IPSet: заполнение, истечение

[AltGrF13]

Давно обещал дополнительно проверить истечение таймаутов и работу в целом. После #225 появились новые механизмы доработки (часть из которых заводил под проблему ttl), поэтому начнём.

[AltGrF13]

Динамическое заполнение при отсутствии в ipset

А. Сделаем

/opt/etc/init.d/S56dnsmasq restart
kvas ipset flush
ipset list KVAS_LIST | grep 81.90.181.105

Записи myip2.ru нет. Всё хорошо.

Б. Кинем с пользовательского устройства nslookup myip2.ru, запись в IPSet появляется. Всё хорошо.

В. Удалим

ipset del KVAS_LIST 81.90.181.105

На пользовательском устройстве ipconfig /flushdns, новый NSLookup — и ничего. Записи нет, она должна заполняться, но этого не происходит.

Г. Перезапустим

/opt/etc/init.d/S56dnsmasq restart
kvas ipset

Видим, что ipset при перезапуске не сбрасывается. Но в этот раз после nslookup myip2.ru, запись в IPSet появляется. Всё хорошо.

Но новый прогон опять спотыкается на В. Пока не перезапустишь. При перезапуске происходит сброс кэша. Проверим эту теорию, отключим cache-size=0 и снова прогоним А–В. «В» начинает заполняться стабильно!

Вывод: если DNSMasq берёт запись из кэша, то он не производит заполнение ipset. В нём надо будет отключить, в DNSCrypt включить. К сожалению, на режиме crypt off это скажется отрицательно (большая часть DNS вне кэша). А жаль, потому что именно он сейчас позволяет жить с IPv6 интернетом.

Можно запускать два процесса DNSCrypt (ну или более лёгковесный stubby), каждый на своём порту. Один бы ловил запросы списка (где обрезал бы IPv6), другой этого бы не делал (для остального интернета). Оба бы кэшировали DNS. Но эта фантазия точно не относится к релизу.

UPD. Что означает этот параметр DNSMasq, ибо текст документации не однозначен.

  /* Return the Max TTL value if it is lower than the actual TTL */
  if (daemon->max_ttl == 0 || ((unsigned)(crecp->ttd - now) < daemon->max_ttl))
    return crecp->ttd - now;
  else
    return daemon->max_ttl;

[AltGrF13]

Заполнение при истечении ttl

ipset -exist add KVAS_LIST 81.90.181.105 timeout 10000
ipset list KVAS_LIST | grep 81.90.181.105
81.90.181.105 timeout 9997

С пользовательского устройства делаем

ipconfig /flushdns
nslookup myip2.ru

Снова на роутере

ipset list KVAS_LIST | grep 81.90.181.105
81.90.181.105 timeout 86397

Вывод: проблема не подтверждена! Даже если запись в ipset близка к истечению, новый DNS-запрос запускает отсчёт заново, продляет ttl.

[qzeleza]

Благодарю Вас.
PR внес в основной код, выпущена версия 1.1.9 beta10-3

[AltGrF13]

Снова прогнал все тесты, всё отлично