2026-05-18 DNS- und HTTP-Client-Cache nach ProxyMac-Mac-mini-Regionswechsel: wenn APIs noch den falschen POP verlassen

Sie haben den Standard-SSH-Zugang von einem gemieteten Mac mini M4 in Tokio nach Singapur verlegt oder ssh -D-SOCKS gemäß Proxy-Exit-Node-Mustern rotiert—dennoch zeigen Anbieter-Dashboards weiter JP-POP-Header, Latenz-Histogramme wandern nicht westwärts, und QA behauptet, „die Regionsflagge hat sich nicht gedreht“. Die mini lügt nicht: Ihr Laptop-Resolver und HTTP-Stack haben das alte Universum gecacht. Dieser Leitfaden liefert (1) ein Zielgruppenfilter für Teams, die Pfadwechsel belegen müssen, (2) eine Symptommatrix, die DNS-TTL-Mythen von warmen HTTP/2-Pools trennt, (3) einen vierstufigen Cache-Kuchen (OS, Browser, Sprach-Runtime, negatives DNS), (4) ein neunstufiges Flush-Runbook mit numerischen Leitplanken, (5) kopierbare curl --resolve-Belege, (6) Fallstricke bei OpenClaw-Unternehmens-HTTP_PROXY, wenn DNS und HTTP_PROXY divergieren, plus Stolpersteine rund um HTTPSVC und negatives Caching. Abgleichen Sie vor Anbieter-Tickets Split-DNS-Resolverfehler und IPv6 Happy Eyeballs. Pfadauswahl: MTR-Regionsdiagnose; SKUs: Preise; SSH-Belege: Hilfe.

Wer DNS- und HTTP-Caches nach einem ProxyMac-Regionswechsel aktiv leeren muss

Jeder, dessen Erfolgskriterien HTTP-Antwortheader (cf-ray, x-amz-cf-pop, server-timing), an alte Kanten gebundene TLS-Sessiontickets oder SaaS-Admin-Oberflächen mit aus dem Resolver-Pfad abgeleitetem Herkunftsland umfassen—nicht nur „SSH-Latenz gesunken“. Wenn Sie die mini nur gepingt und nie öffentliche APIs über SOCKS oder Split-Tunnel-VPN aufgerufen haben, können Sie diesen Leitfaden überspringen; wenn Sie CDN- oder LLM-Kanten vom Laptop benchmarken, während die mini umgezogen ist, lesen Sie weiter.

• Quantitatives Gate: Wenn curl -s https://ipinfo.io/json das neue Land zeigt, curl -sI https://api.vendor.example aber innerhalb von 10 Minuten weiter einen POP-Code vom vorherigen Kontinent druckt, liegt ein Client-Cache-Problem vor—kein ProxyMac-Routingdefekt.
• Automatisierungs-Gate: CI-Runner mit langlebigen Node- oder Python-Prozessen erben In-Process-DNS-Pools; nach Regionsrotation explizit recyceln.
• Sicherheits-Gate: Unternehmens-DNS-over-HTTPS-Profile auf macOS können Ihren mini-Umzug übersteuern, bis der VPN-Client die Policy aktualisiert—siehe Resolver-Artikel.

Symptommatrix: falscher POP, aber HTTP 200 und „gesunde“ Pings

Beobachtung	Wahrscheinliche Schicht	Erste Maßnahme
dig zeigt neue AAAA, Anbieter-Header noch alter POP	HTTP/2-Connection-Pool oder TLS-Session-Cache	Browserprofil neu starten oder einmalig --http1.1 für neuen TCP erzwingen
dig zeigt Sekunden nach TTL-Ablauf noch alten RRSet	mDNSResponder / OS-Cache	Resolver-Cache wo erlaubt leeren; mit dscacheutil -q host -a name api.vendor.example prüfen
Nur Java/JVM-Dienste falsch; curl korrekt	JVM-InetAddress-Cache	Nur Test-JVMs networkaddress.cache.ttl=0; Dienst neu starten
Intermittierendes NXDOMAIN nach Tippfehler-Korrektur	Negatives Caching	Negatives TTL abwarten oder Resolver temporär wechseln

Schichtkuchen: OS-Resolver vs. Browser vs. Runtime vs. Connection Pools

Moderne Stacks lösen Namen mehrfach pro Prozesslebenszeit. Unter macOS cached mDNSResponder positive und negative Antworten gemäß RR-TTL und Plattformrichtlinie. Chromium-basierte Browser fügen eine weitere Cache-Stufe hinzu und nutzen QUIC- oder HTTP/3-Sessions erneut, wenn UDP-Pfade den Regionswechsel überleben. Nodes dns.lookup ruft getaddrinfo ggf. nur einmal pro Pool auf, sofern keine lookup-Hooks konfiguriert sind. OpenClaw-Gateways, die einen einzigen fetch- oder undici-Pool wiederverwenden, tragen dasselbe Risiko—starten Sie nach mini-Migration den Gateway-Prozess neu, damit ausgehende TLS-Handshakes an die neue Resolver-Sicht binden, insbesondere zusammen mit Unternehmens-HTTP_PROXY-Kodierung in der plist.

Neunstufiges Cache-Flush-Runbook

1. Baseline-Header: curl -sI für drei Anbieter-Endpunkte erfassen, bevor Sie DNS anfassen.
2. SSH-Pfad beweisen: per SSH scutil --get ComputerName auf der richtigen mini—nicht nur Prompt-Text.
3. Resolver-Flush: auf unterstützten macOS-Builds den dokumentierten, von der Security freigegebenen Flush-Befehl ausführen—keine Admin-Passwörter in Tickets raten.
4. Browser-Kaltstart: Chromium/Firefox/Safari vollständig beenden; „Fenster erneut öffnen“ für einen Zyklus deaktivieren.
5. SOCKS-Rebind: alte ssh -D-PIDs beenden; mit lsof -nP -iTCP:1080 prüfen, dann neuen Tunnel gemäß SSH-Stabilitätsleitfaden öffnen.
6. Runtime-Recycle: Node-, Python- oder JVM-Worker in CI neu starten—nicht nur die Job-Shell.
7. Kontrollexperiment: curl --resolve (nächster Abschnitt) nutzen, um Erreichbarkeit der Anbieterkante von der neuen IP-Klasse zu belegen.
8. Soak: 200 sequenzielle HTTPS-Sonden mit 2 r/s fahren und POP-Codes auf Konvergenz prüfen.
9. Rollback-Notiz: wenn Flush Captive Portals bricht, VPN-Reconnect-Reihenfolge gemäß Gast-Wi-Fi-Leitfaden dokumentieren.

curl --resolve- und dscacheutil-Rezepte

Wenn Sie veraltete Antworten ohne Bearbeitung von /etc/hosts umgehen wollen, pinnen Sie die autoritative IP für einen einzelnen Befehl:

curl -v --resolve api.vendor.example:443:203.0.113.44 https://api.vendor.example/healthz

Kombinieren Sie mit dscacheutil -q host -a name api.vendor.example unter macOS, um zu drucken, was der Userland-Cache jetzt glaubt. Wenn dscacheutil mit dig @8.8.8.8 uneinig ist, steuert noch Split-Tunnel-VPN oder DoH-Client—zurück zu Resolver-Triage.

OpenClaw und ausgehende HTTP-Clients: Cache-Fallen hinter launchd

LaunchAgents für Modell-APIs halten oft einen undici- oder axios-Agenten stundenlang am Leben. Nach Regionsmigration kann der Prozess weiter DNS-Antworten vom Boot wiederverwenden, bis Sie den Event-Loop-Worker recyceln. Kombinieren Sie Recycle mit expliziter NO_PROXY-Hygiene aus dem HTTP-Proxy-launchd-Artikel, damit localhost-MCP-Verkehr keine veralteten Unternehmens-Resolver-Pfade erbt.

Fallstricke: negatives Caching, SVCB/HTTPS-Records und Anycast-Drift

NXDOMAIN wird negativ gecacht—der erste Tippfehler vergiftet Minuten lang Automatisierung. Neue HTTPS-RR-Typen können Clients zu QUIC-Endpunkten lenken, die von A-Records abweichen; wer nur A/AAAA beobachtet, jagt Geister. Anycast-Fronts können TCP-Sessions trotz BGP-Wechsel an entfernten POPs festhalten—nur eine neue Verbindung bewegt Bewegung.

dig api.vendor.example HTTPS +short

FAQ

Reicht auf ProxyMac beim Wechsel von JP nach SG allein das Warten auf DNS-TTL? Autoritatives TTL steuert die globale Verbreitung, aber Laptops behalten lokale Caches und warme HTTP-Pools. Schichten nacheinander leeren statt nur TTL abzuwarten.

Warum zeigt curl die neue Region, Chrome aber noch das alte CDN-Land? Unterschiedliche Stacks: curl öffnet oft frische TCP-Verbindungen, Chrome nutzt HTTP/2- oder QUIC-Sessions an der alten Kante weiter.

Ist curl --resolve für Produktions-Smoketests sicher? Diagnose-Override pro Befehl—gut für Beweise, unsicher dauerhaft in Automatisierung ohne Rotationsüberwachung.

Warum ProxyMac Mac mini der richtige Anker für regionsübergreifende Cache-Experimente ist

Gemietete Mac mini M4 in HK / JP / KR / SG / US liefern vorhersagbare Egress-IP-Klassen pro Region, damit Sie POP-Header mit Geografie korrelieren können, native macOS-Resolver wie auf Entwickler-Laptops und Single-Tenant-CPU für lange curl-Soaks ohne Noisy Neighbors. Ist die Cache-Mathematik hier validiert, heben Sie dieselben Playbooks über preistransparente zweite Knoten statt auf flüchtige CI-IPs zu raten.