Watchtower - Could not do a head request for ...

[Huhie]

Moin Zusammen,
ich habe ein ziemlich merkwürdiges Problem mit Watchtower.

Insgesamt die selbe Config auf 3 Syno´s. Auf Zweien funktioniert alles einwandfrei.

Auf der Dritten bekomme ich beim Überprüfungsprozess folgende Fehlermeldung. Wie gesagt
auf zwei anderen läuft das einwandfrei...

Could not do a head request for "ghcr.io/alexjustesen/speedtest-tracker:latest", falling back to regular pull.
Reason: Get "https://ghcr.io/v2/": dial tcp: lookup ghcr.io on 192.168.40.1:53: read udp 192.168.40.10:51325->192.168.40.1:53: i/o timeout

Kann mir jemand sagen, was der Fehler ist?

Danke

 

[haydibe]

Timeout bei der Namensauflösung von ghcr.io bei deinem DNS-Resolver mit der 192.168.40.1.

Kannst Du den Namen den Grundsätzlich in einem SSH Terminal auf der Kiste auflösen?
Das kannst Du mit dem Befehl nslookup ghcr.io mit dem im System hinterlegten DNS-Resolver (den auch Watchtower verwendet) testen.
Und ggf. auch noch mal mit einem anderen DNS-Resolver: nslookup ghcr.io 1.1.1.1 (statt die 1.1.1.1 von Cloudflare kannst Du natürlich auch 8.8.8.8 von Google oder irgendeinen anderen verwenden).

 

[Huhie]

Moin @haydibe

vielen Dank für die schnelle Rückmeldung.

Wenn ich ein SSH aufbaue und den Befehl eingebe bekomme ich folgende Antwort:
nslookup ghcr.io
Server: 192.168.40.1
Address: 192.168.40.1#53

Non-authoritative answer:
Name: ghcr.io
Address: 140.82.121.33

oder
nslookup ghcr.io 1.1.1.1
Server: 1.1.1.1
Address: 1.1.1.1#53

Non-authoritative answer:
Name: ghcr.io
Address: 140.82.121.34

Sieht für mich beides i.O. aus...

Oder übersehe ich was?

 

[Adama]

Das findet man bei Watchtower selber dazu:
https://containrrr.dev/watchtower/arguments/#head_failure_warnings

 

[haydibe]

Beide nslookup Abfragen sehen gut aus Die unterschiedlich aufgelösten IPs kommen vermutlich von dem Loadbalancer der vor dem Service hängt.

Jetzt ist die Frage, warum der DNS-Resolver von Watchtower aus nicht erreichbar war.
Blockiert hier evtl die Firewall, oder verwendet Watchtower ein macvlan Netzwerk und der DNS-Resolver ist zufällige die Syno selbst, oder ein Container der im Bridge-Mode auf der Syno läuft?

Man könnte hier auch mal schauen was nslookup aus Sicht des Watchtower-Containers sagt:

docker run --rm --net container:watchtower nicolaka/netshoot nslookup ghcr.io

Ich habe mal die Annahme getroffen, dass Dein Watchtower-Container auch "watchtower" heisst, ansonsten musst Du den Containernamen bei --net container: durch den abweichenden Namen ersetzen.

 

[Huhie]

Moin Zusammen,
ich werde mich dem Thema morgen früh mal annehmen und dann berichten.

Der Container "Watchtower" welcher den Fehler auswirft, läuft in einer Bridge auf der Syno. Aber ein MacVlan ist auch installiert,
aber da laufen andere Container drüber.

Die Firewall habe ich testweise mal deaktiviert. Die Fehlermeldung kam heute Morgen wieder.

Ich schaue morgen früh nochmal... ein großes Danke schon mal...

 

[haydibe]

ber ein MacVlan ist auch installiert,
aber da laufen andere Container drüber.

Aber hier läuft nicht zufällig der DNS-Resolver den Watchtower versucht zu verwenden, oder?

 

[Huhie]

Ich habe Unbound und PiHole im MacVlan laufen. Diese werden aber nicht aktiv vorgegeben, sondern nur ein zwei Endgeräte nutzen unbound mit pihole. Die Fritz!Box nimmt die vorgegebenen DNS Server…

Ich hoffe das meinst Du…

 

[plang.pl]

Wenn der Watchtower nicht im Macvlan läuft, kann er den unbound und pihole nicht erreichen

 

[Huhie]

der geht eigentlich auch direkt raus…

 

[plang.pl]

192.168.40.1:53: read udp 192.168.40.10:51325
Was ist das? Ersteres ist die Fritte, oder? Und zweiteres?

 

[Huhie]

erstes ist die Fritz!Box 40.1
die syno hat die 40.10

 

[plang.pl]

Und warum Port 51325? Kannst du dir das erklären? Und wieso wird die gefragt, wenn unbound + pihole doch im Macvlan ist?

 

[Huhie]

So, moin nochmal...

also folgendes

Fritz!Box 192.168.40.1
Syno 192.168.40.10

Der Port 51325 ist mir unbekannt und habe ich in meiner DockerCompose Datei nicht verwendet. Ich wüsste aktuell auch nicht
welches Programm oder Tool diesen Port auf der Syno nutzt.

Der PiHole und Unbound laufen wie gesagt im MacVlan mit einer anderen IP Adresse.

In der Fritz!Box ist der vom Provider angegebene DNS Server eingetragen. Pi Hole und Unbound wird nur von drei Endgeräten genutzt
in welche ich das manuell in die Netzwerk Konfiguration eingetragen habe.

Die Firewall habe ich zu Testzwecken ausgeschaltet.

Die Syno habe ich schon neu gestartet.

Ich bin mit meinem Latein tatsächlich am Ende...

 

[haydibe]

Verstanden: die Syno ist so eingerichtet, dass sie nur die Syno als DNS Server verwendet (auch wenn es stark danach aussieht, als wenn da nocht etwas anderes konfiguriert wurde).

Denkst Du bitte noch daran diesen Post zu beantworten: https://www.synology-forum.de/threads/watchtower-could-not-do-a-head-request-for.130168/post-1118748