OVH Cloud OVH Cloud

Résolution DNS qui rame, NetBSD

8 réponses
Avatar
Stéphane Witzmann
Bonsoir

J'utilise NetBSD 2.0.2/i386 derrière une passerelle NetBSD 2.0/i386 (avec
modem SpeedTouch Home Ethernet) et il se passe quelque chose que je ne
comprends pas. Certains sites web "ne marchent pas" ou rament totalement,
que ce soit depuis Konqueror ou Firefox. Je m'explique.

Connexion à www.anpe.fr depuis Firefox : reste bloqué un bon moment sur la
résolution de nom. Un coup de "top" fait ainsi souvent apparaître
firefox-bin en "poll". Même chose pour Konqueror. Pourtant, la résolution
de noms marche super bien (et est instantanée) en ligne de commande. Et
lorsque l'on spécifie directement l'adresse IP (80.124.143.1 pour l'ANPE)
dans le browser, cela fonctionne normalement. A noter que depuis un système
Windows (Firefox) ou Linux (Firefox/Konqueror) derrière la même passerelle,
il n'y a aucun problème.

Donc, ce que je ne comprends pas :
- pourquoi il y a des sites pour lesquels ça marche correctement (la très
grande majorité) ?
- et plus précisément, qu'est ce qui se passe ?


Stéphane Witzmann

8 réponses

Avatar
Stéphane Witzmann
Stéphane Witzmann wrote:

Bonsoir

J'utilise NetBSD 2.0.2/i386 derrière une passerelle NetBSD 2.0/i386 (avec
modem SpeedTouch Home Ethernet) et il se passe quelque chose que je ne
comprends pas. Certains sites web "ne marchent pas" ou rament totalement,
que ce soit depuis Konqueror ou Firefox. Je m'explique.

Connexion à www.anpe.fr depuis Firefox : reste bloqué un bon moment sur la
résolution de nom. Un coup de "top" fait ainsi souvent apparaître
firefox-bin en "poll". Même chose pour Konqueror. Pourtant, la résolution
de noms marche super bien (et est instantanée) en ligne de commande. Et
lorsque l'on spécifie directement l'adresse IP (80.124.143.1 pour l'ANPE)
dans le browser, cela fonctionne normalement. A noter que depuis un
système Windows (Firefox) ou Linux (Firefox/Konqueror) derrière la même
passerelle, il n'y a aucun problème.

Donc, ce que je ne comprends pas :
- pourquoi il y a des sites pour lesquels ça marche correctement (la très
grande majorité) ?
- et plus précisément, qu'est ce qui se passe ?


Stéphane Witzmann


Est-ce-que quelqu'un ayant Firefox et/ou Konqueror sous NetBSD pourrait
avoir la gentillesse de perdre quelques minutes pour voir si ce problème
m'est spécifique ou pas ? Ou alors me dire directement que je délire...
Merci beaucoup.

Stéphane Witzmann

Avatar
Stéphane Witzmann
Stéphane Witzmann wrote:

Stéphane Witzmann wrote:

Bonsoir

J'utilise NetBSD 2.0.2/i386 derrière une passerelle NetBSD 2.0/i386 (avec
modem SpeedTouch Home Ethernet) et il se passe quelque chose que je ne
comprends pas. Certains sites web "ne marchent pas" ou rament totalement,
que ce soit depuis Konqueror ou Firefox. Je m'explique.

Connexion à www.anpe.fr depuis Firefox : reste bloqué un bon moment sur
la résolution de nom. Un coup de "top" fait ainsi souvent apparaître
firefox-bin en "poll". Même chose pour Konqueror. Pourtant, la résolution
de noms marche super bien (et est instantanée) en ligne de commande. Et
lorsque l'on spécifie directement l'adresse IP (80.124.143.1 pour l'ANPE)
dans le browser, cela fonctionne normalement. A noter que depuis un
système Windows (Firefox) ou Linux (Firefox/Konqueror) derrière la même
passerelle, il n'y a aucun problème.

Donc, ce que je ne comprends pas :
- pourquoi il y a des sites pour lesquels ça marche correctement (la très
grande majorité) ?
- et plus précisément, qu'est ce qui se passe ?


Stéphane Witzmann


Est-ce-que quelqu'un ayant Firefox et/ou Konqueror sous NetBSD pourrait
avoir la gentillesse de perdre quelques minutes pour voir si ce problème
m'est spécifique ou pas ? Ou alors me dire directement que je délire...
Merci beaucoup.

Stéphane Witzmann


Nouvelles investigations, le problème n'est pas lié au port de KDE ou
Firefox. La preuve par telnet :
- "telnet www.anpe.fr 80" ne marche pas (enfin si mais au bout de quelques
dizaines de secondes)
- "telnet 80.124.143.1 80" marche


Ci-joints des tcpdumps à partir du "telnet..." jusqu'à l'établissement de la
connexion. Si quelqu'un peut m'aider à comprendre pourquoi le second rame
et pas le premier... Je ferai les mêmes tests sur Linux demain pour
comparer.

--- telnet www.google.com 80

# tcpdump
tcpdump: listening on sip0
00:52:28.163496 192.168.0.94.63031 > ns3.wanadoo.fr.domain: 56980+ AAAA?
www.google.com. (32)
00:52:28.224558 ns3.wanadoo.fr.domain > 192.168.0.94.63031: 56980 1/1/0
CNAME www.l.google.com. (100) (DF)
00:52:28.224810 192.168.0.94.63030 > ns3.wanadoo.fr.domain: 54783+ A?
www.google.com. (32)
00:52:28.287034 ns3.wanadoo.fr.domain > 192.168.0.94.63030: 54783 4/0/0
CNAME www.l.google.com.,[|domain] (DF)
00:52:28.287691 192.168.0.94.64457 > 66.102.9.147.www: S 650730556:65073055
(0) win 32768 <mss 1460,nop,wscale 0,nop,nop,timestamp 0 0> (DF)
00:52:28.367978 66.102.9.147.www > 192.168.0.94.64457: S 67967019:6796701
(0) ack 650730557 win 8190 <mss 1440>
00:52:28.368039 192.168.0.94.64457 > 66.102.9.147.www: . ack 1 win 33580
(DF)
00:52:28.885834 192.168.0.94.63029 > ns3.wanadoo.fr.domain: 39712+ PTR?
3.19.252.193.in-addr.arpa. (43)
00:52:28.946861 ns3.wanadoo.fr.domain > 192.168.0.94.63029: 39712 1/0/0
(71) (DF)
00:52:28.947100 192.168.0.94.63028 > ns3.wanadoo.fr.domain: 61794+ PTR?
94.0.168.192.in-addr.arpa. (43)
00:52:29.007506 ns3.wanadoo.fr.domain > 192.168.0.94.63028: 61794 NXDomain
0/1/0 (120) (DF)
00:52:29.008978 192.168.0.94.63027 > ns3.wanadoo.fr.domain: 43941+ PTR?
147.9.102.66.in-addr.arpa. (43)
00:52:29.094026 ns3.wanadoo.fr.domain > 192.168.0.94.63027: 43941 NXDomain
0/1/0 (103) (DF)
00:52:30.010720 192.168.0.94.bootpc > 192.168.0.1.bootps: xid:0x67226850
C:192.168.0.94 [|bootp]
00:52:30.015091 192.168.0.1.bootps > 192.168.0.94.bootpc: xid:0x67226850
C:192.168.0.94 Y:192.168.0.94 S:192.168.0.1 [|bootp]
00:52:30.091645 192.168.0.94.63026 > ns3.wanadoo.fr.domain: 56653+ PTR?
1.0.168.192.in-addr.arpa. (42)
00:52:30.150948 ns3.wanadoo.fr.domain > 192.168.0.94.63026: 56653 NXDomain
0/1/0 (119) (DF)


--- telnet www.anpe.fr 80


# tcpdump
tcpdump: listening on sip0
00:54:18.613078 192.168.0.94.63025 > ns3.wanadoo.fr.domain: 55593+ AAAA?
www.anpe.fr. (29)
00:54:19.605871 192.168.0.94.63024 > ns3.wanadoo.fr.domain: 51200+ PTR?
3.19.252.193.in-addr.arpa. (43)
00:54:19.667753 ns3.wanadoo.fr.domain > 192.168.0.94.63024: 51200 1/0/0
(71) (DF)
00:54:19.668181 192.168.0.94.63023 > ns3.wanadoo.fr.domain: 60520+ PTR?
94.0.168.192.in-addr.arpa. (43)
00:54:19.730254 ns3.wanadoo.fr.domain > 192.168.0.94.63023: 60520 NXDomain
0/1/0 (120) (DF)
00:54:23.620096 192.168.0.94.63022 > ns4.wanadoo.fr.domain: 55593+ AAAA?
www.anpe.fr. (29)
00:54:23.730245 192.168.0.94.63021 > ns3.wanadoo.fr.domain: 35132+ PTR?
4.19.252.193.in-addr.arpa. (43)
00:54:23.789105 ns3.wanadoo.fr.domain > 192.168.0.94.63021: 35132 1/0/0
(71) (DF)
00:54:28.630082 192.168.0.94.63020 > ns3.wanadoo.fr.domain: 55593+ AAAA?
www.anpe.fr. (29)
00:54:33.640083 192.168.0.94.63019 > ns4.wanadoo.fr.domain: 55593+ AAAA?
www.anpe.fr. (29)
00:54:38.650080 192.168.0.94.63018 > ns3.wanadoo.fr.domain: 55593+ AAAA?
www.anpe.fr. (29)
00:54:48.660073 192.168.0.94.63017 > ns4.wanadoo.fr.domain: 55593+ AAAA?
www.anpe.fr. (29)
00:54:53.698407 ns4.wanadoo.fr.domain > 192.168.0.94.63017: 55593 ServFail
0/0/0 (29) (DF)
00:54:53.698595 192.168.0.94.63016 > ns3.wanadoo.fr.domain: 55593+ AAAA?
www.anpe.fr. (29)
00:55:13.700139 192.168.0.94.63015 > ns3.wanadoo.fr.domain: 37877+ A?
www.anpe.fr. (29)
00:55:13.762506 ns3.wanadoo.fr.domain > 192.168.0.94.63015: 37877 2/0/0
CNAME www.lc.anpe.fr., (66) (DF)
00:55:13.763152 192.168.0.94.64456 > 1-163-118-80.anpe.fr.www: S
1927206075:1927206075(0) win 32768 <mss 1460,nop,wscale 0,nop,nop,timestamp
0 0> (DF)
00:55:13.780303 192.168.0.94.63014 > ns3.wanadoo.fr.domain: 42114+ PTR?
1.163.118.80.in-addr.arpa. (43)
00:55:13.828037 1-163-118-80.anpe.fr.www > 192.168.0.94.64456: S
475351188:475351188(0) ack 1927206076 win 5840 <mss 1440,nop,wscale 0> (DF)
00:55:13.828101 192.168.0.94.64456 > 1-163-118-80.anpe.fr.www: . ack 1 win
33580 (DF)
00:55:13.840621 ns3.wanadoo.fr.domain > 192.168.0.94.63014: 42114 1/0/0
(77) (DF)


Avatar
DAPL
Le Wed, 26 Oct 2005 01:10:24 +0200, Stéphane Witzmann a écrit :

Nouvelles investigations, le problème n'est pas lié au port de KDE ou
Firefox. La preuve par telnet :
- "telnet www.anpe.fr 80" ne marche pas (enfin si mais au bout de quelques
dizaines de secondes)
- "telnet 80.124.143.1 80" marche



Problème classique de la machine ayant IPv6 activé par défaut.
Un ifconfig devrait te le confirmer.

On peut le voir aussi sur tes traces:

Ci-joints des tcpdumps à partir du "telnet..."
00:52:28.163496 192.168.0.94.63031 > ns3.wanadoo.fr.domain: 56980+ AAAA?
www.google.com. (32)

00:54:18.613078 192.168.0.94.63025 > ns3.wanadoo.fr.domain: 55593+ AAAA?
www.anpe.fr. (29)
00:54:23.620096 192.168.0.94.63022 > ns4.wanadoo.fr.domain: 55593+ AAAA?
www.anpe.fr. (29)
00:54:28.630082 192.168.0.94.63020 > ns3.wanadoo.fr.domain: 55593+ AAAA?
www.anpe.fr. (29)
00:54:33.640083 192.168.0.94.63019 > ns4.wanadoo.fr.domain: 55593+ AAAA?
www.anpe.fr. (29)
00:54:38.650080 192.168.0.94.63018 > ns3.wanadoo.fr.domain: 55593+ AAAA?
www.anpe.fr. (29)
00:54:48.660073 192.168.0.94.63017 > ns4.wanadoo.fr.domain: 55593+ AAAA?
www.anpe.fr. (29)
00:54:53.698407 ns4.wanadoo.fr.domain > 192.168.0.94.63017: 55593 ServFail
0/0/0 (29) (DF)
00:54:53.698595 192.168.0.94.63016 > ns3.wanadoo.fr.domain: 55593+ AAAA?
www.anpe.fr. (29)


Les requetes DNS cherchant un enregistrement de type AAAA démontrent que
la machine cherche à interroger d'abord un serveur DNS IPv6. Comme elle
ne trouve pas, elle envoie pls requetes,c e qui bloque la connexion. Puis
elle fini par faire une requete classique IPv4 pour un enregistrement A:

00:55:13.700139 192.168.0.94.63015 > ns3.wanadoo.fr.domain: 37877+ A?
www.anpe.fr. (29)


Sous Linux, cela m'est arrivé fréquemment, le browse ramait à mort !
Après avoir désactivé IPv6, on retrouve une vitesse de folie.

Par contre, je ne sais pas comment on désactive IPv6 sur BSD => Google.


--
DAPL
http://marreduspam.com/ad252602

Avatar
Stéphane Witzmann
DAPL wrote:

Le Wed, 26 Oct 2005 01:10:24 +0200, Stéphane Witzmann a écrit :

Nouvelles investigations, le problème n'est pas lié au port de KDE ou
Firefox. La preuve par telnet :
- "telnet www.anpe.fr 80" ne marche pas (enfin si mais au bout de
quelques dizaines de secondes)
- "telnet 80.124.143.1 80" marche



Problème classique de la machine ayant IPv6 activé par défaut.
Un ifconfig devrait te le confirmer.

On peut le voir aussi sur tes traces:

Ci-joints des tcpdumps à partir du "telnet..."
00:52:28.163496 192.168.0.94.63031 > ns3.wanadoo.fr.domain: 56980+ AAAA?
www.google.com. (32)

00:54:18.613078 192.168.0.94.63025 > ns3.wanadoo.fr.domain: 55593+ AAAA?
www.anpe.fr. (29)
00:54:23.620096 192.168.0.94.63022 > ns4.wanadoo.fr.domain: 55593+ AAAA?
www.anpe.fr. (29)
00:54:28.630082 192.168.0.94.63020 > ns3.wanadoo.fr.domain: 55593+ AAAA?
www.anpe.fr. (29)
00:54:33.640083 192.168.0.94.63019 > ns4.wanadoo.fr.domain: 55593+ AAAA?
www.anpe.fr. (29)
00:54:38.650080 192.168.0.94.63018 > ns3.wanadoo.fr.domain: 55593+ AAAA?
www.anpe.fr. (29)
00:54:48.660073 192.168.0.94.63017 > ns4.wanadoo.fr.domain: 55593+ AAAA?
www.anpe.fr. (29)
00:54:53.698407 ns4.wanadoo.fr.domain > 192.168.0.94.63017: 55593
ServFail 0/0/0 (29) (DF)
00:54:53.698595 192.168.0.94.63016 > ns3.wanadoo.fr.domain: 55593+ AAAA?
www.anpe.fr. (29)


Les requetes DNS cherchant un enregistrement de type AAAA démontrent que
la machine cherche à interroger d'abord un serveur DNS IPv6. Comme elle
ne trouve pas, elle envoie pls requetes,c e qui bloque la connexion. Puis
elle fini par faire une requete classique IPv4 pour un enregistrement A:

00:55:13.700139 192.168.0.94.63015 > ns3.wanadoo.fr.domain: 37877+ A?
www.anpe.fr. (29)


Sous Linux, cela m'est arrivé fréquemment, le browse ramait à mort !
Après avoir désactivé IPv6, on retrouve une vitesse de folie.

Par contre, je ne sais pas comment on désactive IPv6 sur BSD => Google.




Merci beaucoup. Effectivement, sans l'IPv6, ça va bien mieux (en particulier
depuis un web browser). Bon, telnet met toujours 10 secondes pour se
connecter mais c'est bien mieux qu'avant.


Avatar
DAPL
Le Wed, 26 Oct 2005 14:05:26 +0200, Stéphane Witzmann a écrit :

Merci beaucoup. Effectivement, sans l'IPv6, ça va bien mieux (en particulier
depuis un web browser). Bon, telnet met toujours 10 secondes pour se
connecter mais c'est bien mieux qu'avant.


Ca dépend comment tu as désactivé l'IPv6: si c'est au niveau du
système, c'est bon.
Mais si c'est juste au niveau des navigateurs (en utilisant about:config
avec Firefox par exemple), le telnet continuera à l'utiliser.


--
DAPL
http://marreduspam.com/ad252602

Avatar
Stéphane Witzmann
DAPL wrote:

Le Wed, 26 Oct 2005 14:05:26 +0200, Stéphane Witzmann a écrit :

Merci beaucoup. Effectivement, sans l'IPv6, ça va bien mieux (en
particulier depuis un web browser). Bon, telnet met toujours 10 secondes
pour se connecter mais c'est bien mieux qu'avant.


Ca dépend comment tu as désactivé l'IPv6: si c'est au niveau du
système, c'est bon.
Mais si c'est juste au niveau des navigateurs (en utilisant about:config
avec Firefox par exemple), le telnet continuera à l'utiliser.




Je l'ai viré du noyau...

options INET # IP + ICMP + TCP + UDP
#options INET6 # IPV6


Avatar
Pascal
Salut,


Les requetes DNS cherchant un enregistrement de type AAAA démontrent que
la machine cherche à interroger d'abord un serveur DNS IPv6.


Non. La machine cherche à faire une résolution d'un nom en adresse IPv6
(AAAA) en interrogeant un serveur DNS IPv4, nuance. Et le serveur DNS ne
répond pas à ces requêtes (ni oui ni merde) ou bien répond avec des
plombes de retard.

En creusant un peu plus, on trouve que :

- www.anpe.fr est un alias (CNAME) de www.lc.anpe.fr.
- les DNS faisant autorité pour la zone lc.anpe.fr ont pour nom
bigip.anpe.fr (80.124.143.250 et 80.118.163.250).

Or en ce moment, aucun ne semble répondre ni en TCP ni en UDP, je viens
d'essayer. Comme l'enregistrement A de www.lc.anpe.fr doit être assez
souvent demandé, il figure encore dans les DNS caches des FAI. Par
contre l'enregistrement AAAA doit être beaucoup moins demandé et ne
figure pas dans les DNS caches qui doivent faire la requête à un NS
faisant autorité, qui ne répond pas... d'où le délai. Donc pas grand
chose à voir avec IPv6 finalement, juste des DNS autorité temporairement
(j'espère) HS.

Comme elle
ne trouve pas, elle envoie pls requetes,c e qui bloque la connexion.


Bloquer la connexion avec une poignée de requêtes DNS ? Mouarf !

Sous Linux, cela m'est arrivé fréquemment, le browse ramait à mort !
Après avoir désactivé IPv6, on retrouve une vitesse de folie.


Jamais rien constaté de tel sous Linux alors qu'IPv6 a toujours été
activé sur mes machines, même avant que j'aie un réseau IPv6 opérationnel.

Avatar
Stéphane Witzmann
wrote:

Salut,


Les requetes DNS cherchant un enregistrement de type AAAA démontrent que
la machine cherche à interroger d'abord un serveur DNS IPv6.


Non. La machine cherche à faire une résolution d'un nom en adresse IPv6
(AAAA) en interrogeant un serveur DNS IPv4, nuance. Et le serveur DNS ne
répond pas à ces requêtes (ni oui ni merde) ou bien répond avec des
plombes de retard.

En creusant un peu plus, on trouve que :

- www.anpe.fr est un alias (CNAME) de www.lc.anpe.fr.
- les DNS faisant autorité pour la zone lc.anpe.fr ont pour nom
bigip.anpe.fr (80.124.143.250 et 80.118.163.250).

Or en ce moment, aucun ne semble répondre ni en TCP ni en UDP, je viens
d'essayer. Comme l'enregistrement A de www.lc.anpe.fr doit être assez
souvent demandé, il figure encore dans les DNS caches des FAI. Par
contre l'enregistrement AAAA doit être beaucoup moins demandé et ne
figure pas dans les DNS caches qui doivent faire la requête à un NS
faisant autorité, qui ne répond pas... d'où le délai. Donc pas grand
chose à voir avec IPv6 finalement, juste des DNS autorité temporairement
(j'espère) HS.

Comme elle
ne trouve pas, elle envoie pls requetes,c e qui bloque la connexion.


Bloquer la connexion avec une poignée de requêtes DNS ? Mouarf !

Sous Linux, cela m'est arrivé fréquemment, le browse ramait à mort !
Après avoir désactivé IPv6, on retrouve une vitesse de folie.


Jamais rien constaté de tel sous Linux alors qu'IPv6 a toujours été
activé sur mes machines, même avant que j'aie un réseau IPv6 opérationnel.


Très instructif. Merci beaucoup.
Ca ne m'étonne qu'à moitié que les DNS de l'ANPE soient souvent HS : de
même, leur site n'arrête pas d'être "indisponible pendant sa mise à jour",
ce qui le rend assez peu utilisable à mon goût... mais c'est une autre
histoire.

Stéphane Witzmann