squid перестают открываться сайты (maps.yandex.ru, news.yandex.ru и другие.)

[Voler]

Добрый день.

Использую Squid Cache: Version 3.1.16 и BIND 9.7.4-P1-RedHat-9.7.4-2.P1.fc14
Bind работает нормально, nslookup maps.yandex.ru или другие сайты отрабатывает нормально.
Сервер работает уже больше 100 дней, проблема появилась где-то 5 дней назад.

Настройки прокси просты:

Код: Выделить всё

acl manager proto cache_object
acl localhost src 127.0.0.1/32 ::1
acl to_localhost dst 127.0.0.0/8 0.0.0.0/32 ::1
acl zevs src 192.168.2.0/24 192.168.1.0/24
acl SSL_ports port 443
acl CONNECT method CONNECT
http_access allow manager localhost
http_access deny manager
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access allow localhost
http_access allow zevs
http_access deny all
http_port 192.168.1.200:3128 transparent
hierarchy_stoplist cgi-bin ?
coredump_dir /var/spool/squid
access_log /var/log/squid/access.log squid
refresh_pattern ^ftp:           1440    20%     10080
refresh_pattern ^gopher:        1440    0%      1440
refresh_pattern -i (/cgi-bin/|\?) 0     0%      0
refresh_pattern .               0       20%     4320
cache_mgr admin@z-tec.ru
visible_hostname local.z-tec.ru
dns_nameservers 127.0.0.1 10.10.10.3 194.67.160.3 8.8.8.8
cache_effective_user squid
cache_effective_group squid

Как видно первым днс стоит 127.0.0.1, а потом уже днс провайдеров.

Может кто подскажет, как побороть? Сайт открывается, и сразу повисает и крутится, но не открывается. Если убираю редирект на прокси, то сайты грузятся в штатном режиме.

[DaemonTux]

Что по этому поводу говориться в логах?
Что прописанно в resolve.conf
Место на винтах случайно не кончилось?

[kisil]

Первым делом, первым делом ЛОГИ

[Voler]

Что прописанно в resolve.conf

Содержание resolv.conf

Код: Выделить всё

nameserver 127.0.0.1
nameserver 10.10.10.3
nameserver 194.67.160.3
nameserver 194.67.161.1
search zevs.local
domain zevs.local

Место на винтах случайно не кончилось?

Место где находится папки /var и /tmp, доступно как минимум 113 гб.

Код: Выделить всё

Filesystem            Size  Used Avail Use%
 /dev/sda2             138G   24G  113G  17% /

[McSim]

пальцем в небо
попробуй в конфигах найти строчки tcp_outgoing_address и udp_outgoing_address
И примечти их к виду:

Код: Выделить всё

tcp_outgoing_address 0.0.0.0
udp_outgoing_address 0.0.0.0

Так ты отключишь обработку Ipv6. точнее скажешь сквиду использовать для udp и tcp протоколов использовать только ipv4. Мне когда-то помогло.

Но можно и почитать ссылку, которую я привел, там тоже есть некий костыль )

[Voler]

Код: Выделить всё

tcp_outgoing_address 0.0.0.0
udp_outgoing_address 0.0.0.0

Спасибо, но думаю дело не в этом. Меня смущает в логах следующая информация.

Код: Выделить всё

Aug 27 08:41:00 serverlinux named[11539]: error (host unreachable) resolving 'myp.mypicturetown.com/A/IN': 192.26.92.30#53
Aug 27 08:41:00 serverlinux named[11539]: error (host unreachable) resolving 'myp.mypicturetown.com/A/IN': 192.12.94.30#53
Aug 27 08:41:00 serverlinux named[11539]: error (host unreachable) resolving 'myp.mypicturetown.com/A/IN': 192.52.178.30#53
Aug 27 08:41:00 serverlinux named[11539]: error (host unreachable) resolving 'myp.mypicturetown.com/A/IN': 192.48.79.30#53
Aug 27 08:41:00 serverlinux named[11539]: error (host unreachable) resolving 'myp.mypicturetown.com/A/IN': 192.43.172.30#53
Aug 27 08:41:00 serverlinux named[11539]: error (host unreachable) resolving 'myp.mypicturetown.com/A/IN': 192.41.162.30#53
Aug 27 08:41:00 serverlinux named[11539]: error (host unreachable) resolving 'myp.mypicturetown.com/A/IN': 192.42.93.30#53
Aug 27 08:41:00 serverlinux named[11539]: error (host unreachable) resolving 'myp.mypicturetown.com/A/IN': 192.35.51.30#53
Aug 27 08:41:00 serverlinux named[11539]: error (host unreachable) resolving 'myp.mypicturetown.com/A/IN': 192.55.83.30#53
Aug 27 08:41:00 serverlinux named[11539]: error (host unreachable) resolving 'myp.mypicturetown.com/A/IN': 192.31.80.30#53
Aug 27 08:41:00 serverlinux named[11539]: error (network unreachable) resolving 'myp.mypicturetown.com/A/IN': 2001:503:a83e::2:30#53
Aug 27 08:41:00 serverlinux named[11539]: error (network unreachable) resolving 'myp.mypicturetown.com/A/IN': 2001:503:231d::2:30#53
Aug 27 08:41:00 serverlinux named[11539]: error (host unreachable) resolving 'myp.mypicturetown.com/A/IN': 8.8.8.8#53
Aug 27 08:41:00 serverlinux named[11539]: error (host unreachable) resolving 'c.gtld-servers.net/AAAA/IN': 8.8.8.8#53
Aug 27 08:41:00 serverlinux named[11539]: error (host unreachable) resolving 'e.gtld-servers.net/AAAA/IN': 8.8.8.8#53
Aug 27 08:41:00 serverlinux named[11539]: error (host unreachable) resolving 'd.gtld-servers.net/AAAA/IN': 8.8.8.8#53
Aug 27 08:41:00 serverlinux named[11539]: error (host unreachable) resolving 'api.hostip.info/A/IN': 199.254.31.1#53
Aug 27 08:41:00 serverlinux named[11539]: error (host unreachable) resolving 'api.hostip.info/A/IN': 199.249.113.1#53
Aug 27 08:41:00 serverlinux named[11539]: error (network unreachable) resolving 'api.hostip.info/A/IN': 2001:500:1a::1#53
Aug 27 08:41:00 serverlinux named[11539]: error (network unreachable) resolving 'api.hostip.info/A/IN': 2001:500:1b::1#53
Aug 27 08:41:00 serverlinux named[11539]: error (network unreachable) resolving 'api.hostip.info/A/IN': 2001:500:1c::1#53
Aug 27 08:41:00 serverlinux named[11539]: error (host unreachable) resolving 'api.hostip.info/A/IN': 199.249.121.1#53
Aug 27 08:41:00 serverlinux named[11539]: error (network unreachable) resolving 'api.hostip.info/A/IN': 2001:500:19::1#53
Aug 27 08:41:00 serverlinux named[11539]: error (network unreachable) resolving 'api.hostip.info/A/IN': 2001:500:41::1#53
Aug 27 08:41:00 serverlinux named[11539]: error (host unreachable) resolving 'api.hostip.info/A/IN': 199.254.48.1#53
Aug 27 08:41:00 serverlinux named[11539]: error (host unreachable) resolving 'api.hostip.info/A/IN': 199.254.49.1#53
Aug 27 08:41:00 serverlinux named[11539]: error (host unreachable) resolving 'api.hostip.info/A/IN': 199.254.50.1#53
Aug 27 08:41:00 serverlinux named[11539]: error (network unreachable) resolving 'api.hostip.info/A/IN': 2001:500:49::1#53

Не могу найти, кто флудит или bind с ума сошел, пока я в отпуске был.
К примеру - myp.mypicturetown.com Сам же сервер резолвит, но первый раз я получил ответ от 10.10.10.3, а после перезагрузки bind от 127.0.0.1 такое чувство что bind перестает отвечать на запросы. Даже не знаю куда копнуть.

[DaemonTux]

конфиг бинда в студию

[McSim]

(host unreachable)

а еще я бы попросил конфиг сети (адресацию ip a sh и маршрутизацию ip ro sh).
Ну и пинг с этого хоста на 8.8.8.8 и, например, 192.26.92.30

[McSim]

так, для интереса можно еще трассировку до указанных адресов

[AlfaStriker]

Может кэщ ДНС сбросить
# rndc flush

[Voler]

конфиг бинда в студию

Конфиг.

Код: Выделить всё

acl "corpnets" {   127.0.0.1; 192.168.0.0/24; 192.168.1.0/24; 192.168.10.0/24; };
options {
   directory "/etc";
   allow-query { "corpnets"; };
        allow-recursion {
                192.168.1.0/24;
                127.0.0.1;
                };
   tcp-clients 100;
   forwarders { 10.10.10.3; 194.67.160.3; 194.67.161.1; 8.8.8.8; 8.8.4.4; };
        listen-on port 53 {
                127.0.0.1;
                192.168.1.200;
                };
   version "ZEVS DNS v1";
   max-cache-size 50M;
   listen-on-v6 { none; };
};
key "rndc-key" {
       algorithm hmac-md5;
       secret "7qEYvSOSgBPq96X9klA28w==";
 };
controls {
      inet 127.0.0.1 port 953
              allow { 127.0.0.1; } keys { "rndc-key"; };
 };

rndc flush

Сбросил, в логах вот что
Aug 27 22:08:22 serverlinux named[11044]: received control channel command 'flush'
Aug 27 22:08:22 serverlinux named[11044]: flushing caches in all views succeeded

Вывод ip r

Код: Выделить всё

100.100.100.100 dev ppp0  proto kernel  scope link  src 100.100.100.1
91.192.21.195 via 176.62.180.1 dev eth2
91.192.21.198 via 176.62.180.1 dev eth2
81.13.103.235 via 81.13.43.81 dev eth1
91.192.21.196 via 176.62.180.1 dev eth2
81.13.43.80/30 dev eth1  proto kernel  scope link  src 81.13.43.82
213.252.94.248/29 dev eth3  proto kernel  scope link  src 213.252.94.249
176.62.180.0/25 dev eth2  proto kernel  scope link  src 176.62.180.10
80.237.6.0/24 via 176.62.180.1 dev eth2
80.79.78.0/24 via 176.62.180.1 dev eth2
192.168.161.0/24 via 176.62.180.1 dev eth2
192.168.3.0/24 dev eth3  proto kernel  scope link  src 192.168.3.1
192.168.150.0/24 via 176.62.180.1 dev eth2
192.168.133.0/24 via 176.62.180.1 dev eth2
91.192.20.0/24 via 176.62.180.1 dev eth2
192.168.1.0/24 dev eth3  proto kernel  scope link  src 192.168.1.200
192.168.0.0/24 via 100.100.100.1 dev ppp0  scope link
80.79.75.0/24 via 176.62.180.1 dev eth2
176.62.185.0/24 via 176.62.180.1 dev eth2
192.168.46.0/24 via 176.62.180.1 dev eth2
192.168.168.0/24 via 176.62.180.1 dev eth2
176.62.187.0/24 via 176.62.180.1 dev eth2
62.33.242.0/24 via 176.62.180.1 dev eth2
80.237.27.0/24 via 176.62.180.1 dev eth2
10.10.10.0/24 via 176.62.180.1 dev eth2
192.168.10.0/24 via 100.100.100.1 dev ppp0  scope link
176.62.191.0/24 via 176.62.180.1 dev eth2
80.237.24.0/24 via 176.62.180.1 dev eth2
176.62.176.0/20 via 176.62.180.1 dev eth2
169.254.0.0/16 dev eth1  scope link  metric 1003
169.254.0.0/16 dev eth2  scope link  metric 1004
169.254.0.0/16 dev eth3  scope link  metric 1005
default
        nexthop via 81.13.43.81  dev eth1 weight 256
        nexthop via 176.62.180.1  dev eth2 weight 2

Свист

Вывод ping на 8.8.8.8, что это вам даст только?

PING 8.8.8.8 (8.8.8.8) 56(84) bytes of data.
3 packets transmitted, 3 received, 0% packet loss, time 2001ms
rtt min/avg/max/mdev = 16.935/17.965/18.710/0.760 ms

ping 192.26.92.30

PING 192.26.92.30 (192.26.92.30) 56(84) bytes of data.
6 packets transmitted, 6 received, 0% packet loss, time 5002ms
rtt min/avg/max/mdev = 126.137/127.669/132.226/2.113 ms

nslookup резолвит и 8.8.8.8 и 192.26.92.30.

Сообщения, вида

Код: Выделить всё

named[11539]: error (unexpected RCODE REFUSED)
named[11539]: error (network unreachable)
named[11539]: error (network unreachable)
named[11539]: error (unexpected RCODE REFUSED)

Появляются но периодически, могут раз в час, а могут и через 5 минут.

[McSim]

Есть ощущение, что в некоторый момент менятеся маршрут до форвард-сереров ( forwarders ) и сервер не может получить с них инфу...
Попробуй сделать пинг до форвардерсов во время проявления пролемы.

Как вариант, можно попробовать вообще отключить опцию forwarders - пусть бинд берет резолвы с корневых серверов.

Либо добавить forward first;, чтобы бинд к форвард-серверам посылал только первый запрос.

P.S. не увидел вывод ip addr sh

[Voler]

P.S. не увидел вывод ip addr sh

Вывод

Код: Выделить всё

1: lo: <LOOPBACK,UP,LOWER_UP> mtu 16436 qdisc noqueue state UNKNOWN
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
    inet6 ::1/128 scope host
       valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN qlen 1000
    link/ether 00:10:18:5a:cd:12 brd ff:ff:ff:ff:ff:ff
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP qlen 1000
    link/ether 00:10:18:73:a6:02 brd ff:ff:ff:ff:ff:ff
    inet 81.13.43.82/30 brd 81.13.43.83 scope global eth1
    inet6 fe80::210:18ff:fe73:a602/64 scope link
       valid_lft forever preferred_lft forever
4: eth2: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP qlen 1000
    link/ether d8:d3:85:57:ef:d4 brd ff:ff:ff:ff:ff:ff
    inet 176.62.180.10/25 brd 176.62.180.127 scope global eth2
    inet6 fe80::dad3:85ff:fe57:efd4/64 scope link
       valid_lft forever preferred_lft forever
5: eth3: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000
    link/ether 00:1b:21:4c:ef:3e brd ff:ff:ff:ff:ff:ff
    inet 192.168.1.200/24 brd 192.168.1.255 scope global eth3
    inet 213.252.94.249/29 brd 213.252.94.255 scope global eth3:1
    inet 192.168.3.1/24 brd 192.168.3.255 scope global eth3:0
    inet6 fe80::21b:21ff:fe4c:ef3e/64 scope link
       valid_lft forever preferred_lft forever
7: gre0: <NOARP> mtu 1476 qdisc noop state DOWN
    link/gre 0.0.0.0 brd 0.0.0.0
20: ppp0: <POINTOPOINT,MULTICAST,NOARP,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN qlen 3
    link/ppp
    inet 100.100.100.1 peer 100.100.100.100/32 scope global ppp0

[McSim]

Скажи, вот это

Код: Выделить всё

default
        nexthop via 81.13.43.81  dev eth1 weight 256
        nexthop via 176.62.180.1  dev eth2 weight 2

чтоли 2 маршрута по умолчанию? для чего?

[Voler]

Скажи, вот это
чтоли 2 маршрута по умолчанию? для чего?

Все верно два маршрута по умолчанию, один как видно основной имеет 256 а второй запасной, когда падает один, то работает второй и меняется значение с 2 на 256.

Так же через 176.62.180.1 ходит вся локалка местного прова, и через нее же работает VPN.
Чтобы не бло косяков в работе ДНС, написаны маршруты статические для ДНС адресов провайдера, парой постов выше
10.10.10.0/24 via 176.62.180.1 dev eth2 в этой сети находится 10.10.10.3 ДНС ИстраНет.

[McSim]

Ох, что-то сомневаюсь я по поводу данного решения с двумя некстхопами....
Я бы маршрут по умолчанию менял скриптом...
Видится мне картина, что иногда у тебя падает

Код: Выделить всё

 via 176.62.180.1

В результате все, кто туда направлен (особенно ДНСы) - недоступны. И бинд не работает.

Если же хочешь оставить как есть, то разреши бинду опрашивать корневые сервера, когда недоступны форвардерные сервера.
Для этого, как я уже говорил, нужно добавить параметр

Код: Выделить всё

forward first

в named.conf.
Тогда бинд будет первый запрос полсылать к форвард серверам, а в случае неудачи - к корневым.
Кроме того, я бы оставил не более 2х локальных форвардер-серверов, а такие как 8.8.8.8 вообще убрал - очень сомнительная в них польза.
Соответственно, если упал

Код: Выделить всё

 via 176.62.180.1

то бинд направиться по маршруту по умолчанию к корневым днсам...
Как-то так... Наверно...
Легко проверяется это дело в момент проблемы с твоим биндом. Когда ошибки посыпятся и адреса не будут резолвится - попробуй пингануть локальные днсы.
Так же, чтобы убедится, что бинд живой, можно создать локальную мастер-зону для незанятого домена и в момент, когда бинд не будет разолвить внешние рекурсивные адреса, можно у него запросить данные из мастер зоны. Если ответ придет, занчит бинд вполне работоспосбоен.