OVH Cloud OVH Cloud

traceroute / iptables

37 réponses
Avatar
Philippe Gras
Bonjour =E0 toutes et =E0 tous,

1). comme je viens de d=E9couvrir traceroute, je l'ai essay=E9 sur mon =
serveur :

# traceroute google.com
traceroute to google.com (216.58.211.206), 30 hops max, 60 byte packets
send: Op=E9ration non permise

# traceroute avoirun.com
traceroute to avoirun.com (5.135.191.38), 30 hops max, 60 byte packets
1 XXXX.kimsufi.com (5.135.191.38) 0.094 ms 0.053 ms 0.051 ms

Logique, c'est chez moi :-)

# iptables -n -v -L
Chain INPUT (policy DROP 1224 packets, 71793 bytes)
=85
59085 4236K ACCEPT udp -- * * 0.0.0.0/0 =
0.0.0.0/0 udp dpt:53
=85
Chain OUTPUT (policy DROP 2077 packets, 274K bytes)
=85
1357K 108M ACCEPT udp -- * * 0.0.0.0/0 =
0.0.0.0/0 udp dpt:53
39257 2984K ACCEPT udp -- * * 0.0.0.0/0 =
0.0.0.0/0 udp dpt:123
=85

Par contre, quand je fais traceroute -I, tout se passe bien :-)
# traceroute -I google.com
traceroute to google.com (216.58.211.206), 30 hops max, 60 byte packets
1 vss-9b-6k.fr.eu (5.135.191.252) 0.684 ms 0.699 ms 0.872 ms
2 rbx-g1-a9.fr.eu (178.33.100.207) 3.461 ms 3.501 ms 5.102 ms
3 th2-1-a9.fr.eu (213.251.130.53) 4.288 ms 4.548 ms 4.578 ms
4 * * *
5 72.14.238.234 (72.14.238.234) 4.525 ms 4.536 ms 4.553 ms
6 209.85.245.83 (209.85.245.83) 11.334 ms 7.894 ms 7.696 ms
7 209.85.245.236 (209.85.245.236) 20.138 ms 19.948 ms 20.148 ms
8 216.239.50.135 (216.239.50.135) 19.560 ms 19.598 ms 19.603 ms
9 mad01s25-in-f14.1e100.net (216.58.211.206) 20.056 ms 20.065 ms =
20.068 ms

# traceroute -I cloudflare.net
traceroute to cloudflare.net (104.20.36.89), 30 hops max, 60 byte =
packets
1 vss-9b-6k.fr.eu (5.135.191.252) 0.674 ms 0.950 ms 1.001 ms
2 rbx-g2-a9.fr.eu (178.33.100.219) 0.869 ms 0.920 ms 0.928 ms
3 ams-5-a9.nl.eu (94.23.122.79) 8.649 ms 8.680 ms 8.695 ms
4 80.249.211.140 (80.249.211.140) 9.108 ms 9.134 ms 9.147 ms
5 104.20.36.89 (104.20.36.89) 9.206 ms 9.158 ms 9.227 ms

O=F9 ai-je merd=E9 dans ma configuration iptables ?

2). Ci-dessus, je vois que mon serveur est =E0 5 sauts de Cloudflare, =
mais =E0 9 sauts de
Google. C'est par ailleurs marrant quand je compare avec Google VF :

# traceroute -I google.fr
traceroute to google.fr (216.58.211.195), 30 hops max, 60 byte packets
1 vss-9b-6k.fr.eu (5.135.191.252) 0.650 ms 0.925 ms 0.974 ms
2 rbx-g1-a9.fr.eu (178.33.100.207) 0.936 ms 0.955 ms 0.966 ms
3 th2-1-a9.fr.eu (213.251.130.53) 4.044 ms 4.073 ms 4.088 ms
4 * * *
5 72.14.238.234 (72.14.238.234) 7.014 ms 7.028 ms 7.040 ms
6 209.85.245.83 (209.85.245.83) 4.815 ms 13.509 ms 13.451 ms
7 209.85.245.236 (209.85.245.236) 20.128 ms 20.187 ms 20.139 ms
8 216.239.50.135 (216.239.50.135) 19.718 ms 19.463 ms 19.586 ms
9 mad01s25-in-f195.1e100.net (216.58.211.195) 20.023 ms 20.036 ms =
19.944 ms

=C7a veut dire que google.{com | fr } est au m=EAme endroit (Mountain =
View ?) ;-)

Existe-t-il un outil qui permette de choisir ses routes en fonction d'un =
algorithme lambda,
afin que je rapproche mon serveur de Google par exemple ?

D'avance merci,

Ph. Gras=

10 réponses

1 2 3 4
Avatar
Eric Degenetais
popop, un cache DNS local, ça accélère votre résolution DNS, mais un
client final ne bénéficiera de rien du tout, non?
______________
Éric Dégenètais
Henix



http://www.henix.com
http://www.squashtest.org



Le 18 novembre 2015 13:31, Francois Lafont a éc rit :
On 18/11/2015 12:49, Philippe Gras wrote:

Ah ! Ben c'est peut-être ça l'idée :-) Je vais me renseig ner !



Ce n'est vraiment pas compliqué et je pense que sur un serveur c'est
vraiment indispensable. Le resolver DNS d'un Linux est très basique et
il ne fait aucun cache par exemple. Perso, sauf erreur, je fais ceci
(sur du Debian Jessie, mais je pense que ça devrait être pareil sous
Wheezy) :

-------------------------------------------
apt-get install unbound

# Pour que unbound ne s'en réfère plus directement au root DNS.
mv /etc/unbound/unbound.conf.d/root-auto-trust-anchor-file.conf /etc/unbo und/unbound.conf.d/root-auto-trust-anchor-file.conf.disabled

# Je configure unbound pour qu'il interroge les DNS du FAI (en fait on me t les DNS qu'on veut ici).
cat >/etc/unbound/unbound.conf.d/forward.conf <<EOF
forward-zone:
name: "."
forward-addr: $IP_DNS1
forward-addr: $IP_DNS2
forward-addr: $IP_DNS3
# etc.

EOF

# Par défaut, unbound écoute sur localhost uniquement.
service unbound restart

# Je préfère configurer le fichier /etc/resolv.conf moi mê me,
# j'aime pas trop resolvconf.
apt-get purge resolvconf

# On met 127.0.0.1 (ie unbound) en premier et ensuite les IP des DNS que
# unbound va consulter. Comme ça, si un jour le service unbound tomb e
# (perso j'ai jamais vu mais bon...) et bien le résolver local deman dera
# à ces DNS là et ça continuera à marcher quand mà ªme (même si y'aura sans
# un timeout à chaque requête DNS.
cat >/etc/resolv.conf <<EOF
nameserver 127.0.0.1
nameserver $IP_DNS1
nameserver $IP_DNS2
nameserver $IP_DNS3
# etc.
EOF
-------------------------------------------

Voilà comment je fais globalement.

Si cela vous semble foireux/incomplet/perfectible que sais-je encore, je
suis intéressé par toute remarque bien sûr, car le sujet m 'intéresse beaucoup.


--
François Lafont

Avatar
Francois Lafont
On 18/11/2015 14:32, Eric Degenetais wrote:
popop, un cache DNS local, ça accélère votre résolution DNS, mais un
client final ne bénéficiera de rien du tout, non?



Si, si, je suis d'accord à 100% avec ça. Simplement, moi j'ai compris que
Philippe parlait d'améliorer les requêtes DNS de _son_ serveur. Effectivement,
si ce n'est pas ce dont parlait Philippe alors je suis hors sujet. Et après
relecture du message de Philippe, effectivement ce n'est pas clair et je me
suis peut-être trompé.

Philippe, tu cherches à améliorer quoi _exactement_ ? Les requêtes DNS de
quel(s) FQDN(s) sur _quelle(s)_ machine(s) ?

--
François Lafont
Avatar
Philippe Gras
Le 18 nov. 2015 à 14:42, Francois Lafont a écrit :

On 18/11/2015 14:32, Eric Degenetais wrote:
popop, un cache DNS local, ça accélère votre résolution DNS, mais un
client final ne bénéficiera de rien du tout, non?



Si, si, je suis d'accord à 100% avec ça. Simplement, moi j'ai compris que
Philippe parlait d'améliorer les requêtes DNS de _son_ serveur. Effectivement,
si ce n'est pas ce dont parlait Philippe alors je suis hors sujet. Et après
relecture du message de Philippe, effectivement ce n'est pas clair et je me
suis peut-être trompé.

Philippe, tu cherches à améliorer quoi _exactement_ ? Les requêtes DNS de
quel(s) FQDN(s) sur _quelle(s)_ machine(s) ?



Je cherche à améliorer le temps d'accès moyen au NDD du site identifié sous ce
nom, hébergé sur la machine que je loue chez OVH dans le nord de la France.

Le temps d'accès moyen que les visiteurs vont mettre avant d'afficher l'en-tête de
la page qu'ils auront demandée.

Désolé pour le manque de clarté de mes propos, et je ne sais pas exactement ce
que je cherche…

Par exemple, François parlait tout à l'heure d'un resolver (unbound). J'ai Bind9 et
je ne savais même pas que c'est aussi un resolver.

J'aurais mieux fait de regarder avant ce que c'était avant de m'emballer…

Un cache DNS local ? Il me semble qu'il y en a un sur Bind9.

Peut-être que je cherche midi à quatorze heures ? C'est possible. L'année passée
j'ai fait une une modification en désactivant les tâches cron sur le CMS, afin de les
effectuer dans cron… Cette modification que j'ai faite pour une toute autre raison a
eu pour effet inattendu (mais logique) d'accélérer le chargement de les en-têtes de
mes pages. Alors, encore une fois peut-être que je cherche au mauvais endroit !

J'ai appris et j'apprends encore sur le tas, alors ne m'en veuillez pas si je découvre

la lune quelquefois.

--
François Lafont

Avatar
Francois Lafont
On 18/11/2015 15:29, Philippe Gras wrote:

Je cherche à améliorer le temps d'accès moyen au NDD du site identifié sous ce
nom,



« ce nom » ? Quel nom ? Je ne le vois pas marqué sur ton message (et désolé
mais j'ai un peu la flemme de relire tout le fil).

hébergé sur la machine que je loue chez OVH dans le nord de la France.



Ce qui tu appelles « le temps d'accès moyen au NDD », c'est en fait un temps
pour afficher une page Web ?

Le temps d'accès moyen que les visiteurs vont mettre avant d'afficher l'en-tête de
la page qu'ils auront demandée.



Ah ok, donc on parle http alors pas DNS a priori. Et tu t'es aperçu que la
résolution DNS sur un client de ton fqdn était anormalement longue, c'est ça ?
Si c'est le cas, alors tu ne pourras pas y faire grand chose il me semble
(vu que c'est du côté des clients que ça se joue). Ceci étant, comme tu l'as
déjà indiqué, une requête DNS est peut-être un peu longue la toute première
fois mais ensuite, le DNS du FAI du client mettra en cache le résultat de la
requête et ça ira plus vite pour le client à ce niveau là.

Pour tester tu peux utiliser dig par exemple :

~# dig www.debian.org
[...]
;; Query time: 179 msec

Mais ensuite c'est mis dans le cache DNS de ma Freebox (qui est le DNS
utilisé par ma Freebox) et donc :

~# dig www.debian.org
[...]
;; Query time: 0 msec

Désolé pour le manque de clarté de mes propos, et je ne sais pas exactement ce
que je cherche…



Oui, je crois aussi. C'est un point important à définir avant de poster.
Après, rien ne t'oblige à connaître les _termes_ exacts pour exprimer ce
que tu cherches (même si c'est toujours mieux) mais au niveau des idées
faut que tu sois au clair sur ce que tu cherches.

Par exemple, François parlait tout à l'heure d'un resolver (unbound). J'ai Bind9 et
je ne savais même pas que c'est aussi un resolver.

J'aurais mieux fait de regarder avant ce que c'était avant de m'emballer…

Un cache DNS local ? Il me semble qu'il y en a un sur Bind9.



Bind9 sur ton serveur doit sûrement faire office de cache DNS.

Peut-être que je cherche midi à quatorze heures ? C'est possible. L'année passée
j'ai fait une une modification en désactivant les tâches cron sur le CMS, afin de les
effectuer dans cron… Cette modification que j'ai faite pour une toute autre raison a
eu pour effet inattendu (mais logique) d'accélérer le chargement de les en-têtes de
mes pages. Alors, encore une fois peut-être que je cherche au mauvais endroit !



Je crois que ce que tu cherches à améliorer est tout simplement le temps
chargement des pages Web de ton site, non ? Pour ça, je ne connais pas
de recette magique hélas mais j'aurais tendance à penser que c'est en général
sans rapport avec DNS.

J'ai appris et j'apprends encore sur le tas, alors ne m'en veuillez pas si je découvre

la lune quelquefois.



Pas de souci.

--
François Lafont
Avatar
Philippe Gras
Le 18 nov. 2015 à 16:41, Francois Lafont a écrit :

On 18/11/2015 15:29, Philippe Gras wrote:

Je cherche à améliorer le temps d'accès moyen au NDD du site identifié sous ce
nom,



« ce nom » ? Quel nom ? Je ne le vois pas marqué sur ton message (et désolé
mais j'ai un peu la flemme de relire tout le fil).

hébergé sur la machine que je loue chez OVH dans le nord de la France.



Ce qui tu appelles « le temps d'accès moyen au NDD », c'est en fait un temps
pour afficher une page Web ?

Le temps d'accès moyen que les visiteurs vont mettre avant d'afficher l'en-tête de
la page qu'ils auront demandée.





Je cherche à améliorer l'intervalle de temps entre le moment où le client a fini de taper
le NDD dans son navigateur (ou quand le robot a lancé sa requête) et le moment où il
reçoit la première réponse du serveur Web : "tu as demandé telle page, je te l'envoie" !

J'ai plusieurs sites sur la même machine, et ils sont à peu près pareils structurellement.
Quand j'ai trouvé un truc sympa sur un site, je le duplique sur les autres.

Donc les noms des sites n'ont pas réellement d'importance, à part pour coller des liens.

Ah ok, donc on parle http alors pas DNS a priori. Et tu t'es aperçu que la
résolution DNS sur un client de ton fqdn était anormalement longue, c'est ça ?
Si c'est le cas, alors tu ne pourras pas y faire grand chose il me semble
(vu que c'est du côté des clients que ça se joue). Ceci étant, comme tu l'as
déjà indiqué, une requête DNS est peut-être un peu longue la toute première
fois mais ensuite, le DNS du FAI du client mettra en cache le résultat de la
requête et ça ira plus vite pour le client à ce niveau là.

Pour tester tu peux utiliser dig par exemple :

~# dig www.debian.org
[...]
;; Query time: 179 msec

Mais ensuite c'est mis dans le cache DNS de ma Freebox (qui est le DNS
utilisé par ma Freebox) et donc :

~# dig www.debian.org
[...]
;; Query time: 0 msec

Désolé pour le manque de clarté de mes propos, et je ne sais pas exactement ce
que je cherche…



Oui, je crois aussi. C'est un point important à définir avant de poster.
Après, rien ne t'oblige à connaître les _termes_ exacts pour exprimer ce
que tu cherches (même si c'est toujours mieux) mais au niveau des idées
faut que tu sois au clair sur ce que tu cherches.

Par exemple, François parlait tout à l'heure d'un resolver (unbound). J'ai Bind9 et
je ne savais même pas que c'est aussi un resolver.

J'aurais mieux fait de regarder avant ce que c'était avant de m'emballer…

Un cache DNS local ? Il me semble qu'il y en a un sur Bind9.



Bind9 sur ton serveur doit sûrement faire office de cache DNS.

Peut-être que je cherche midi à quatorze heures ? C'est possible. L'année passée
j'ai fait une une modification en désactivant les tâches cron sur le CMS, afin de les
effectuer dans cron… Cette modification que j'ai faite pour une toute autre raison a
eu pour effet inattendu (mais logique) d'accélérer le chargement de les en-têtes de
mes pages. Alors, encore une fois peut-être que je cherche au mauvais endroit !



Je crois que ce que tu cherches à améliorer est tout simplement le temps
chargement des pages Web de ton site, non ? Pour ça, je ne connais pas
de recette magique hélas mais j'aurais tendance à penser que c'est en général
sans rapport avec DNS.

J'ai appris et j'apprends encore sur le tas, alors ne m'en veuillez pas si je découvre

la lune quelquefois.



Pas de souci.

--
François Lafont

Avatar
honeyshell
Passer de bind9 à unbount peut améliorer le temps de réponse .
Quelques infos ici :
http://info.menandmice.com/blog/bid/37244/10-Reasons-to-use-Unbound-DNS
Avatar
Eric Degenetais
En tous cas en terme de résolution DNS, à mon avis, ce n'est pas la
peine de se mettre la rate au court-bouillon, c'est entièrement
dépendant de l'infrastructure côté client, donc on ne le con trôle pas.
Ensuite, le temps de réponse à la requête HTTP, là on p eut y
travailler, en fonction du genre de contenus qu'on sert, du genre de
technologie qu'on utilise.

______________
Éric Dégenètais
Henix



http://www.henix.com
http://www.squashtest.org



Le 18 novembre 2015 16:56, Philippe Gras a éc rit :

Le 18 nov. 2015 à 16:41, Francois Lafont a écrit :

On 18/11/2015 15:29, Philippe Gras wrote:

Je cherche à améliorer le temps d'accès moyen au NDD du site identifié sous ce
nom,



« ce nom » ? Quel nom ? Je ne le vois pas marqué sur ton message (et désolé
mais j'ai un peu la flemme de relire tout le fil).

hébergé sur la machine que je loue chez OVH dans le nord de l a France.



Ce qui tu appelles « le temps d'accès moyen au NDD », c'e st en fait un temps
pour afficher une page Web ?

Le temps d'accès moyen que les visiteurs vont mettre avant d'affic her l'en-tête de
la page qu'ils auront demandée.





Je cherche à améliorer l'intervalle de temps entre le moment o ù le client a fini de taper
le NDD dans son navigateur (ou quand le robot a lancé sa requêt e) et le moment où il
reçoit la première réponse du serveur Web : "tu as demand é telle page, je te l'envoie" !

J'ai plusieurs sites sur la même machine, et ils sont à peu pr ès pareils structurellement.
Quand j'ai trouvé un truc sympa sur un site, je le duplique sur les autres.

Donc les noms des sites n'ont pas réellement d'importance, à pa rt pour coller des liens.

Ah ok, donc on parle http alors pas DNS a priori. Et tu t'es aperçu que la
résolution DNS sur un client de ton fqdn était anormalement lo ngue, c'est ça ?
Si c'est le cas, alors tu ne pourras pas y faire grand chose il me sembl e
(vu que c'est du côté des clients que ça se joue). Ceci étant, comme tu l'as
déjà indiqué, une requête DNS est peut-être un peu longue la toute première
fois mais ensuite, le DNS du FAI du client mettra en cache le résul tat de la
requête et ça ira plus vite pour le client à ce niveau l à.

Pour tester tu peux utiliser dig par exemple :

~# dig www.debian.org
[...]
;; Query time: 179 msec

Mais ensuite c'est mis dans le cache DNS de ma Freebox (qui est le DNS
utilisé par ma Freebox) et donc :

~# dig www.debian.org
[...]
;; Query time: 0 msec

Désolé pour le manque de clarté de mes propos, et je ne sais pas exactement ce
que je cherche…



Oui, je crois aussi. C'est un point important à définir avant de poster.
Après, rien ne t'oblige à connaître les _termes_ exacts p our exprimer ce
que tu cherches (même si c'est toujours mieux) mais au niveau des i dées
faut que tu sois au clair sur ce que tu cherches.

Par exemple, François parlait tout à l'heure d'un resolver (u nbound). J'ai Bind9 et
je ne savais même pas que c'est aussi un resolver.

J'aurais mieux fait de regarder avant ce que c'était avant de m'em baller…

Un cache DNS local ? Il me semble qu'il y en a un sur Bind9.



Bind9 sur ton serveur doit sûrement faire office de cache DNS.

Peut-être que je cherche midi à quatorze heures ? C'est possi ble. L'année passée
j'ai fait une une modification en désactivant les tâches cron sur le CMS, afin de les
effectuer dans cron… Cette modification que j'ai faite pour une toute autre raison a
eu pour effet inattendu (mais logique) d'accélérer le chargem ent de les en-têtes de
mes pages. Alors, encore une fois peut-être que je cherche au mauv ais endroit !



Je crois que ce que tu cherches à améliorer est tout simplemen t le temps
chargement des pages Web de ton site, non ? Pour ça, je ne connais pas
de recette magique hélas mais j'aurais tendance à penser que c 'est en général
sans rapport avec DNS.

J'ai appris et j'apprends encore sur le tas, alors ne m'en veuillez pas si je découvre

la lune quelquefois.



Pas de souci.

--
François Lafont




Avatar
Eric Degenetais
En effet...pour peu qu'on parle d'une requête DNS émise par le se rveur
où tourne unbound.
Par contre, pour ce qui est de client finaux accédant au serveur,
c'est leur infrastructure FAI qui compte, et là on n'y peut rien...
______________
Éric Dégenètais
Henix



http://www.henix.com
http://www.squashtest.org



Le 18 novembre 2015 17:18, honeyshell a éc rit :
Passer de bind9 à unbount peut améliorer le temps de répon se.
Quelques infos ici :
http://info.menandmice.com/blog/bid/37244/10-Reasons-to-use-Unbound-DNS

Avatar
honeyshell
Par contre, pour ce qui est de client finaux accédant au serveur,
c'est leur infrastructure FAI qui compte, et là on n'y peut rien...




C'est là ou Cloudflare prend tout son sens
Avatar
Francois Lafont
On 18/11/2015 17:16, Eric Degenetais wrote:

En tous cas en terme de résolution DNS, à mon avis, ce n'est pas la
peine de se mettre la rate au court-bouillon, c'est entièrement
dépendant de l'infrastructure côté client, donc on ne le contrôle pas.



Oui, tout à fait. C'est moi qui avais mal saisi la demande de Philippe,
désolé.


--
François Lafont
1 2 3 4