Proxy suddenly blocking Google.com

Still a no go. 

Anyone have any ideas?

I am still on 7.504

C68

Update:
I added the exceptions but had to stop and start the proxy a few times before it "took". Not sure what is up with that. It appears to be working with the exceptions in there.  I would rather not have those exceptions in there as that list is getting a little long...

What do you see in the 'Content Filter (HTTP)' log?  Does the DNS log indicate any problems getting DNS?

Cheers - Bob

No issues with DNS.  As soon as I turn off the proxy it pops instantly.  The WF log says blocked due to my rules. Even with the exception in there is was blocking it until I restarted the proxy a few times. I am seeing a status code 502 on the  isc.sans.org site.  I am also seeing and SSL handshake error, but none of these sites are SSL.

C68

It has stopped working again.  Both for Google and ISC.Sans.org.

Now it is back up for Google.com. This is only like this in the proxy...

httpproxy[6721]: id="0002" severity="info" sys="SecureWeb" sub="http" name="web request blocked" action="block" method="GET" srcip="IP" user="my acount" statuscode="502" cached="0" profile="REF_chrbTpGucE (Local Network)" filteraction="REF_lifBohTaSR (My rules)" size="2253" time="63105 ms" request="0x9022d38" url="http://isc.sans.org/diary.html?storyid=8797&rss" exceptions="" error=""
2010:05:15-16:46:52 my network

Talk about a timeout...

What the heck?

I'm not seeing any problem.  What relative lines are in the log?

If I stop and restart the proxy...  the sites work for a few minutes then stop working. It is intermittent as heck. 

It took DNS .038 seconds for the DNS answer for isc.sans.org (Wireshark) But no page came up.

I added the log in my last post.

C68

too many timeouts resolving 'cffs01.astaro.com/AAAA' (in 'com'?): disabling EDNS
2010:05:15-16:24:55 my network named[3297]: too many timeouts resolving 'cffs01.astaro.com/AAAA' (in 'com'?): disabling EDNS
2010:05:15-16:24:56 my network named[3297]: too many timeouts resolving 'cffs01.astaro.com/AAAA' (in 'com'?): disabling EDNS
2010:05:15-16:24:56 my network named[3297]: too many timeouts resolving 'cffs01.astaro.com/AAAA' (in 'com'?): disabling EDNS
2010:05:15-16:24:57 my network named[3297]: too many timeouts resolving 'cffs01.astaro.com/AAAA' (in 'com'?): disabling EDNS
2010:05:15-16:24:57 my network named[3297]: too many timeouts resolving 'cffs01.astaro.com/AAAA' (in 'com'?): disabling EDNS
2010:05:15-16:24:58 my network named[3297]: too many timeouts resolving 'cffs01.astaro.com/AAAA' (in 'com'?): disabling EDNS
2010:05:15-16:24:58 my network named[3297]: too many timeouts resolving 'cffs01.astaro.com/AAAA' (in 'com'?): disabling EDNS
2010:05:15-16:24:59 my network named[3297]: too many timeouts resolving 'cffs01.astaro.com/AAAA' (in 'com'?): disabling EDNS
2010:05:15-16:24:59 my network named[3297]: too many timeouts resolving 'cffs01.astaro.com/AAAA' (in 'com'?): disabling EDNS
2010:05:15-16:25:00 my network named[3297]: too many timeouts resolving 'cffs01.astaro.com/AAAA' (in 'com'?): disabling EDNS
2010:05:15-16:25:00 my network named[3297]: too many timeouts resolving 'cffs01.astaro.com/AAAA' (in 'com'?): disabling EDNS
2010:05:15-16:25:01 my network named[3297]: too many timeouts resolving 'cffs01.astaro.com/AAAA' (in 'com'?): disabling EDNS
2010:05:15-16:25:01 my network named[3297]: too many timeouts resolving 'cffs01.astaro.com/AAAA' (in 'com'?): disabling EDNS
2010:05:15-16:25:02 my network named[3297]: too many timeouts resolving 'cffs01.astaro.com/AAAA' (in 'com'?): disabling EDNS
2010:05:15-16:25:02 my network named[3297]: too many timeouts resolving 'cffs01.astaro.com/AAAA' (in 'com'?): disabling EDNS
2010:05:15-16:25:03 my network named[3297]: too many timeouts resolving 'cffs01.astaro.com/AAAA' (in 'com'?): disabling EDNS
2010:05:15-16:25:03 my network named[3297]: too many timeouts resolving 'cffs01.astaro.com/AAAA' (in 'com'?): disabling EDNS
2010:05:15-16:25:04 my network named[3297]: too many timeouts resolving 'cffs01.astaro.com/AAAA' (in 'com'?): disabling EDNS
2010:05:15-16:25:04 my network named[3297]: too many timeouts resolving 'cffs01.astaro.com/AAAA' (in 'com'?): disabling EDNS
2010:05:15-16:25:05 my network named[3297]: too many timeouts resolving 'cffs01.astaro.com/AAAA' (in 'com'?): disabling EDNS
2010:05:15-16:25:05 my network named[3297]: too many timeouts resolving 'cffs01.astaro.com/AAAA' (in 'com'?): disabling EDNS
2010:05:15-16:25:06 my network named[3297]: too many timeouts resolving 'cffs01.astaro.com/AAAA' (in 'com'?): disabling EDNS

The last one listed here was an hour ago...but the issue remains. I took a look at my DNS logs and it seems that this is the only day with lots of Astaro timeouts. Some days have some stuff for sites, but nothing like todays log.  This is a tiny snipit of the astaro.com stuff. 

I also have tons of:

too many timeouts resolving 'wontresolve.doesntexist.abc.dyndns.org/A' (in '.'?): disabling EDNS

I added all the cffs servers to my do not block PF rule.  It has not helped.  It is a timeout issue that is random. isc.sans.org is worse then Google.com. It is stating to show up with other sites (Like eBay) as well...and becoming annoying. 

This seems to be an issue with Astaro... I have seen other post with this issue but I have not seen a resolution other then it just goes away.  I have rebooted and will do so again, but do not expect it to help.

Any ideas from the think tank? 

C68

What happens if you replace the forwarders in the DNS Proxy with those for OpenDNS?

Cheers - Bob

DNS seems to be fast based on wireshark... its just the sites that time out. But I will try it... over half of the sites I go to are not working. Including this one.  I have to turn off the proxy to get here to post. 

Unchecking the use ISP forwarders does not give me an option to write in my own... How exactly do I do that? Routs?
Are forwarders just DNS servers? Like 4.2.2.2 and 4.2.2.1?

C68

I have thousands of entries in my DNS log for timeouts to the astaro content filters... 

That seems to be an issue as older logs do not have much if any of this. 

I can ping them though... that is what is odd. Some are a bit slow but most are somewhat fast. cffs02.astaro.com does not respond.

PING cffs01.astaro.com (213.144.15.6) 56(84) bytes of data.
64 bytes from imap.astaro.com (213.144.15.6): icmp_seq=1 ttl=49 time=128 ms
64 bytes from imap.astaro.com (213.144.15.6): icmp_seq=2 ttl=49 time=129 ms
64 bytes from imap.astaro.com (213.144.15.6): icmp_seq=3 ttl=49 time=129 ms
^C
--- cffs01.astaro.com ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 2006ms
rtt min/avg/max/mdev = 128.807/129.012/129.120/0.327 ms
:~$ ping cffs02.astaro.com
PING cffs02.astaro.com (217.114.76.122) 56(84) bytes of data.
^C
--- cffs02.astaro.com ping statistics ---
9 packets transmitted, 0 received, 100% packet loss, time 7999ms
:~$ ping cffs03.astaro.com
PING cffs03.astaro.com (74.200.200.122) 56(84) bytes of data.
64 bytes from ussc1.astaro.com (74.200.200.122): icmp_seq=1 ttl=54 time=58.7 ms
64 bytes from ussc1.astaro.com (74.200.200.122): icmp_seq=2 ttl=54 time=58.8 ms
64 bytes from ussc1.astaro.com (74.200.200.122): icmp_seq=3 ttl=54 time=59.1 ms
64 bytes from ussc1.astaro.com (74.200.200.122): icmp_seq=4 ttl=54 time=58.2 ms
^C
--- cffs03.astaro.com ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3015ms
rtt min/avg/max/mdev = 58.236/58.728/59.154/0.328 ms
:~$ ping cffs04.astaro.com
PING cffs03.astaro.com (74.200.200.122) 56(84) bytes of data.
64 bytes from ussc1.astaro.com (74.200.200.122): icmp_seq=1 ttl=54 time=58.3 ms
64 bytes from ussc1.astaro.com (74.200.200.122): icmp_seq=3 ttl=54 time=58.1 ms
64 bytes from ussc1.astaro.com (74.200.200.122): icmp_seq=4 ttl=54 time=58.2 ms
^C
--- cffs03.astaro.com ping statistics ---

PING cffs09.astaro.com (62.248.103.10) 56(84) bytes of data.
64 bytes from 62.248.103.10: icmp_seq=1 ttl=45 time=157 ms
64 bytes from 62.248.103.10: icmp_seq=2 ttl=45 time=156 ms
64 bytes from 62.248.103.10: icmp_seq=3 ttl=45 time=228 ms
^C64 bytes from 62.248.103.10: icmp_seq=4 ttl=45 time=157 ms

--- cffs09.astaro.com ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 17080ms
rtt min/avg/max/mdev = 156.866/175.089/228.087/30.602 ms

PING cffs09.astaro.com (62.248.103.10) 56(84) bytes of data.
64 bytes from 62.248.103.10: icmp_seq=1 ttl=45 time=157 ms
64 bytes from 62.248.103.10: icmp_seq=2 ttl=45 time=156 ms
64 bytes from 62.248.103.10: icmp_seq=3 ttl=45 time=228 ms
^C64 bytes from 62.248.103.10: icmp_seq=4 ttl=45 time=157 ms

--- cffs09.astaro.com ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 17080ms
rtt min/avg/max/mdev = 156.866/175.089/228.087/30.602 ms

Compare these ping times to a site that is working correctly:

 ping yahoo.com
PING any-fp.wa1.b.yahoo.com (67.195.160.76) 56(84) bytes of data.
64 bytes from ir1.fp.vip.ac4.yahoo.com (67.195.160.76): icmp_seq=1 ttl=54 time=32.7 ms
64 bytes from ir1.fp.vip.ac4.yahoo.com (67.195.160.76): icmp_seq=2 ttl=54 time=41.7 ms
64 bytes from ir1.fp.vip.ac4.yahoo.com (67.195.160.76): icmp_seq=3 ttl=54 time=32.2 ms
64 bytes from ir1.fp.vip.ac4.yahoo.com (67.195.160.76): icmp_seq=4 ttl=54 time=33.0 ms
64 bytes from ir1.fp.vip.ac4.yahoo.com (67.195.160.76): icmp_seq=5 ttl=54 time=32.8 ms

--- any-fp.wa1.b.yahoo.com ping statistics ---
5 packets transmitted, 5 received, 0% packet loss, time 4023ms
rtt min/avg/max/mdev = 32.272/34.530/41.730/3.610 ms

Ideally, I think your installation only consults the astaro server with the fastest response; about every ten minutes, it pings these servers to decide which one it should use.  My guess now would be that your ISP's name servers have/had a problem.  I've been using OpenDNS since Cox started DNS hijacking which caused problems with email being incorrectly rejected.

Cheers - Bob