Google Groups no longer supports new Usenet posts or subscriptions. Historical content remains viewable.
Dismiss
squid IPv6 präferieren
30 views
Skip to first unread message
Marco Moock
Apr 13, 2023, 3:08:10 AM4/13/23
to
Hallo zusammen!
Ich habe einen Squid am laufen, der eigentlich nur dazu dient, dumme
und nervige "Verifizierungen" von Accounts zu verhindern, wenn man sich
von außerhalb des gewöhnlichen IP-Bereichs mal wo einloggt (heute Morgen
ging mir ebay-Kleinanzeigen damit wieder massiv auf den Sack mit dem
Mist).
Der hat aber nun den Effekt, dass er bei der Verbindung IPv4 bevorzugt,
was blöd ist wegen NAT. Damit ist es dann wieder ein anderer IP-Bereich.
Ich habe bereits
happy_eyeballs_connect_timeout 3000
happy_eyeballs_connect_gap 3000
gesetzt, das ändert aber nichts.
Jetzt habe ich gelesen, dass das damit zusammenhängt, welche
DNS-Anfrage (A/AAAA) zuerst beantwortet wird.
Auffällig ist da nichts, aber wenige ms sind wohl ausschlaggebend.
Kann man das irgendwie konfigurieren, sodass IPv6 bevorzugt wird und
nur nach nem langen Timeout ein Fallback stattfindet?
--
Gruß
Marco Moock
Ich habe einen Squid am laufen, der eigentlich nur dazu dient, dumme
und nervige "Verifizierungen" von Accounts zu verhindern, wenn man sich
von außerhalb des gewöhnlichen IP-Bereichs mal wo einloggt (heute Morgen
ging mir ebay-Kleinanzeigen damit wieder massiv auf den Sack mit dem
Mist).
Der hat aber nun den Effekt, dass er bei der Verbindung IPv4 bevorzugt,
was blöd ist wegen NAT. Damit ist es dann wieder ein anderer IP-Bereich.
Ich habe bereits
happy_eyeballs_connect_timeout 3000
happy_eyeballs_connect_gap 3000
gesetzt, das ändert aber nichts.
Jetzt habe ich gelesen, dass das damit zusammenhängt, welche
DNS-Anfrage (A/AAAA) zuerst beantwortet wird.
Auffällig ist da nichts, aber wenige ms sind wohl ausschlaggebend.
Kann man das irgendwie konfigurieren, sodass IPv6 bevorzugt wird und
nur nach nem langen Timeout ein Fallback stattfindet?
--
Gruß
Marco Moock
Tim Ritberg
Apr 13, 2023, 4:30:28 AM4/13/23
to
Am 13.04.23 um 09:08 schrieb Marco Moock:
Du meins dies hier?
https://serverfault.com/questions/987563/squid-proxy-using-ipv6-for-outgoing-traffic-instead-of-ipv4
Tim
https://serverfault.com/questions/987563/squid-proxy-using-ipv6-for-outgoing-traffic-instead-of-ipv4
Tim
Marco Moock
Apr 13, 2023, 4:38:14 AM4/13/23
to
Am 13.04.2023 schrieb Tim Ritberg <t...@server.invalid>:
> Du meins dies hier?
> https://serverfault.com/questions/987563/squid-proxy-using-ipv6-for-outgoing-traffic-instead-of-ipv4
Das Gegenteil. Ich hätte gerne das Verhalten, was er abstellen will.
> Du meins dies hier?
> https://serverfault.com/questions/987563/squid-proxy-using-ipv6-for-outgoing-traffic-instead-of-ipv4
dns_v4_first ist aber deprecated, sodass mir das nicht weiter hilft.
Stefan Möding
Apr 13, 2023, 5:02:05 AM4/13/23
to
Marco Moock <mo...@posteo.de> writes:
> Jetzt habe ich gelesen, dass das damit zusammenhängt, welche
> DNS-Anfrage (A/AAAA) zuerst beantwortet wird.
> Auffällig ist da nichts, aber wenige ms sind wohl ausschlaggebend.
> Kann man das irgendwie konfigurieren, sodass IPv6 bevorzugt wird und
> nur nach nem langen Timeout ein Fallback stattfindet?
Nach meinem Kenntnisstand nutzt Squid für die DNS Auflösung einen internen
> Jetzt habe ich gelesen, dass das damit zusammenhängt, welche
> DNS-Anfrage (A/AAAA) zuerst beantwortet wird.
> Auffällig ist da nichts, aber wenige ms sind wohl ausschlaggebend.
> Kann man das irgendwie konfigurieren, sodass IPv6 bevorzugt wird und
> nur nach nem langen Timeout ein Fallback stattfindet?
Resolver; dazu werden beim Start die Nameserver aus /etc/resolv.conf
gelesen. Das beschriebene Verhalten lässt sich mit Betriebssystemmitteln
(z.B. in /etc/gai.conf oder /etc/resolv.conf) daher nicht beeinflussen.
Eventuell kannst du einen dedizierten DNS-Server vorschalten (Bind,
Dnsmasq, PowerDNS, ...), der mit längeren Timeouts arbeitet, bevor er eine
Anfrage beantwortet.
--
Stefan
Marco Moock
Apr 13, 2023, 5:16:57 AM4/13/23
to
Am 13.04.2023 schrieb Stefan Möding <Apr2023....@spamgourmet.com>:
> Eventuell kannst du einen dedizierten DNS-Server vorschalten (Bind,
> Dnsmasq, PowerDNS, ...), der mit längeren Timeouts arbeitet, bevor er
> eine Anfrage beantwortet.
Es ist ein lokaler BIND9.
> Eventuell kannst du einen dedizierten DNS-Server vorschalten (Bind,
> Dnsmasq, PowerDNS, ...), der mit längeren Timeouts arbeitet, bevor er
> eine Anfrage beantwortet.
Da ist aber nichts speziell konfiguriert, was Antworten verzögert (wozu
auch?).
Tim Ritberg
Apr 13, 2023, 7:11:06 AM4/13/23
to
Am 13.04.23 um 10:38 schrieb Marco Moock:
Nun heisst es aber laut Docu, dass er immer zu erst ipv6 macht.
DaS würde sich ändern, zB durch die o.g. Option.
Vielleicht fehlt dir eine ACL, damit er überhaupt raus darf.
Tim
DaS würde sich ändern, zB durch die o.g. Option.
Vielleicht fehlt dir eine ACL, damit er überhaupt raus darf.
Tim
Marco Moock
Apr 13, 2023, 7:24:55 AM4/13/23
to
Am 13.04.2023 schrieb Tim Ritberg <t...@server.invalid>:
> Am 13.04.23 um 10:38 schrieb Marco Moock:
> > Am 13.04.2023 schrieb Tim Ritberg <t...@server.invalid>:
> >
> >> Du meins dies hier?
> >> https://serverfault.com/questions/987563/squid-proxy-using-ipv6-for-outgoing-traffic-instead-of-ipv4
> >>
> >
> > Das Gegenteil. Ich hätte gerne das Verhalten, was er abstellen will.
> >
> > dns_v4_first ist aber deprecated, sodass mir das nicht weiter hilft.
> >
>
> Nun heisst es aber laut Docu, dass er immer zu erst ipv6 macht.
> DaS würde sich ändern, zB durch die o.g. Option.
Aus der Doku (/usr/share/doc/squid-common/squid.conf.documented.gz):
> Am 13.04.23 um 10:38 schrieb Marco Moock:
> > Am 13.04.2023 schrieb Tim Ritberg <t...@server.invalid>:
> >
> >> Du meins dies hier?
> >> https://serverfault.com/questions/987563/squid-proxy-using-ipv6-for-outgoing-traffic-instead-of-ipv4
> >>
> >
> > Das Gegenteil. Ich hätte gerne das Verhalten, was er abstellen will.
> >
> > dns_v4_first ist aber deprecated, sodass mir das nicht weiter hilft.
> >
>
> Nun heisst es aber laut Docu, dass er immer zu erst ipv6 macht.
> DaS würde sich ändern, zB durch die o.g. Option.
TAG: dns_v4_first
Remove this line. Squid no longer supports preferential treatment of
DNS A records.
> Vielleicht fehlt dir eine ACL, damit er überhaupt raus darf.
Das ist die Konfig:
http_port 443
cache deny all
#access_log none
cache_log none
auth_param basic program /usr/lib/squid/basic_ncsa_auth
/etc/squid/squid.passwd auth_param basic children 5
auth_param basic realm Mein-Proxy
auth_param basic credentialsttl 3 hours
auth_param basic casesensitive off
happy_eyeballs_connect_timeout 3000
happy_eyeballs_connect_gap 3000
acl users proxy_auth REQUIRED
acl sectionx proxy_auth REQUIRED #ist die nicht unnötig?
http_access allow users
Marco Moock
Apr 13, 2023, 7:25:03 AM4/13/23
to
Am 13.04.2023 schrieb Tim Ritberg <t...@server.invalid>:
> Am 13.04.23 um 10:38 schrieb Marco Moock:
> > Am 13.04.2023 schrieb Tim Ritberg <t...@server.invalid>:
> >
> >> Du meins dies hier?
> >> https://serverfault.com/questions/987563/squid-proxy-using-ipv6-for-outgoing-traffic-instead-of-ipv4
> >>
> >
> > Das Gegenteil. Ich hätte gerne das Verhalten, was er abstellen will.
> >
> > dns_v4_first ist aber deprecated, sodass mir das nicht weiter hilft.
> >
>
> Nun heisst es aber laut Docu, dass er immer zu erst ipv6 macht.
> DaS würde sich ändern, zB durch die o.g. Option.
> Am 13.04.23 um 10:38 schrieb Marco Moock:
> > Am 13.04.2023 schrieb Tim Ritberg <t...@server.invalid>:
> >
> >> Du meins dies hier?
> >> https://serverfault.com/questions/987563/squid-proxy-using-ipv6-for-outgoing-traffic-instead-of-ipv4
> >>
> >
> > Das Gegenteil. Ich hätte gerne das Verhalten, was er abstellen will.
> >
> > dns_v4_first ist aber deprecated, sodass mir das nicht weiter hilft.
> >
>
> Nun heisst es aber laut Docu, dass er immer zu erst ipv6 macht.
> DaS würde sich ändern, zB durch die o.g. Option.
Aus der Doku (/usr/share/doc/squid-common/squid.conf.documented.gz):
TAG: dns_v4_first
Remove this line. Squid no longer supports preferential treatment of
DNS A records.
TAG: dns_v4_first
Remove this line. Squid no longer supports preferential treatment of
DNS A records.
> Vielleicht fehlt dir eine ACL, damit er überhaupt raus darf.
Marco Moock
Apr 13, 2023, 7:25:15 AM4/13/23
to
Am 13.04.2023 schrieb Tim Ritberg <t...@server.invalid>:
> Am 13.04.23 um 10:38 schrieb Marco Moock:
> > Am 13.04.2023 schrieb Tim Ritberg <t...@server.invalid>:
> >
> >> Du meins dies hier?
> >> https://serverfault.com/questions/987563/squid-proxy-using-ipv6-for-outgoing-traffic-instead-of-ipv4
> >>
> >
> > Das Gegenteil. Ich hätte gerne das Verhalten, was er abstellen will.
> >
> > dns_v4_first ist aber deprecated, sodass mir das nicht weiter hilft.
> >
>
> Nun heisst es aber laut Docu, dass er immer zu erst ipv6 macht.
> DaS würde sich ändern, zB durch die o.g. Option.
> Am 13.04.23 um 10:38 schrieb Marco Moock:
> > Am 13.04.2023 schrieb Tim Ritberg <t...@server.invalid>:
> >
> >> Du meins dies hier?
> >> https://serverfault.com/questions/987563/squid-proxy-using-ipv6-for-outgoing-traffic-instead-of-ipv4
> >>
> >
> > Das Gegenteil. Ich hätte gerne das Verhalten, was er abstellen will.
> >
> > dns_v4_first ist aber deprecated, sodass mir das nicht weiter hilft.
> >
>
> Nun heisst es aber laut Docu, dass er immer zu erst ipv6 macht.
> DaS würde sich ändern, zB durch die o.g. Option.
Aus der Doku (/usr/share/doc/squid-common/squid.conf.documented.gz):
TAG: dns_v4_first
Remove this line. Squid no longer supports preferential treatment of
DNS A records.
TAG: dns_v4_first
Remove this line. Squid no longer supports preferential treatment of
DNS A records.
> Vielleicht fehlt dir eine ACL, damit er überhaupt raus darf.
Marcel Mueller
Apr 13, 2023, 10:21:37 AM4/13/23
to
Am 13.04.23 um 09:08 schrieb Marco Moock:
> Jetzt habe ich gelesen, dass das damit zusammenhängt, welche
> DNS-Anfrage (A/AAAA) zuerst beantwortet wird.
> Auffällig ist da nichts, aber wenige ms sind wohl ausschlaggebend.
> Kann man das irgendwie konfigurieren, sodass IPv6 bevorzugt wird und
> nur nach nem langen Timeout ein Fallback stattfindet?
Kein gute Idee. Einige Server haben immer noch keine IPV6-Adresse. Da
> DNS-Anfrage (A/AAAA) zuerst beantwortet wird.
> Auffällig ist da nichts, aber wenige ms sind wohl ausschlaggebend.
> Kann man das irgendwie konfigurieren, sodass IPv6 bevorzugt wird und
> nur nach nem langen Timeout ein Fallback stattfindet?
wird's dann übel zäh.
Vielleicht wäre für den Zweck ein VPN mit NAT sinnvoller.
Marcel
Marco Moock
Apr 13, 2023, 12:20:28 PM4/13/23
to
Am 13.04.2023 um 16:21:36 Uhr schrieb Marcel Mueller:
> Am 13.04.23 um 09:08 schrieb Marco Moock:
> > Jetzt habe ich gelesen, dass das damit zusammenhängt, welche
> > DNS-Anfrage (A/AAAA) zuerst beantwortet wird.
> > Auffällig ist da nichts, aber wenige ms sind wohl ausschlaggebend.
>
> > Kann man das irgendwie konfigurieren, sodass IPv6 bevorzugt wird und
> > nur nach nem langen Timeout ein Fallback stattfindet?
>
> Kein gute Idee. Einige Server haben immer noch keine IPV6-Adresse. Da
> wird's dann übel zäh.
Nein, denn das ist der Normalfall. AAAA vorhanden --> IPv6 nutzen. Kein
> Am 13.04.23 um 09:08 schrieb Marco Moock:
> > Jetzt habe ich gelesen, dass das damit zusammenhängt, welche
> > DNS-Anfrage (A/AAAA) zuerst beantwortet wird.
> > Auffällig ist da nichts, aber wenige ms sind wohl ausschlaggebend.
>
> > Kann man das irgendwie konfigurieren, sodass IPv6 bevorzugt wird und
> > nur nach nem langen Timeout ein Fallback stattfindet?
>
> Kein gute Idee. Einige Server haben immer noch keine IPV6-Adresse. Da
> wird's dann übel zäh.
AAAA vorhanden, A benutzten und IPv4 nutzen.
Happy Eyeballs ist nur ein Rückfall für Pfusch bei IPv6 - der leider
noch zu oft vorkommt.
Marcel Mueller
Apr 14, 2023, 9:00:21 AM4/14/23
to
Am 13.04.23 um 18:20 schrieb Marco Moock:
nicht vor der AAAA-Antwort eintreffen kann. Die Verzögerung würde dann
für alle IPV4-Verbindungen gelten. Und glaube mir, selbst eine Sekunde
DNS-Delay nervt maximal.
> Happy Eyeballs ist nur ein Rückfall für Pfusch bei IPv6 - der leider
> noch zu oft vorkommt.
Eben. Es gibt alle möglichen Server, bei denen IPV6 nicht oder nicht
richtig funktioniert.
Marcel
>>> Kann man das irgendwie konfigurieren, sodass IPv6 bevorzugt wird und
>>> nur nach nem langen Timeout ein Fallback stattfindet?
>>
>> Kein gute Idee. Einige Server haben immer noch keine IPV6-Adresse. Da
>> wird's dann übel zäh.
>
> Nein, denn das ist der Normalfall. AAAA vorhanden --> IPv6 nutzen. Kein
> AAAA vorhanden, A benutzten und IPv4 nutzen.
Ja, aber du sprachst davon, die A Antwort stark zu verzögern, damit sie
>>> nur nach nem langen Timeout ein Fallback stattfindet?
>>
>> Kein gute Idee. Einige Server haben immer noch keine IPV6-Adresse. Da
>> wird's dann übel zäh.
>
> Nein, denn das ist der Normalfall. AAAA vorhanden --> IPv6 nutzen. Kein
> AAAA vorhanden, A benutzten und IPv4 nutzen.
nicht vor der AAAA-Antwort eintreffen kann. Die Verzögerung würde dann
für alle IPV4-Verbindungen gelten. Und glaube mir, selbst eine Sekunde
DNS-Delay nervt maximal.
> Happy Eyeballs ist nur ein Rückfall für Pfusch bei IPv6 - der leider
> noch zu oft vorkommt.
richtig funktioniert.
Marcel
0 new messages