[Решено] Пинг — есть, Tracepath — есть, почему не резолвит адреса серверов?

Question

[Денис Сафронов]

UPD: Решено. Дело не в бобине, и даже не в кабине. Дело в провайдере и 80-ом порте.

Добрый день!

Что-то пошло не так и ни с того ни сего apt-get на гипервизоре перестал резолвить адреса серверов.
На виртуалках, которые крутятся на этой машине - всё прекрасно.

Если обратиться к хосту, например security.ubuntu.com например, через пинг, то будет:

user@vfarm0:/etc/apt/apt.conf.d$ ping security.ubuntu.com
PING security.ubuntu.com (91.189.91.15) 56(84) bytes of data.
64 bytes from likho.canonical.com (91.189.91.15): icmp_seq=1 ttl=50 time=138 ms

Tracepath:

user@vfarm0:/etc/apt/apt.conf.d$ tracepath security.ubuntu.com
1?: [LOCALHOST] pmtu 1500
1: 192.168.1.100 0.677ms
1: 192.168.1.100 0.440ms
2: 31-132-161-65.bks-tv.ru 1.910ms asymm 36
3: 10.128.155.1 2555.083ms asymm 37
4: 172.31.255.34 1.064ms
5: bnk01.transtelecom.net 14.717ms asymm 11
6: 149.6.168.202 67.157ms asymm 15
7: be4027.ccr21.sto01.atlas.cogentco.com 68.837ms asymm 14
8: be2397.ccr22.sto03.atlas.cogentco.com 57.057ms asymm 13
9: be2282.ccr42.ham01.atlas.cogentco.com 66.558ms asymm 12
10: be2187.ccr42.ams03.atlas.cogentco.com 60.319ms asymm 12
11: be2183.ccr22.lpl01.atlas.cogentco.com 66.983ms asymm 13
3: 10.128.155.1 2167.897ms asymm 37
12: be2387.ccr22.bos01.atlas.cogentco.com 136.917ms asymm 14
13: 38.104.186.42 315.193ms asymm 14
14: orobas.canonical.com 132.985ms reached
Resume: pmtu 1500 hops 14 back 15

А вот через apt-get будет только вот так:

user@vfarm0:/etc/apt/apt.conf.d$ sudo apt-get update
Ош security.ubuntu.com trusty-security InRelease

В итоге не могу ни обновиться, ни поставить какой-то софт. Переустанавливать систему - вообще нет возможности.

Что и куда смотреть, чтобы вернуть apt работоспособность?

UPD:
Далее выяснено, что ещё и wget с curl не резолвят хосты по имени. Другие машины в сети, получающие интернет через тот же самый роутер - работают прекрасно. Прокси - нет.

Comments

[ldv]

может в iptables http запрещен?

[Денис Сафронов]

ldvldv: где глянуть? просто конфиги машины не трогались уже давно, это 146%, и всё работало. потом бац и перестало работать.
ping, tracepath, dig - работают. wget и curl - нет.
dns уже менял на гугловские - нуль изменений =(

[ldv]

Денис Сафронов: sudo iptables -L

[Денис Сафронов]

ldvldv: отличие от вывода на других машинах (на которых всё работает) лишь в том, что там, где не работает блок такой:
$ sudo iptables -L
Chain INPUT (policy ACCEPT)
target prot opt source destination
ACCEPT udp -- anywhere anywhere udp dpt:domain
ACCEPT tcp -- anywhere anywhere tcp dpt:domain
ACCEPT udp -- anywhere anywhere udp dpt:bootps
ACCEPT tcp -- anywhere anywhere tcp dpt:bootps
ACCEPT udp -- anywhere anywhere udp dpt:domain
ACCEPT tcp -- anywhere anywhere tcp dpt:domain
ACCEPT udp -- anywhere anywhere udp dpt:bootps
ACCEPT tcp -- anywhere anywhere tcp dpt:bootps

А там, где работает, он такой:
$ sudo iptables -L
Chain INPUT (policy ACCEPT)
target prot opt source destination
ACCEPT udp -- anywhere anywhere udp dpt:domain
ACCEPT tcp -- anywhere anywhere tcp dpt:domain
ACCEPT udp -- anywhere anywhere udp dpt:bootps
ACCEPT tcp -- anywhere anywhere tcp dpt:bootps

Тоже самое, только в меньшем количестве.

[ldv]

Денис Сафронов: wget 93.158.134.3 работает?

[Денис Сафронов]

ldvldv: опачки. на проблемной машине - нет. на всех остальных - прекрасно.

[ldv]

Денис Сафронов: iptables-save можно? или http запрещен на роутере для этого хоста

[Денис Сафронов]

ldvldv: $ sudo iptables-save
# Generated by iptables-save v1.4.21 on Fri Mar 20 15:37:02 2015
*nat
:PREROUTING ACCEPT [1882:152639]
:INPUT ACCEPT [1872:151930]
:OUTPUT ACCEPT [140:57660]
:POSTROUTING ACCEPT [140:57660]
-A POSTROUTING -s 192.168.122.0/24 -d 224.0.0.0/24 -j RETURN
-A POSTROUTING -s 192.168.122.0/24 -d 255.255.255.255/32 -j RETURN
-A POSTROUTING -s 192.168.122.0/24 ! -d 192.168.122.0/24 -p tcp -j MASQUERADE --to-ports 1024-65535
-A POSTROUTING -s 192.168.122.0/24 ! -d 192.168.122.0/24 -p udp -j MASQUERADE --to-ports 1024-65535
-A POSTROUTING -s 192.168.122.0/24 ! -d 192.168.122.0/24 -j MASQUERADE
COMMIT
# Completed on Fri Mar 20 15:37:02 2015
# Generated by iptables-save v1.4.21 on Fri Mar 20 15:37:02 2015
*mangle
:PREROUTING ACCEPT [5122:390075]
:INPUT ACCEPT [5112:389366]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [4118:477705]
:POSTROUTING ACCEPT [4118:477705]
-A POSTROUTING -o virbr1 -p udp -m udp --dport 68 -j CHECKSUM --checksum-fill
-A POSTROUTING -o virbr0 -p udp -m udp --dport 68 -j CHECKSUM --checksum-fill
COMMIT
# Completed on Fri Mar 20 15:37:02 2015
# Generated by iptables-save v1.4.21 on Fri Mar 20 15:37:02 2015
*filter
:INPUT ACCEPT [5117:389626]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [4122:478489]
-A INPUT -i virbr1 -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -i virbr1 -p tcp -m tcp --dport 53 -j ACCEPT
-A INPUT -i virbr1 -p udp -m udp --dport 67 -j ACCEPT
-A INPUT -i virbr1 -p tcp -m tcp --dport 67 -j ACCEPT
-A INPUT -i virbr0 -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -i virbr0 -p tcp -m tcp --dport 53 -j ACCEPT
-A INPUT -i virbr0 -p udp -m udp --dport 67 -j ACCEPT
-A INPUT -i virbr0 -p tcp -m tcp --dport 67 -j ACCEPT
-A FORWARD -i virbr1 -o virbr1 -j ACCEPT
-A FORWARD -o virbr1 -j REJECT --reject-with icmp-port-unreachable
-A FORWARD -i virbr1 -j REJECT --reject-with icmp-port-unreachable
-A FORWARD -d 192.168.122.0/24 -o virbr0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -s 192.168.122.0/24 -i virbr0 -j ACCEPT
-A FORWARD -i virbr0 -o virbr0 -j ACCEPT
-A FORWARD -o virbr0 -j REJECT --reject-with icmp-port-unreachable
-A FORWARD -i virbr0 -j REJECT --reject-with icmp-port-unreachable
-A OUTPUT -o virbr1 -p udp -m udp --dport 68 -j ACCEPT
-A OUTPUT -o virbr0 -p udp -m udp --dport 68 -j ACCEPT
COMMIT
# Completed on Fri Mar 20 15:37:02 2015
user@vfarm0:~/tmp$ clear
user@vfarm0:~/tmp$ sudo iptables-save
# Generated by iptables-save v1.4.21 on Fri Mar 20 15:37:48 2015
*nat
:PREROUTING ACCEPT [1954:157914]
:INPUT ACCEPT [1944:157205]
:OUTPUT ACCEPT [140:57660]
:POSTROUTING ACCEPT [140:57660]
-A POSTROUTING -s 192.168.122.0/24 -d 224.0.0.0/24 -j RETURN
-A POSTROUTING -s 192.168.122.0/24 -d 255.255.255.255/32 -j RETURN
-A POSTROUTING -s 192.168.122.0/24 ! -d 192.168.122.0/24 -p tcp -j MASQUERADE --to-ports 1024-65535
-A POSTROUTING -s 192.168.122.0/24 ! -d 192.168.122.0/24 -p udp -j MASQUERADE --to-ports 1024-65535
-A POSTROUTING -s 192.168.122.0/24 ! -d 192.168.122.0/24 -j MASQUERADE
COMMIT
# Completed on Fri Mar 20 15:37:48 2015
# Generated by iptables-save v1.4.21 on Fri Mar 20 15:37:48 2015
*mangle
:PREROUTING ACCEPT [5245:398490]
:INPUT ACCEPT [5235:397781]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [4240:489975]
:POSTROUTING ACCEPT [4240:489975]
-A POSTROUTING -o virbr1 -p udp -m udp --dport 68 -j CHECKSUM --checksum-fill
-A POSTROUTING -o virbr0 -p udp -m udp --dport 68 -j CHECKSUM --checksum-fill
COMMIT
# Completed on Fri Mar 20 15:37:48 2015
# Generated by iptables-save v1.4.21 on Fri Mar 20 15:37:48 2015
*filter
:INPUT ACCEPT [5242:398145]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [4247:491039]
-A INPUT -i virbr1 -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -i virbr1 -p tcp -m tcp --dport 53 -j ACCEPT
-A INPUT -i virbr1 -p udp -m udp --dport 67 -j ACCEPT
-A INPUT -i virbr1 -p tcp -m tcp --dport 67 -j ACCEPT
-A INPUT -i virbr0 -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -i virbr0 -p tcp -m tcp --dport 53 -j ACCEPT
-A INPUT -i virbr0 -p udp -m udp --dport 67 -j ACCEPT
-A INPUT -i virbr0 -p tcp -m tcp --dport 67 -j ACCEPT
-A FORWARD -i virbr1 -o virbr1 -j ACCEPT
-A FORWARD -o virbr1 -j REJECT --reject-with icmp-port-unreachable
-A FORWARD -i virbr1 -j REJECT --reject-with icmp-port-unreachable
-A FORWARD -d 192.168.122.0/24 -o virbr0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -s 192.168.122.0/24 -i virbr0 -j ACCEPT
-A FORWARD -i virbr0 -o virbr0 -j ACCEPT
-A FORWARD -o virbr0 -j REJECT --reject-with icmp-port-unreachable
-A FORWARD -i virbr0 -j REJECT --reject-with icmp-port-unreachable
-A OUTPUT -o virbr1 -p udp -m udp --dport 68 -j ACCEPT
-A OUTPUT -o virbr0 -p udp -m udp --dport 68 -j ACCEPT
COMMIT
# Completed on Fri Mar 20 15:37:48 2015

Собственно на роутере настройки не трогались уже вообще почти год.

[ldv]

Денис Сафронов: вроде не запрещено
sudo traceroute -T -p 80 ya.ru что говорит?

[Денис Сафронов]

ldvldv: говорит, что traceroute не установлен. собственно установить его и не могу даже. есть только traceroute6 и tracepath.

[ldv]

Денис Сафронов: у вас на во внутренней сети ресурсы на 80 порту есть? Попробуйте wget на на них. Если получится, то дело в роутере.

[ldv]

Денис Сафронов: sudo traceroute6 -4 -T -p 80 ya.ru

[Денис Сафронов]

ldvldv: да, внутрянку получает. Саму эту машину из интернета видно. 31.132.161.76
А так да, тут провайдер с HP на Cisco переходит, может и с их стороны что... А это уже хреново )))

[Денис Сафронов]

ldvldv: traceroute6: invalid option -- '4'

[ldv]

Денис Сафронов: если доступность не важна. можно ip адреса поменять у хост машин (с той где работает на ту где не работает).

[Денис Сафронов]

ldvldv: так весь смысл именно в том, чтобы она была видна из сети. и чтоб все виртуалки её тоже из сети видны были (ну там уже nginx proxy).
Это сейчас полез VPN себе ещё сделать на ней, чтобы спокойнее сёрфилось из левых мест, а там такое.
Ладно, подожду, может провайдер там ещё чего у себя поменяет. Ибо там приколов хватает. Например я не могу сам к себе обращаться через внешний IP =) А так как роутер у меня ещё и Dasan, то вообще никто ничего не смог по-этому вопросу посоветовать, даже сам провайдер.

[ldv]

Денис Сафронов: или squid на виртуалке поднять, где все работает. И настроить чтобы apt через прокси ходил

[Денис Сафронов]

ldvldv: да не, это уже ад какой-то будет. подожду, если ничего не решится - буду дёргать админов провайдер. Ну просто как-то не круто, когда всё работает, а потом бац - и нет.

[ldv]

Денис Сафронов: поменять ip в смысле, чтобы проверить теорию, временно. Может проблема еще где-то.

[Денис Сафронов]

ldvldv: трабла точно в 80-ом порте. ssh по имени домена - приконнектился на ура. беда именно с 80-тым портом на машине. куда-то она начинает идти не туда...

[Денис Сафронов]

ldvldv: собственно, пока мы тут с вами беседы беседовали - всё взяло и заработало....
никаких правок в конфиги не вносил... всё просто само заработало. классный у меня провайдер )))

[ldv]

Денис Сафронов: ну и ладно )

Answer 1

[athacker]

Проблема не в apt, а в том, что у вас DNS-резолвинг отвалился. Проверяйте /etc/resolv.conf (или где там DNS-сервера на линухе прописываются) и потом проверяйте доступность прописанных в этом файле DNS-серверов. Можно сделать nslookpu ya.ru и потом выложить сюда результат выполнения для последующей диагностики, вместе с содержимым resolv.conf.

Comments

[Денис Сафронов]

Не, там проблема вообще с 80-тым портом из-за провайдерских настроек.
У меня хитрый роутер GPON-овский.
В общем, всё уже само решилось.
А так, если б это DNS был бы, то ping и tracepath по имени домена тоже не проходили бы.