, ARP, …

Verzeichnet Windows, woher es eine IPNummer hat?

Es müsste doch möglich sein, zu fragen: Woher hast Du diese
(falsche?) IP-Adresse, und Windows sagt mir dann:
Habe ich von DNS oder HOSTS oder …

tks!

Herbert

Seit wann bezieht ein Client seine IP von einem DNS-Server? Wenn auf dem DNS-Server die
Reverse-Lookup-Zone ordentlich konfigurert wird, müßte der Name auch korrekt in eine
IP-Adresse (und umgekehrt - reverse lookup) aufgelöst werden.

Übrigens werden IP-Adressen entweder statisch vergeben oder vom DHCP-Server angefordert.

Du könntest Dein Problem ja mal etwas genauer schildern, so versteht man ja kein Wort. Um
wessen IP-Adresse geht es eigentlich, um Deine eigene oder die eines externen Servers, oder
was?

3

Wie kann ich festatellen, welcher Dienst/welches Verfahren die
IP-Nummer zum Namen aufgelöst hat.

Gelegentlich kommt es vor, daß eine IP-Adresse falsch
aufgelöst wurde. Die IP-Adresse stimmt nicht mit dem
Hostnahmen überein.

Nun möchte ich feststellen, woher Windows die IP-Nummer
bezogen hat.
Das könnte sein:
DNS, HOSTS, LMHOSTS, ARP, …

Hostnamen über arp? Das mußt Du mir erklären. Anyway: eigentlich sollte ja ein definiertes Vorgehen existieren.

Wenn Du das nicht nachvollziehen kannst, solltest Du mit einem Sniffer nachsehen, wer wie befragt wird.

Verzeichnet Windows, woher es eine IPNummer hat?

Es müsste doch möglich sein, zu fragen: Woher hast Du diese
(falsche?) IP-Adresse, und Windows sagt mir dann:
Habe ich von DNS oder HOSTS oder …

Sagt nslookup das nicht?

Was bringen in einem solchen Fall wiederholte Anfragen?

Sebastian

4

Hallo!

Hostnamen über arp? Das mußt Du mir erklären. Anyway:
eigentlich sollte ja ein definiertes Vorgehen existieren.

Genau: Es gibt vier Knotentypen: b,p,h und ??
Diese bestimmen die Reihenfolge der Namensauflösung. Du weißt wo du einstellen kannst, welchen Node Du hast? Ich weiß es.

Wenn Du das nicht nachvollziehen kannst, solltest Du mit einem
Sniffer nachsehen, wer wie befragt wird.

Sicher, das geht!
Wenn Du einen (1) Golfball zustellst, nimmst Du einen 38-Tonner LKW?

Sagt nslookup das nicht?

Zum Verfahren, wie ein Stationsnamen zur IP-Adresse aufgelöst wurde? Wohl kaum. Oder irre ich da etwa?

Was bringen in einem solchen Fall wiederholte Anfragen?

Was sind wiederholte Anfragen!

Sebastian

tks!
Herbert

5

Hallo!

Ebenfalls vorneweg: Ich kenne die Windows-Terminologie und die Technik dahinter nicht. Solange es bei dem bleibt, was auf Unix gebräuchlich ist… Ich kann also nur Denkanstöße liefern, wie ich das Problem angehen würde.

Hostnamen über arp? Das mußt Du mir erklären. Anyway:
eigentlich sollte ja ein definiertes Vorgehen existieren.

Genau: Es gibt vier Knotentypen: b,p,h und ??
Diese bestimmen die Reihenfolge der Namensauflösung.

Ich weiß nicht, was „Knotentypen“ sind.

Du weißt
wo du einstellen kannst, welchen Node Du hast? Ich weiß es.

Unter Unix kann ich Namensauflösung grob per TCP/UDP oder per „hosts“ machen. Das einzustellen – auch in der Reihnfolge – ist banal, aber vermutlich hier nicht zielführend.

Wenn Du das nicht nachvollziehen kannst, solltest Du mit einem
Sniffer nachsehen, wer wie befragt wird.

Sicher, das geht!
Wenn Du einen (1) Golfball zustellst, nimmst Du einen
38-Tonner LKW?

Das dauert vielleicht 5 oder 10 Minuten, man weiß nachher vermutlich, was übers Netzwerk gegangen ist. Wie lange hast Du Dich bereits mit dem Problem befaßt?

Sagt nslookup das nicht?

Zum Verfahren, wie ein Stationsnamen zur IP-Adresse aufgelöst
wurde? Wohl kaum. Oder irre ich da etwa?

Dig oder nslookup läßt sich (bei mir) auf einzelne Server festlegen. So könnte man welche mit notorisch fehlerhaften Antworten eingrenzen oder so…

Was bringen in einem solchen Fall wiederholte Anfragen?

Was sind wiederholte Anfragen!

Wenn Du die (offensichtlich mißlungene) Auflösung wiederholst: kommt wieder die gleiche (falsche) Antwort?

**niehaus@corrosive:~\>** dig +debug +d2 any www.wer-weiss-was.de

; \> DiG 8.3 \> +debug +d2 any www.wer-weiss-was.de 
;; res\_nmkquery(QUERY, www.wer-weiss-was.de, IN, ANY)
;; res options: init debug recurs defnam dnsrch ?0x80000000?
;; res\_send()
;; -\>\>HEADER\>HEADERniehaus@corrosive:~\>

Sebastian

6

Hostnamen über arp? Das mußt Du mir erklären. Anyway:
eigentlich sollte ja ein definiertes Vorgehen existieren.

Genau: Es gibt vier Knotentypen: b,p,h und ??
Diese bestimmen die Reihenfolge der Namensauflösung. Du weißt
wo du einstellen kannst, welchen Node Du hast? Ich weiß es.

Wie Sebastian sagte, einen Hostnamen per arp aufzulösen geht nun wirklich nicht (abgesehen vom NetBios-Arp). Die NetBios Knotentypen, sagen lediglich aus mit welcher „Versandart“ NetBiosnamen aufgelöst werden (Broadcast, Unicast, WinsServer).

Wenn Du das nicht nachvollziehen kannst, solltest Du mit einem
Sniffer nachsehen, wer wie befragt wird.

Sicher, das geht!
Wenn Du einen (1) Golfball zustellst, nimmst Du einen
38-Tonner LKW?

Meiner Erfahrung nach, liegen solche Probleme oft am NetBios, bzw. mehr an einer Differenz zwischen Wins und DNS. Allerdings versucht eine Windows Workstation einen Namen erst per DNS aufzulösen, erst dann per Netbios. Mit den dazugehörigen lokalen Dateien wäre die Reihenfolge so:

hosts -> DNS-Lookup -> lmhosts -> NetBios(Wins)

Warum allerdings ein Sniffer mit einem 38-Tonner verglichen wird weiß ich nicht. Ich würde es eher mit fachmännischem Feinwerkzeug vergleichen. Ethereal auf ein Laptop und Traffic capturen.

Um festzustellen, ob eine Adresse per DNS (hosts) aufgelöst wurde, kannst Du Dir per

ipconfig -displaydns

unter NT(?)/2K und XP den DNS Cache anzeigen lassen.

Chris

7

Hallo Sebastian!

Ich weiß nicht, was „Knotentypen“ sind.

Ich wußte, es sind vier, den M-Type hatte ich vergessen.
Noch mal kurz:
b-node = Broadcast node
p-node = point to point node
m-node = mixed node
h-node = hybrid

Den Knotentype kannst du über den DHCP - Server zuweisen. Dieser bestimmt, in welcher Reihenfolge die einzelnen Mechanismen zur Namensauflösung verwendet werden.

Sieh mal hier:
http://support.microsoft.com/default.aspx?scid=http:…

Welche Mechanismen gibt es? Die bereits besprochenen: DNS, WINS, HOSTS, LMHOSTS, ARP (=Broadcasts), …

Das dauert vielleicht 5 oder 10 Minuten, man weiß nachher
vermutlich, was übers Netzwerk gegangen ist. Wie lange hast Du
Dich bereits mit dem Problem befaßt?

Ich kenne nur Etheral. Bei dem habe ich nicht gefunden, wie ich auf Ereignisse triggern kann. Weißt Du das?

Gruß!
Herbert

8

Hallo!

Ich möchte Dir nicht zu nahe tretten, aber:

Wie Sebastian sagte, einen Hostnamen per arp aufzulösen geht
nun wirklich nicht (abgesehen vom NetBios-Arp). Die NetBios
Knotentypen, sagen lediglich aus mit welcher „Versandart“
NetBiosnamen aufgelöst werden (Broadcast, Unicast,
WinsServer).

>>> Wenn die Begriffe Hostname, DNS, ARP und Auflösung fallen, dann sollte doch wohl klar sein was gemeint ist:
Ich habe einen Hostnamen und benötige die IP-Adresse. Beide (DNS, ARP) können das.
Das sieht so aus, als ob Du krampfhaft versuchst, dir das anders vorzustellen??

Meiner Erfahrung nach, liegen solche Probleme oft am NetBios,
bzw. mehr an einer Differenz zwischen Wins und DNS. Allerdings
versucht eine Windows Workstation einen Namen erst per DNS
aufzulösen, erst dann per Netbios. Mit den dazugehörigen
lokalen Dateien wäre die Reihenfolge so:
hosts -> DNS-Lookup -> lmhosts -> NetBios(Wins)

Man kann die Reihenfolge bestimmen, mit der Versucht wird, einen Hostnamen aufzulösen (Hostname ===> IP-Adresse). b-node, p-node, m-node, h-node.
Der Knotentype kann im DHCP Server bestimmt werden.

Warum allerdings ein Sniffer mit einem 38-Tonner verglichen
wird weiß ich nicht. Ich würde es eher mit fachmännischem
Feinwerkzeug vergleichen. Ethereal auf ein Laptop und Traffic
capturen.

Ich war zu dämlich, den Etheral auf ein Ereignis zu triggern. Wie kann ich z.B. triggern, jedesmal wenn eine Namensauflösung stattfindet. (WINS, DNS, ARP, …)
Der Grund warum ich Etheral mit einem 38-Tonner verglichen habe ist ganz einfach: Es gibt keine 60-Tonner :wink:)

Um festzustellen, ob eine Adresse per DNS (hosts) aufgelöst
wurde, kannst Du Dir per

ipconfig -displaydns

unter
NT(?)/2K und XP den DNS Cache anzeigen lassen.

Dank Dir! Sowas in der Art hatte ich gesucht. Ich habe mir die Anzeige angesehen. Das steht eine Menge drinn.
Weißt Du was Eintragstypen sind? (zweite Zeile für jeden Eintrag).
Es scheint zumindest den Type 1,2,12 zu geben. Was sagt mir das?

Dank Dir schön!

Herbert

Chris

9

Hallo!

Wie kann ich festatellen, welcher Dienst/welches Verfahren die
IP-Nummer zum Namen aufgelöst hat.

Gelegentlich kommt es vor, daß eine IP-Adresse falsch
aufgelöst wurde. Die IP-Adresse stimmt nicht mit dem
Hostnahmen überein.

Nun möchte ich feststellen, woher Windows die IP-Nummer
bezogen hat.
Das könnte sein:
DNS, HOSTS, LMHOSTS, ARP, …

Verzeichnet Windows, woher es eine IPNummer hat?

Es müsste doch möglich sein, zu fragen: Woher hast Du diese
(falsche?) IP-Adresse, und Windows sagt mir dann:
Habe ich von DNS oder HOSTS oder …

DNS Server kannst Du dediziert abfragen, mit

C:\\>nslookup - 193.101.111.10
Standardserver: cache0702.ns.eu.uu.net
Address: 193.101.111.10

\> bsdhackers.org
Server: cache0702.ns.eu.uu.net
Address: 193.101.111.10

Name: bsdhackers.org
Address: 217.160.75.155

In die HOSTS / LMHOSTS Datei kannst Du mit nem Editor reinschauen.

ARP kennt keine Hostnamen.

Eine andere Möglichkeit, das zu prüfen, fällt mir nicht ein.

Gruß,

Malte.

10

Habe mich mit ARP geirrt!
Hallo Chistian!

Hostnamen über arp? Das mußt Du mir erklären. Anyway:
eigentlich sollte ja ein definiertes Vorgehen existieren.

Genau: Es gibt vier Knotentypen: b,p,h und ??
Diese bestimmen die Reihenfolge der Namensauflösung. Du weißt
wo du einstellen kannst, welchen Node Du hast? Ich weiß es.

ARP war natürlich ein Irtum! Ich habe Broadcasts (b-node) gemeint. Verbiss bitte ARP zur Namensauflösung.

Dank Dir!
Herbert

11

Ich weiß nicht, was „Knotentypen“ sind.

Ich wußte, es sind vier, den M-Type hatte ich vergessen.
Noch mal kurz:
b-node = Broadcast node
p-node = point to point node
m-node = mixed node
h-node = hybrid

Den Knotentype kannst du über den DHCP - Server zuweisen.
Dieser bestimmt, in welcher Reihenfolge die einzelnen
Mechanismen zur Namensauflösung verwendet werden.

Sieh mal hier:
http://support.microsoft.com/default.aspx?scid=http:…

Brr, ich hatte das in der Samba-Dokumentation schon überflocgen, der Kram ist für mich aber in der Praxis (noch?) nicht relevant. Die Verfahren finde ich also eher anstrangend, aber egal…

Das dauert vielleicht 5 oder 10 Minuten, man weiß nachher
vermutlich, was übers Netzwerk gegangen ist. Wie lange hast Du
Dich bereits mit dem Problem befaßt?

Ich kenne nur Etheral. Bei dem habe ich nicht gefunden, wie
ich auf Ereignisse triggern kann. Weißt Du das?

Triggern? Nein, aber Du kannst auf bestimmte Kriterien filtern, beispielsweise die Kommunikation eines Rechners mit dem Netzwerk. Zusammen mit dem zeitlichen Auftreten eines „Auflösungsfehlers“ (kann man die irgendwie provozieren?) sollte man Rückschlüsse ziehen können.

Sebastian