WCM Forum - routing-probleme

WCM Forum (http://www.wcm.at/forum/index.php)

- Linux, UNIX, Open Source (http://www.wcm.at/forum/forumdisplay.php?f=13)

- - routing-probleme (http://www.wcm.at/forum/showthread.php?t=85131)

jonix

21.01.2003 13:06

routing-probleme

woran kann folgendes phaenomen liegen, wenn beide adressen von anderen internetanschluessen aus problemlos funktionieren, nicht aber von unserer xdsl-standleitung aus ueber den suse-router:

Code:

C:\Dokumente und Einstellungen\jonix>tracert www.webquake.com



Routenverfolgung zu www.webquake.com [213.229.18.149]  über maximal 30 Abschnitte:



  1    <1 ms    <1 ms    <1 ms  cerberos.0.168.192.in-addr.arpa [192.168.0.253]

  2     1 ms     1 ms     1 ms  bla.bla.bla.bla.Xdsl-line.inode.at [bla.bla.bla.bla]

  3    11 ms    10 ms    10 ms  bla.bla.bla.bla.Xdsl-line.inode.at [bla.bla.bla.bla]

  4    22 ms    15 ms    15 ms  heaven.inode.at [195.58.172.148]

  5    16 ms    15 ms    20 ms  leo.graz.inode.at [195.58.190.1]

  6    29 ms    24 ms    26 ms  213.229.18.149



Ablaufverfolgung beendet.



C:\Dokumente und Einstellungen\jonix>tracert mailhost.webquake.com



Routenverfolgung zu ns3.webquake.com [213.229.18.131]  über maximal 30 Abschnitte:



  1    <1 ms    <1 ms    <1 ms  cerberos.0.168.192.in-addr.arpa [192.168.0.253]

  2     1 ms     1 ms     1 ms  bla.bla.bla.bla.Xdsl-line.inode.at [bla.bla.bla.bla]

  3    11 ms    10 ms    10 ms  bla.bla.bla.bla.Xdsl-line.inode.at [bla.bla.bla.bla]

  4    15 ms    12 ms    13 ms  heaven.inode.at [195.58.172.148]

  5    20 ms    20 ms    20 ms  leo.graz.inode.at [195.58.190.1]

  6     *        *        *     Zeitüberschreitung der Anforderung.

  7     *        *        *     Zeitüberschreitung der Anforderung.

  8     *        *        *     Zeitüberschreitung der Anforderung.

  9     *        *        *     Zeitüberschreitung der Anforderung.

 10     *        *        *     Zeitüberschreitung der Anforderung.

 11     *        *        *     Zeitüberschreitung der Anforderung.

 12     *        *        *     Zeitüberschreitung der Anforderung.

 13     *        *        *     Zeitüberschreitung der Anforderung.

 14     *        *        *     Zeitüberschreitung der Anforderung.

 15     *        *        *     Zeitüberschreitung der Anforderung.

 16     *        *        *     Zeitüberschreitung der Anforderung.

 17     *        *        *     Zeitüberschreitung der Anforderung.

 18     *        *        *     Zeitüberschreitung der Anforderung.

 19     *        *        *     Zeitüberschreitung der Anforderung.

 20     *        *        *     Zeitüberschreitung der Anforderung.

 21     *        *        *     Zeitüberschreitung der Anforderung.

 22     *        *        *     Zeitüberschreitung der Anforderung.

 23     *        *        *     Zeitüberschreitung der Anforderung.

 24     *        *        *     Zeitüberschreitung der Anforderung.

 25     *        *        *     Zeitüberschreitung der Anforderung.

 26     *        *        *     Zeitüberschreitung der Anforderung.

 27     *        *        *     Zeitüberschreitung der Anforderung.

 28     *        *        *     Zeitüberschreitung der Anforderung.

 29     *        *        *     Zeitüberschreitung der Anforderung.

 30     *        *        *     Zeitüberschreitung der Anforderung.



Ablaufverfolgung beendet.



C:\Dokumente und Einstellungen\jonix>

liegts an inode? oder an mir (aber warum dann)?

jonix

21.01.2003 14:46

ok, erst mal schande ueber mich - der server ist am netz, aber laesst sich nicht pingen.

wenn ich mit "telnet ... 110" hinverbind kann ich mich auch anmelden und nachrichten-koepfe anschaun, aber: wenn ich mir mehr als 10 zeilen der nachricht anzeigen lass dann bricht die verbindung ab. ebenso kann ich das webinterface nicht anzeigen, und auch outlook etc. kriegen ein timeout.

hat jemand einen tip?

0x0001

21.01.2003 14:59

warum steht das im linux forum ???

zum them traceroute, vermute ich das der sever ab dem keine icmp replys mehr kommen diese blockt, vermutlich um die interne netzstruktur nicht preiszugeben.

zum thema outlook, schmeisz den muell weg, und verwende ein sinnvolles programm.

jonix

21.01.2003 15:04

jaja, hab eh geschrieben dass ich ein pfeiffendeckel bin, mea maxima culpa...

linux-forum deswegen, weil zu beginn ich meine router-firewall-dns-kiste im verdacht gehabt hab. mittlerweile hat sich das problem fast geloest, es geht wieder alles bis auf die anzeige des web-interfaces im explorer - der sagt zwar brav "seite http://mailhost.webquake.com/ wird geoeffnet" aber das wars dann auch schon.

also, sorry fuer die ente und dank

ps: outlook hat nix dafuer koennen, net amal im telnet hab ich mit TOP oder RETR die fehlerhafte nachricht abrufen koennen

0x0001

22.01.2003 14:06

also von hier aus geht die seite (bin auf uni und verwende opera unter
linux) also entwerder spinnt der IE (mal anderes progi versuchen) oder deine firewall blockt irgendwas, oder windows blockt irgendwas.

versuch mal auf deinem router die seite zu offnen, wenns nicht geht ist moeglicherweise deine firewall schuld.

ad ps.: outlook ist immer schuld :)

jonix

22.01.2003 16:07

so, neue lage: ich kann im prinzip alle verschluesselten seiten anschaun, die mir einfallen (auch https://www.postbank.de/ - die referenz-test-seite von bks), ohne probleme - nur die bks-banking.at geht net... ich wuesst net was die firewall da dran drehen koennt - ausserdem hab ich kein routing wenn ich die firewall abdreh, somit eine schlechte test-konfiguration.

habs also aus dem firmennetzwerk (xdsl unlimited) auch mit mozilla, netscape und opera versucht (hab leider keine grafische oberflaeche unter linux zur verfuegung) und da gehts ebenso wenig. von mir zuhause (xdsl@home) allerdings gehts natuerlich (somit scheidet die inode als schuldiger aus :-).

ich werd morgen ein bisschen umstecken und versuchen, mit einer offiziellen ip (nicht ueber den linux-router) die seite zu oeffnen.

ich versteh allerdings net, was die firewall da dran drehen sollte, es scheint auch in den logs nix auf...

jonix

23.01.2003 10:09

so, jetzt bin ich komplett ratlos: wie gesagt gibt es einige seiten, die in unserem internen netz einfach nicht angezeigt werden wollen (zb http://mailhost.webquake.com/ oder https://www.bks-banking.at/cgi/anfang.cgi/BKS). hab bereits die firewall ueberprueft und und und...

neuester stand: von der linux-firewall aus sowie vom _dahinter liegenden_ web-server komm ich ueber lynx auf beide oben genannten seiten. von den windows-clients (habs wie gesagt mit opera, mozilla, netscape und ie versucht) sowie unserem linux-fileserver (mit lynx) aus gehts net(!?).

somit ist fuer mich klar, dass es an der konfiguration der firewall scheitert. kanns sein dass da ein verbindungsaufbau von aussen oder so stattfindet - das wuerd erklaeren, warums am webserver, zu dem ja alle gueltigen anfragen von aussen (ftp, http, pop3, imap, ssh) geleitet werden, funktioniert.

hat jemand noch einen tip fuer mich?

jonix

23.01.2003 15:46

update: die sache wird immer verzwickter - hab gedacht ich haette den schuldigen gefunden (ssl-verschluesselte pakete, mit welchen die firewall nichts anfangen kann?), allerdings stellte ich dann folgendes fest:

https://www.postbank.de/ kann ich super anschaun, is zwar nur eine leere seite, aber geht (mit verschluesselung und pipapo). ist uebrigens die von bks genannte test-seite.

https://www.bks-banking.at/cgi/anfang.cgi/BKS geht nach wie vor nicht.

ich bin einfach ratlos... gibts eine moeglichkeit, saemtlichen netzwerktraffic mitloggen oder noch besser direkt auf die konsole ausgeben zu lassen?

dank fuer die hilfe...

Lotussteve

23.01.2003 15:51

Zitat:

Original geschrieben von jonix
ich bin einfach ratlos... gibts eine moeglichkeit, saemtlichen netzwerktraffic mitloggen oder noch besser direkt auf die konsole ausgeben zu lassen?

Hallo!

Kann leider nur zu dieser Frage etwas beitragen:

Installiere das Programm "tethereal" und benutze es mit den Switchen -x und -i DEINEVERBINDUNG (also eth0 oder ppp0)
Leite das ganze in eine Datei um und du kannst super alles mitlesen (bei viel Traffic vielleicht nicht unbedingt mit tail -f) :)

Ciao,

Steve

jonix

23.01.2003 17:00

dank steve fuer den tip. ich kann jetzt zwar einsicht nehmen in die welt der pakete, ich versteh des problem jetzt glaub ich. ich post hier mal ein excerpt des logs:

Code:

cerberos.domain.tld -> p700.inode.at DNS Standard query A www.bks-banking.at

p700.inode.at -> cerberos.domain.tld DNS Standard query response A 195.3.82.26

cerberos.domain.tld -> www.bks-banking.at TCP loaprobe > https [SYN] Seq=2780894735 Ack=0 Win=64240 Len=0

www.bks-banking.at -> kronos.domain.tld TCP https > loaprobe [SYN, ACK] Seq=2812144143 Ack=2780894736 Win=33580 Len=0

cerberos.domain.tld -> www.bks-banking.at TCP loaprobe > https [ACK] Seq=2780894736 Ack=2812144144 Win=64240 Len=0

cerberos.domain.tld -> www.bks-banking.at SSLv2 Client Hello

www.bks-banking.at -> kronos.domain.tld TCP https > loaprobe [ACK] Seq=2812144144 Ack=2780894814 Win=33580 Len=0

www.bks-banking.at -> kronos.domain.tld SSLv3 Server Hello, Certificate[Malformed Frame]

cerberos.domain.tld -> www.bks-banking.at ICMP Destination unreachable

www.bks-banking.at -> kronos.domain.tld SSLv3 Continuation Data

cerberos.domain.tld -> www.bks-banking.at ICMP Destination unreachable

www.bks-banking.at -> kronos.domain.tld SSLv3 Server Hello, Certificate[Malformed Frame]

cerberos.domain.tld -> www.bks-banking.at ICMP Destination unreachable

www.bks-banking.at -> kronos.domain.tld SSLv3 Server Hello, Certificate[Malformed Frame]

cerberos.domain.tld -> www.bks-banking.at ICMP Destination unreachable



anm.: cerberos ist die firewall, kronos der client

so wie ich das sehe verweigert die firewall die zusammenarbeit mit servern, welche keine icmp-pakete verarbeiten/beantworten. kann mir jemand auf die schnelle sagen, was ich im firewallskript aendern muss?

ps: noch mal dank an lotussteve - jetzt wo ich die problematik zu erkennen glaube wirds langsam logisch, mailhost.webquake.com hat auch icmp deaktiviert :-)

jonix

27.01.2003 13:17

leider hab ich noch immer keine loesung zu diesem problem (firewall gegen icmp?) gefunden - auch der google schweigt sich mir gegenueber aus, netfilter.org kann mir auch net weiterhelfen :heul:
hat denn niemand eine idee, was ich noch probieren koennt?

hier noch zur info die ausgabe von ip_conntrack:

Code:

cerberos:/proc/net # cat ip_conntrack | grep 195.3.82.26

tcp      6 67 FIN_WAIT src=192.168.0.194 dst=195.3.82.26 sport=3894 dport=443 src=195.3.82.26 dst=62.99.xxx.xxx sport=443 dport=3894 [ASSURED] use=1

tcp      6 431988 ESTABLISHED src=192.168.0.194 dst=195.3.82.26 sport=3921 dport=443 src=195.3.82.26 dst=62.99.xxx.xxx sport=443 dport=3921 [ASSURED] use=1

ps: noch eine frage:

Code:

51.679923 cerberos.domain.tld -> ibucp-vip-m.blue.aol.com TCP 3522 > aol [SYN] Seq=2473699095 Ack=0 Win=64240 Len=0

was koennte denn diese zeile in der ausgabe von tethereal bedeuten?

jonix

28.01.2003 11:11

so, letztes update: hab jetzt das wcmfirewall-skript in verwendung, 1:1 uebernommen mit port-forwarding der ports 25 und 80. trotzdem geht nix... mittlerweile bin ich wirklich am verzweifeln - woran kann denn das bitte noch liegen!?

die firewall haengt an einem zyxel prestige 782 (der schleift einfach alles durch), diese an einer xdsl unlimited standleitung. ausserdem laeuft am server der named (bind_9.1.3), und iptables_1.2.2

jonix

28.01.2003 17:35

loesung??

schaut so aus als haette ich den schuldigen gefunden (auch wenns noch nicht verifiziert und repariert ist),
und ich denk mir dass diese infos fuer den einen oder anderen zumindest interessant sein koennten:

unter http://www.sauff.com/dsl-faq/mtu-mini-faq.txt finden sich sehr interessante dinge:

Zitat:

Auswirkungen/Probleme bei zu großer MTU:
Der Server im Internet ... sendet IP-Datenpakete mit mehr als 1492 Byte.

Leider liegt zwischen diesen beiden Rechnern die "Engstelle" der
PPPoE-Verbindung, die eine (maximale) MTU von 1492 hat und deshalb
Pakete nicht weiterleiten kann, die größer als dieser MTU-Wert sind.

Da der Server aber eine groessere Default-MTU hat als 1492 schickt er
Packete die so gross sind wie seine MTU.

Normalerweise wuerde der Server jetzt ein ICMP 'Destination unreachable:
Fragmentation needed, but DF set.' bekommen und daraufhin via PMTUD [1.4]
die maximale MTU der Strecke herauszufinden. Leider meinen manche Leute,
dass ICMP boese ist (neben GMX.de gehoert da unter anderem auch microsoft.com
zu) und dass das auf der Firewall vor dem Server geblockt werden muss.

Dementsprechend bekommt der Server keine "ICMP-Fehlermeldung" und denkt
es ist alles in Ordnung. Somit gehen die zu großen Pakete auf der PPPoE-
Strecke verlohren, ohne dass dies jemand bemerkt. :-(

ich hoff dass mir inode demnaechst sagt dass dieses problem durch eine umkonfiguration
des zyxel-routers behoben werden kann! ("...Der Router kann MSS-Clamping [1.6] betreiben.
Dann sollte es ausreichen, im Router die CLAMP-MSS auf 1452 Byte [1.5] einzustellen...")

ps: warum gibts keinen smiley der daumen drueckt?

jonix

29.01.2003 17:11

ende der unendlichen geschichte

Mit 'ping -f -l <MTU> <Server>' hab ich den Wert, den meine MTU haben
sollte, herausgefunden, mit 'tethereal -V' die Problematik nochmals
bestaetigt, aber: Bei beiden Interfaces (extern und intern) meiner
Firewall war urspruenglich (lt YAST) fuer die MTU der Wert
'automatisch' eingetragen, lt. 'ifconfig' war somit der Standard-
Ethernet-Wert von 1500 gesetzt. Nun hab ich ein bisschen
herumgespielt und die Werte veraendert - was keine Besserung
brachte - und schlussendlich wieder auf 1500 gesetzt. Und siehe
da - es funktioniert!!

Vielen Dank auf jeden Fall nochmals fuer die Hilfe, ich weiss zwar
net warums auf einmal geht, aber was solls- zumindest hab ich
dazugelernt.

Alle Zeitangaben in WEZ +2. Es ist jetzt 09:56 Uhr.