routing-probleme

[jonix]

woran kann folgendes phaenomen liegen, wenn beide adressen von anderen internetanschluessen aus problemlos funktionieren, nicht aber von unserer xdsl-standleitung aus ueber den suse-router:

C:\Dokumente und Einstellungen\jonix>tracert www.webquake.com

Routenverfolgung zu www.webquake.com [213.229.18.149]  über maximal 30 Abschnitte:

  1    <1 ms    <1 ms    <1 ms  cerberos.0.168.192.in-addr.arpa [192.168.0.253]
  2     1 ms     1 ms     1 ms  bla.bla.bla.bla.Xdsl-line.inode.at [bla.bla.bla.bla]
  3    11 ms    10 ms    10 ms  bla.bla.bla.bla.Xdsl-line.inode.at [bla.bla.bla.bla]
  4    22 ms    15 ms    15 ms  heaven.inode.at [195.58.172.148]
  5    16 ms    15 ms    20 ms  leo.graz.inode.at [195.58.190.1]
  6    29 ms    24 ms    26 ms  213.229.18.149

Ablaufverfolgung beendet.

C:\Dokumente und Einstellungen\jonix>tracert mailhost.webquake.com

Routenverfolgung zu ns3.webquake.com [213.229.18.131]  über maximal 30 Abschnitte:

  1    <1 ms    <1 ms    <1 ms  cerberos.0.168.192.in-addr.arpa [192.168.0.253]
  2     1 ms     1 ms     1 ms  bla.bla.bla.bla.Xdsl-line.inode.at [bla.bla.bla.bla]
  3    11 ms    10 ms    10 ms  bla.bla.bla.bla.Xdsl-line.inode.at [bla.bla.bla.bla]
  4    15 ms    12 ms    13 ms  heaven.inode.at [195.58.172.148]
  5    20 ms    20 ms    20 ms  leo.graz.inode.at [195.58.190.1]
  6     *        *        *     Zeitüberschreitung der Anforderung.
  7     *        *        *     Zeitüberschreitung der Anforderung.
  8     *        *        *     Zeitüberschreitung der Anforderung.
  9     *        *        *     Zeitüberschreitung der Anforderung.
 10     *        *        *     Zeitüberschreitung der Anforderung.
 11     *        *        *     Zeitüberschreitung der Anforderung.
 12     *        *        *     Zeitüberschreitung der Anforderung.
 13     *        *        *     Zeitüberschreitung der Anforderung.
 14     *        *        *     Zeitüberschreitung der Anforderung.
 15     *        *        *     Zeitüberschreitung der Anforderung.
 16     *        *        *     Zeitüberschreitung der Anforderung.
 17     *        *        *     Zeitüberschreitung der Anforderung.
 18     *        *        *     Zeitüberschreitung der Anforderung.
 19     *        *        *     Zeitüberschreitung der Anforderung.
 20     *        *        *     Zeitüberschreitung der Anforderung.
 21     *        *        *     Zeitüberschreitung der Anforderung.
 22     *        *        *     Zeitüberschreitung der Anforderung.
 23     *        *        *     Zeitüberschreitung der Anforderung.
 24     *        *        *     Zeitüberschreitung der Anforderung.
 25     *        *        *     Zeitüberschreitung der Anforderung.
 26     *        *        *     Zeitüberschreitung der Anforderung.
 27     *        *        *     Zeitüberschreitung der Anforderung.
 28     *        *        *     Zeitüberschreitung der Anforderung.
 29     *        *        *     Zeitüberschreitung der Anforderung.
 30     *        *        *     Zeitüberschreitung der Anforderung.

Ablaufverfolgung beendet.

C:\Dokumente und Einstellungen\jonix>

liegts an inode? oder an mir (aber warum dann)?

[jonix]

ok, erst mal schande ueber mich - der server ist am netz, aber laesst sich nicht pingen.

wenn ich mit "telnet ... 110" hinverbind kann ich mich auch anmelden und nachrichten-koepfe anschaun, aber: wenn ich mir mehr als 10 zeilen der nachricht anzeigen lass dann bricht die verbindung ab. ebenso kann ich das webinterface nicht anzeigen, und auch outlook etc. kriegen ein timeout.

hat jemand einen tip?

[0x0001]

zum them traceroute, vermute ich das der sever ab dem keine icmp replys mehr kommen diese blockt, vermutlich um die interne netzstruktur nicht preiszugeben.

zum thema outlook, schmeisz den muell weg, und verwende ein sinnvolles programm.

[jonix]

jaja, hab eh geschrieben dass ich ein pfeiffendeckel bin, mea maxima culpa...

linux-forum deswegen, weil zu beginn ich meine router-firewall-dns-kiste im verdacht gehabt hab. mittlerweile hat sich das problem fast geloest, es geht wieder alles bis auf die anzeige des web-interfaces im explorer - der sagt zwar brav "seite http://mailhost.webquake.com/ wird geoeffnet" aber das wars dann auch schon.

also, sorry fuer die ente und dank

ps: outlook hat nix dafuer koennen, net amal im telnet hab ich mit TOP oder RETR die fehlerhafte nachricht abrufen koennen

[0x0001]

also von hier aus geht die seite (bin auf uni und verwende opera unter
linux) also entwerder spinnt der IE (mal anderes progi versuchen) oder deine firewall blockt irgendwas, oder windows blockt irgendwas.

versuch mal auf deinem router die seite zu offnen, wenns nicht geht ist moeglicherweise deine firewall schuld.


ad ps.: outlook ist immer schuld

[jonix]

so, neue lage: ich kann im prinzip alle verschluesselten seiten anschaun, die mir einfallen (auch https://www.postbank.de/ - die referenz-test-seite von bks), ohne probleme - nur die bks-banking.at geht net... ich wuesst net was die firewall da dran drehen koennt - ausserdem hab ich kein routing wenn ich die firewall abdreh, somit eine schlechte test-konfiguration.

habs also aus dem firmennetzwerk (xdsl unlimited) auch mit mozilla, netscape und opera versucht (hab leider keine grafische oberflaeche unter linux zur verfuegung) und da gehts ebenso wenig. von mir zuhause (xdsl@home) allerdings gehts natuerlich (somit scheidet die inode als schuldiger aus .

ich werd morgen ein bisschen umstecken und versuchen, mit einer offiziellen ip (nicht ueber den linux-router) die seite zu oeffnen.

ich versteh allerdings net, was die firewall da dran drehen sollte, es scheint auch in den logs nix auf...

[jonix]

so, jetzt bin ich komplett ratlos: wie gesagt gibt es einige seiten, die in unserem internen netz einfach nicht angezeigt werden wollen (zb http://mailhost.webquake.com/ oder https://www.bks-banking.at/cgi/anfang.cgi/BKS). hab bereits die firewall ueberprueft und und und...

neuester stand: von der linux-firewall aus sowie vom _dahinter liegenden_ web-server komm ich ueber lynx auf beide oben genannten seiten. von den windows-clients (habs wie gesagt mit opera, mozilla, netscape und ie versucht) sowie unserem linux-fileserver (mit lynx) aus gehts net(!?).

somit ist fuer mich klar, dass es an der konfiguration der firewall scheitert. kanns sein dass da ein verbindungsaufbau von aussen oder so stattfindet - das wuerd erklaeren, warums am webserver, zu dem ja alle gueltigen anfragen von aussen (ftp, http, pop3, imap, ssh) geleitet werden, funktioniert.

hat jemand noch einen tip fuer mich?

[jonix]

update: die sache wird immer verzwickter - hab gedacht ich haette den schuldigen gefunden (ssl-verschluesselte pakete, mit welchen die firewall nichts anfangen kann?), allerdings stellte ich dann folgendes fest:

https://www.postbank.de/ kann ich super anschaun, is zwar nur eine leere seite, aber geht (mit verschluesselung und pipapo). ist uebrigens die von bks genannte test-seite.

https://www.bks-banking.at/cgi/anfang.cgi/BKS geht nach wie vor nicht.

ich bin einfach ratlos... gibts eine moeglichkeit, saemtlichen netzwerktraffic mitloggen oder noch besser direkt auf die konsole ausgeben zu lassen?

dank fuer die hilfe...

[Lotussteve]

Original geschrieben von jonix
ich bin einfach ratlos... gibts eine moeglichkeit, saemtlichen netzwerktraffic mitloggen oder noch besser direkt auf die konsole ausgeben zu lassen?

Hallo!

Kann leider nur zu dieser Frage etwas beitragen:

Installiere das Programm "tethereal" und benutze es mit den Switchen -x und -i DEINEVERBINDUNG (also eth0 oder ppp0)
Leite das ganze in eine Datei um und du kannst super alles mitlesen (bei viel Traffic vielleicht nicht unbedingt mit tail -f)


Ciao,

Steve

[jonix]

dank steve fuer den tip. ich kann jetzt zwar einsicht nehmen in die welt der pakete, ich versteh des problem jetzt glaub ich. ich post hier mal ein excerpt des logs:

cerberos.domain.tld -> p700.inode.at DNS Standard query A www.bks-banking.at
p700.inode.at -> cerberos.domain.tld DNS Standard query response A 195.3.82.26
cerberos.domain.tld -> www.bks-banking.at TCP loaprobe > https [SYN] Seq=2780894735 Ack=0 Win=64240 Len=0
www.bks-banking.at -> kronos.domain.tld TCP https > loaprobe [SYN, ACK] Seq=2812144143 Ack=2780894736 Win=33580 Len=0
cerberos.domain.tld -> www.bks-banking.at TCP loaprobe > https [ACK] Seq=2780894736 Ack=2812144144 Win=64240 Len=0
cerberos.domain.tld -> www.bks-banking.at SSLv2 Client Hello
www.bks-banking.at -> kronos.domain.tld TCP https > loaprobe [ACK] Seq=2812144144 Ack=2780894814 Win=33580 Len=0
www.bks-banking.at -> kronos.domain.tld SSLv3 Server Hello, Certificate[Malformed Frame]
cerberos.domain.tld -> www.bks-banking.at ICMP Destination unreachable
www.bks-banking.at -> kronos.domain.tld SSLv3 Continuation Data
cerberos.domain.tld -> www.bks-banking.at ICMP Destination unreachable
www.bks-banking.at -> kronos.domain.tld SSLv3 Server Hello, Certificate[Malformed Frame]
cerberos.domain.tld -> www.bks-banking.at ICMP Destination unreachable
www.bks-banking.at -> kronos.domain.tld SSLv3 Server Hello, Certificate[Malformed Frame]
cerberos.domain.tld -> www.bks-banking.at ICMP Destination unreachable

anm.: cerberos ist die firewall, kronos der client

so wie ich das sehe verweigert die firewall die zusammenarbeit mit servern, welche keine icmp-pakete verarbeiten/beantworten. kann mir jemand auf die schnelle sagen, was ich im firewallskript aendern muss?

ps: noch mal dank an lotussteve - jetzt wo ich die problematik zu erkennen glaube wirds langsam logisch, mailhost.webquake.com hat auch icmp deaktiviert