Jak sprawić, by Java przestrzegała limitu czasu buforowania DNS?

Używamy GSLB do dystrybucji geograficznej i równoważenia obciążenia. Każda usługa ma przypisaną stałą nazwę domeny. Dzięki magii DNS nazwa domeny jest przekształcana na adres IP, który jest najbliżej serwera z najmniejszym obciążeniem. Aby równoważenie obciążenia działało, serwer aplikacji musi uwzględniać TTL z odpowiedzi DNS i ponownie rozpoznać nazwę domeny po przekroczeniu limitu czasu pamięci podręcznej. Jednak nie mogłem znaleźć sposobu, aby to zrobić w Javie.

Aplikacja jest napisana w Javie 5, działającej na Linuksie (Centos 5).

Zgodnie z odpowiedzią Byrona nie można ustawić networkaddress.cache.ttlani networkaddress.cache.negative.ttljako właściwości systemu za pomocą -Dflagi lub wywołania, System.setPropertyponieważ nie są to właściwości systemu - są to właściwości zabezpieczeń .

Jeśli chcesz użyć właściwości System do wyzwalania tego zachowania (abyś mógł użyć -Dflagi lub wywołania System.setProperty), będziesz chciał ustawić następującą właściwość System :

-Dsun.net.inetaddr.ttl=0

Ta właściwość systemowa zapewni pożądany efekt.

Ale pamiętaj: jeśli nie użyjesz -Dflagi podczas uruchamiania procesu JVM i zamiast tego wybierzesz wywołanie tego z kodu:

java.security.Security.setProperty("networkaddress.cache.ttl" , "0")

Ten kod musi zostać wykonany, zanim jakikolwiek inny kod w maszynie JVM spróbuje wykonać operacje sieciowe.

Jest to ważne, ponieważ, na przykład, gdybyś Security.setPropertywywołał plik .war i wdrożył go na serwerze Tomcat, to nie zadziała: Tomcat używa stosu sieciowego Java do inicjalizacji znacznie wcześniej niż kod .war jest wykonywany. Z powodu tego „wyścigu” zwykle wygodniej jest używać -Dflagi podczas uruchamiania procesu JVM.

Jeśli nie używasz -Dsun.net.inetaddr.ttl=0lub nie dzwonisz Security.setProperty, będziesz musiał edytować $JRE_HOME/lib/security/java.securityi ustawić te właściwości zabezpieczeń w tym pliku, np

networkaddress.cache.ttl = 0
networkaddress.cache.negative.ttl = 0

Zwróć jednak uwagę na ostrzeżenia dotyczące bezpieczeństwa w komentarzach dotyczących tych nieruchomości. Rób to tylko wtedy, gdy masz wystarczającą pewność, że nie jesteś podatny na ataki polegające na spoofingu DNS .

Java ma bardzo dziwne zachowanie buforowania DNS. Najlepiej jest wyłączyć buforowanie dns lub ustawić go na jakąś niską liczbę, na przykład 5 sekund.

networkaddress.cache.ttl (domyślnie: -1)
Wskazuje zasady buforowania dla pomyślnego wyszukiwania nazw w usłudze nazw. Wartość jest określana jako liczba całkowita, aby wskazać liczbę sekund buforowania pomyślnego wyszukiwania. Wartość -1 oznacza „pamięć podręczną na zawsze”.

networkaddress.cache.negative.ttl (domyślnie: 10)
Wskazuje strategię buforowania dla nieudanych wyszukiwań nazw w usłudze nazw. Wartość jest określana jako liczba całkowita, aby wskazać liczbę sekund buforowania niepowodzenia w przypadku niepowodzeń wyszukiwania. Wartość 0 oznacza „nigdy nie buforuj”. Wartość -1 oznacza „pamięć podręczną na zawsze”.

• http://java.sun.com/j2se/1.4.2/docs/api/java/net/InetAddress.html

Zostało to oczywiście naprawione w nowszych wersjach (SE 6 i 7). Maksymalny czas buforowania wynosi 30 sekund podczas uruchamiania następującego fragmentu kodu podczas oglądania aktywności portu 53 przy użyciu tcpdump.

/**
 * http://stackoverflow.com/questions/1256556/any-way-to-make-java-honor-the-dns-caching-timeout-ttl
 *
 * Result: Java 6 distributed with Ubuntu 12.04 and Java 7 u15 downloaded from Oracle have
 * an expiry time for dns lookups of approx. 30 seconds.
 */

import java.util.*;
import java.text.*;
import java.security.*;

import java.net.InetAddress;
import java.net.UnknownHostException;
import java.io.BufferedReader;
import java.io.InputStreamReader;
import java.io.InputStream;
import java.net.URL;
import java.net.URLConnection;

public class Test {
    final static String hostname = "www.google.com";
    public static void main(String[] args) {
        // only required for Java SE 5 and lower:
        //Security.setProperty("networkaddress.cache.ttl", "30");

        System.out.println(Security.getProperty("networkaddress.cache.ttl"));
        System.out.println(System.getProperty("networkaddress.cache.ttl"));
        System.out.println(Security.getProperty("networkaddress.cache.negative.ttl"));
        System.out.println(System.getProperty("networkaddress.cache.negative.ttl"));

        while(true) {
            int i = 0;
            try {
                makeRequest();
                InetAddress inetAddress = InetAddress.getLocalHost();
                System.out.println(new Date());
                inetAddress = InetAddress.getByName(hostname);
                displayStuff(hostname, inetAddress);
            } catch (UnknownHostException e) {
                e.printStackTrace();
            }
            try {
                Thread.sleep(5L*1000L);
            } catch(Exception ex) {}
            i++;
        }
    }

    public static void displayStuff(String whichHost, InetAddress inetAddress) {
        System.out.println("Which Host:" + whichHost);
        System.out.println("Canonical Host Name:" + inetAddress.getCanonicalHostName());
        System.out.println("Host Name:" + inetAddress.getHostName());
        System.out.println("Host Address:" + inetAddress.getHostAddress());
    }

    public static void makeRequest() {
        try {
            URL url = new URL("http://"+hostname+"/");
            URLConnection conn = url.openConnection();
            conn.connect();
            InputStream is = conn.getInputStream();
            InputStreamReader ird = new InputStreamReader(is);
            BufferedReader rd = new BufferedReader(ird);
            String res;
            while((res = rd.readLine()) != null) {
                System.out.println(res);
                break;
            }
            rd.close();
        } catch(Exception ex) {
            ex.printStackTrace();
        }
    }
}

Aby rozwinąć odpowiedź Byrona, uważam, że musisz edytować plik java.securityw %JRE_HOME%\lib\securitykatalogu, aby wprowadzić tę zmianę.

Oto odpowiednia sekcja:

#
# The Java-level namelookup cache policy for successful lookups:
#
# any negative value: caching forever
# any positive value: the number of seconds to cache an address for
# zero: do not cache
#
# default value is forever (FOREVER). For security reasons, this
# caching is made forever when a security manager is set. When a security
# manager is not set, the default behavior is to cache for 30 seconds.
#
# NOTE: setting this to anything other than the default value can have
#       serious security implications. Do not set it unless 
#       you are sure you are not exposed to DNS spoofing attack.
#
#networkaddress.cache.ttl=-1 

Dokumentacja do java.securityakt tutaj .

Podsumowując inne odpowiedzi, <jre-path>/lib/security/java.securitymożesz ustawić wartość właściwości, networkaddress.cache.ttlaby dostosować sposób buforowania wyszukiwania DNS. Należy zauważyć, że nie jest to właściwość systemowa, ale właściwość zabezpieczeń. Mogłem to ustawić za pomocą:

java.security.Security.setProperty("networkaddress.cache.ttl", "<value>");

Można to również ustawić we właściwości systemowej -Dsun.net.inetaddr.ttl chociaż nie spowoduje to zastąpienia właściwości zabezpieczeń, jeśli zostanie ustawiona w innym miejscu.

Chciałbym również dodać, że jeśli widzisz ten problem z usługami WWW w WebSphere, tak jak ja, ustawienie networkaddress.cache.ttlnie wystarczy. Musisz ustawić właściwość systemową disableWSAddressCachingna true. W przeciwieństwie do właściwości czasu wygaśnięcia można ją ustawić jako argument maszyny JVM lub za pośrednictwem System.setProperty).

IBM ma dość szczegółowe post jak WebSphere uchwyty buforowanie DNS tutaj . Odpowiedni fragment do powyższego to:

Aby wyłączyć buforowanie adresów dla usług WWW, należy ustawić dodatkową właściwość niestandardową JVM disableWSAddressCaching na wartość true. Użyj tej właściwości, aby wyłączyć buforowanie adresów dla usług internetowych. Jeśli system zazwyczaj działa z wieloma wątkami klienta i napotkasz rywalizację o blokady w pamięci podręcznej wsAddrCache, możesz ustawić tę właściwość niestandardową na wartość true, aby zapobiec buforowaniu danych usług sieci Web.

Zgodnie z oficjalnymi właściwościami java Oracle , sun.net.inetaddr.ttljest to właściwość specyficzna dla implementacji firmy Sun, która „może nie być obsługiwana w przyszłych wersjach”. „preferowanym sposobem jest użycie zabezpieczenia” networkaddress.cache.ttl.