Webseite nicht erreichbar - nur mit UPC, andere Provider/VPN gehen

Xairoo · 2018-10-07T07:19:38+00:00

Sunrise Community - Kunden helfen anderen Kunden rund um die Themen Fernsehen, Internet, Telefon und Mobile. Jetzt registrieren!

Xairoo

Hallo,

seit ein paar Tagen kann ich die Webseite tonymacx86.com nicht mehr aufrufen. Mit meinem VPN geht es wunderbar. Und andere Nutzer, alle Ausserhalb von UPC, haben auch keine Probleme.

Geht die Seite bei einem UPC Nutzer?

Verwende nur die Google DNS Server, aber da es ja mit dem VPN geht, sollte das Problem ja nicht daran liegen.

Xairoo

Der EdgeRouter Lite ist genial! Ist einfach toll, einen richtigen Router mit CLI zu haben =)

Mit dem Offloading erreiche ich auch wieder meine 540 Mbps, mal schauen ob ich wieder auf ₆₀₀ komme. Hier gab es demletzt irgendwie ein kleines Upgrade?!

Übrigens ist UNMS auch eine nette Spielerei. Jetzt müssen nur noch die Stats in Grafana eingebunden werden =)

Fall gelöst. Danke! =) Bzw. ich stelle mir schon die Frage, warum meine alte IP gesperrt war, aber das ist die Mühe aktuell nicht wert.

kbch

Achtung, Modem Modus ohne Firewall bitte nicht betreiben, das kommt sonst definitiv nicht gut.

Die Edgerouter sind Top für den Preis. Verwende selber mehrere Edgerouter (Edgerouter PoE + Edgerouter X) seit vielen Jahren und kann mich nicht beklagen. Die HW Acceleration ist etwas gewöhnungsbedürftig aber da fuchst man sich schon genug schnell rein. Und sonst können die Dinger von VPN bis hin zu BGP so ziemlich alles was man will oder auch nicht will 😛

Es scheint definitiv so, dass dich der Server blockt. Kein DNS Problem oder so. Der letzte Hop in deinem Fall ist das Host System von denen. Der nächste Hop wäre der Server.

Host Loss% Snt Last Avg Best Wrst StDev

172.16.100.1 0.0% 37 0.4 0.3 0.3 0.4 0.0
80-219-168-1.dclient.hispeed.ch 0.0% 37 10.3 11.5 6.9 34.6 5.5
217-168-53-209.static.cablecom.ch 0.0% 37 9.3 11.0 7.4 18.8 2.5
ch-otf01b-rc1-ae50-0.aorta.net 0.0% 37 44.1 47.6 10.1 132.8 26.1
ch-zrh01b-ra1-ae9-0.aorta.net 0.0% 37 11.0 13.3 8.0 61.6 9.5
213.46.171.66 0.0% 37 11.1 13.2 8.1 24.6 3.8
prs-bb4-link.telia.net 0.0% 37 149.1 134.1 120.2 154.3 11.2
ash-bb4-link.telia.net 0.0% 37 121.0 121.6 118.7 132.6 3.2
ash-b1-link.telia.net 0.0% 37 119.0 120.8 117.3 132.2 2.7
giglinx-ic-308514-ash-b1.c.telia.net 0.0% 37 135.2 152.0 119.6 275.0 49.6
209.50.254.29 0.0% 36 130.6 120.7 117.5 130.6 2.4
209.50.254.33 0.0% 36 111.8 107.4 101.7 149.0 10.3
sc-sdv3409.servint.net 0.0% 36 101.6 104.1 101.2 111.9 2.4
server1.tonymacx86.com 0.0% 36 119.4 121.8 118.4 134.0 3.5

Xairoo

Schrecklich wie laaaaangsam die Connect Box ist. Dauert ja gefühlt ein Jahr bis die Box nach einem Neustart wieder aktiv ist. Dachte die C64 Chips wurden inzwischen alle in den Gameboys verbaut?! Na vielleicht hat UPC noch ein Charge bekommen…)

Im Modem Modus gehts! Da hab ich ja auch eine andere IP… sollte also nicht an UPC liegen.

Echt blöd, dass man im Router Modus die IP nicht ändern kann. Extra einen Router zulegen will ich nicht. Hab ja schon extra ein 16 Port Switch hier in Betrieb.

Vielleicht schafft es UPC mir eine neue IP zuzuweisen, sonst muss ich wohl doch in den sauren Apfel beissen und mir extra einen Router besorgen. Der Ubiquiti EdgeRouter Lite macht mich gerade an. An sich wäre es auch prakisch, gerade wenn man den Provider wechselt. Sonst wer noch eine Idee bzgl. extra Router?

@kbch Merci für den Hinweis mit MTR, war mir neu, etwas praktischer wie traceroute!

1.|– compalhub.home 90.0% 10 1.5 1.5 1.5 1.5 0.0
2.|– 195-202-224-1.dynamic.hispeed.ch 0.0% 10 10.8 12.7 9.1 22.7 4.0
3.|– 217-168-53-209.static.cablecom.ch 0.0% 10 10.7 10.1 8.4 13.2 1.5
4.|– ch-otf01b-rc1-ae50-0.aorta.net 0.0% 10 9.4 16.6 8.6 68.8 18.4
5.|– ch-zrh01b-ra1-ae9-0.aorta.net 0.0% 10 9.9 11.8 8.4 20.2 3.9
6.|– 213.46.171.66 0.0% 10 8.8 12.5 8.8 20.2 4.3
7.|– prs-bb3-link.telia.net 0.0% 10 126.2 128.1 125.5 137.7 3.6
8.|– ash-bb3-link.telia.net 0.0% 10 125.7 126.9 125.4 132.4 2.1
9.|– ash-b1-link.telia.net 0.0% 10 127.6 128.9 126.7 133.2 1.8
10.|– giglinx-ic-308514-ash-b1.c.telia.net 0.0% 10 126.7 142.1 125.4 255.8 40.2
11.|– 209.50.254.29 0.0% 10 126.8 128.2 125.5 132.0 2.2
12.|– 209.50.254.33 0.0% 10 127.4 142.0 126.9 242.0 35.5
13.|– sc-sdv3409.servint.net 0.0% 10 126.7 128.0 125.3 131.9 1.9
14.|– ??? 100.0 10 0.0 0.0 0.0 0.0 0.0

kbch

@Xairoo Ah, dacht du hast das Ding im Modem Modus. Wenn du die Connect Box als Router verwendest kannst du die IP selber nicht ändern. Mach mal ein MTR auf die Seite.

Xairoo

Danke, aber das hatte ich schon alles durch bevor ich den Support angerufen habe. Betreibe ja selbst einige Instanzen in einem RZ und dementsprechend auch meinen eigenen VPN.

Ob mit SSL oder ohne spielt auch keine Rolle. Es kommt immer ein Timeout. Die IP wird korrekt aufgelöst.

Demnach vermute ich einen Fehler bei UPC oder einen fail2ban (was ich mir nicht vorstellen kann) vom Server der Seite. Vielleicht wird die IP ja auch einem Router geblockt.

@kbch Die MAC Adresse kann man bei der Connect Box doch gar nicht ändern?! Bei dem Thomson ging das…

GrandDixence

Falls das Problem immer noch besteht, bitte mal die Ausgabe der Kommandos:

# nslookup tonymacx86.com

# openssl s_client -connect tonymacx86.com:443

vom Debian-Server hier veröffentlichen (ohne VPN-Tunnel mit UPC Cablecom DNS-Server).

Auch die “Browser Console”/“Web console” könnte bei der Fehlersuche weiterhelfen:

https://documentation.concrete5.org/tutorials/how-open-browser-console-view-errors

https://developer.mozilla.org/en-US/docs/Tools/Web_Console

Generell ist der Einsatz der “Google DNS-Server” nicht zu empfehlen. Die DNS-Forwarder des ISP UPC Cablecom laufen seit dem Juli 2014 sehr stabil und zuverlässig. Der Einsatz der DNS-Forwarder des ISP sind auch aus Sicherheitsgründen zu empfehlen. Siehe:

https://community.sunrise.ch/t5/Internet/Paketverluste-bei-DNS-Anfragen-an-Cablecom-DNS-Servern/td-p/23662

https://community.sunrise.ch/t5/Sicherheit/DNSSEC-nicht-verf%C3%BCgbar/m-p/114668

GrandDixence

So jetzt wird es interessant: Beim Aufruf der Webseite “tonymacx86.com” wird man im Webbrowser auf “www.tonymacx86.com” umgeleitet. “www.tonymacx86.com” und “tonymacx86.com” weisen beide auf die gleiche IPv4-Adresse (209.50.248.249). Jedoch hat die DNS-Antwort der DNS-Frage “IPv4-Adressse von www.tonymacx86.com” eine deutlich kürzere Lebenszeit, wie dieses “Wireshark-Beweisfoto” beweist:

Die DNS-Antwort der DNS-Frage “IPv4-Adresse von www.tonymacx86.com” hat eine Lebenszeit von 3132 Sekunden oder entweder 60 Sekunden.

Welche der beiden “Time to live”-Zeilen effektiv gilt, kann ich nicht beurteilen.

Es spielt also kurz nach dem Wechsel der "IPv4-Adresse des Webservers von (www.)tonymacx86.com eine Rolle, ob man im Webbrowser die Webseite www.tonymacx86.com aufruft oder die Webseite tonymacx86.com.

kbch

@Xairoo Zum IP Wechseln: Connect Box abschalten, MAC ändern auf dem Router (nimm aber was gültiges, MAC Adresse von deinem lokalen Computer oder so), Connect Box wieder anschalten. Dann gehts.

@GrandDixence Die IP der Domain hat sich in den letzten Tagen nicht geändert. Kann also nicht am DNS Server liegen. Die TTL wird auch bewusst so hoch gehalten um den Load am DNS Server gering zu halten.

GrandDixence

Die DNS-Antworten zur DNS-Frage “IPv4-Adresse von tonymacx86.com” haben eine Lebenszeit von 14400 Sekunden also 4 Stunden. Hier das “Wireshark-Beweisfoto” (siehe Zeile “Time to life”):

Ganze 4 Stunden lang darf der RFC-konforme DNS-Forwarder vom ISP (hier UPC Cablecom) die DNS-Antwort zwischenspeichern und alle in den 4 Stunden von den ISP-Kunden ankommenden DNS-Fragen mit der zwischengespeicherten DNS-Antwort beantworten.

UPC Cablecom setzt den RFC-konforme DNS-Forwarder “PowerDNS Recursor” ein:

https://www.powerdns.com/

Ein Wechsel der IPv4-Adresse vom Webserver “tonymacx86.com” führt also zu einem RFC-konformen, maximal 4-stündigen Ausfall der Webseite tonymacx86.com.

Wenn man keine kürzen Lebenszeiten der DNS-Antworten im authoritiven DNS-Server/Nameserver konfiguriert, ist der mehrstündige Ausfall klar selbstverschuldet!

Hier kann der “Schwarze Peter” nicht dem ISP zugeschoben werden!

https://de.wikipedia.org/wiki/Domain_Name_System

Xairoo

Nein, der 1. Level Support kann die IP nicht ändern. Der Mitarbeiter, welcher gesagt hat, dass es geht, hat wohl Schmarrn erzählt. Oder die Person danach, die gesagt hat, dass es nicht geht o_O

Selbst wechseln klappt bei mir schon lange nicht mehr. Früher konnte man noch die MAC Adresse im Router ändern, hat meistens funktioniert. Mit der Connect Box geht es aber nicht mehr.

pato

Hat das IP ändern nun geklappt oder nicht? Und klappt die Seite jetzt?

Xairoo

Schnelles Update…

Es ist anscheinend gar nicht möglich die IP zu ändern, seitens 1. Level Support. Toll, was für Mitarbeiter es gibt - laut dem die IP nach 20-30 Minuten geändert wird =)

Xairoo

Klar, nslookup usw. habe ich schon durch.

UPC sollte meine IP mal ändern, bis jetzt (2 Stunden ist es her) hat sich aber nichts getan.

Vielleicht wurde ja meine IP per fail2ban geblockt oder so. Keine Ahnung. Mich wundert einfach die Zeitüberschreitung.

An meinen Workstations daheim liegt es nicht. Spinnt ja auch auf dem iPad, iPhone, einfach überall. Betrifft ja nicht nur ein Betriebssystem. Unter macOS, Windows und sogar auf dem heimischen Debian Server geht es nicht. Wie gesagt, per VPN geht es und auf dem Handy mit Sunrise (ohne WLAN) auch.

Werde nochmals bei UPC anrufen und nochmal um einen Wechsel der IP bitten.

pato

Google blockiert teilweise DNS Namen, welche Sicherheitsprobleme haben. .

Bei mir geht die Seite mit UPC DNS Servern.

Ob es am DNS liegt, kannst du so überprüfen, öffne ein cmd (Kommandozeilen Eingabe, oder so ähnlich auf deutsch, kannst nach cmd suchen).

Danach den Befehl: nslookup tonymacx86.com

Resultat sollte in etwa so aussehen:

nslookup tonymacx86.com
Server: UnKnown
Address: 192.168.1.1
Non-authoritative answer:
Name: tonymacx86.com
Address: 209.50.248.249

Falls du die gleiche IP als Resultat bekommst, könnte es ein lokales Antivirus Program sein, welches einen Fehler bei der SSL entschlüsselung macht, oder sonst irgendwas, was aus der Distanz schwierig wird.

TheSven

Bei mir kein Problem, UPC Connect 500 in der Ostschweiz 😉