Auflösung privater IP Adressen über öffentlichen DNS Server per UDP

twey

Hallo,

Ich kann über UDP keine privaten IP Adressen (RFC 1918) auflösen die von einem öffentlichen DNS Server beantwortet werden sollen. Die Connect Box 3 oder die Sunrise Infrastruktur blockiert das. DNS Auflösungen die eine öffentliche IP Adresse zurückliefern funktionieren ohne Probleme.

Hier ein Thread mit dem gleichen Problem: https://community.sunrise.ch/d/26522-private-ip-adressen-werden-seit-update-nicht-mehr-aufgeloest/9

Sunrise könnt ihr dies bitte anpassen?

Thomas

Daniele_Sunrise

twey Herzlich Willkommen in der Community!

Könntest du bitte einmal dein Vorhaben detaillierter erklären wie du genau vorgehst, sodass ggf. einige Community User dies auch testen können. Wir haben diese Möglichkeit leider nicht.

Liebe Grpsse
Daniele

twey

Hallo Daniele

Im vorhergehenden Post steht eigentlich alles, aber hier nochmals in anderen Worten.

Ich möchte sunrisetest.anywey.com von dem Google DNS 8.8.8.8 auflösen lassen, dies funktioniert, da eine öffentliche IP in der Antwort steht.

Mache ich den gleichen Test mit sunrisetest2.anywey.com funktioniert dies nicht, da eine interne IP (RFC 1918) in der Antwort steht. Dies wird von euch geblockt.

Hier zwei Screenshots

Erster bei einem anderen Provider, geht ohne Probleme:

und nun von dem Sunrise Anschluss:

Und bevor jemand fragt, nein von meiner Seite wird zu 100% nichts geblockt.

Bitte schaltet doch einfach jegliche Firewalleinstellungen, Customer Schutz Mechanismen oder was auch sonst noch auf dem Anschluss eingeschaltet ist aus. Sei es Sunrise seitig oder Sunrise Modem seitig. Ich möchte den Anschluss ohne jegliche Einschränkungen nutzten.

Thomas

Xydocq

hallo twey

Ich kann deine Aussage bestätigen.

Bei Sunrise sieht es wie folgt aus:

Swisscom als Vergleich:

oli-h

twey

Ich kann das Problem leider nicht bestätigen. Zunächst mal meine Public-IP (etwas verschleiert) - ich mit einer ConnectBox2 online - einfach um zu zeigen, dass ich auch in diesem Netz bin:

Dann der Lookup via 8.8.8.8, der auf deine Public-IP resolved:

Und jetzt noch der Lookup via 8.8.8.8, der auf deine Private-IP resolved:

! Es geht also grundsätzlich !

ABER: Wenn ich meinen internen Resolver im LAN nutze, dann funktioniert das Resolve von sunrisetest2.anywey.com tatsächlich auch nicht

(man sieht: keine ANSWER Section)
Mein interner Resolver nutzt DoT (DNS-over-TLS). Für diesen Test hab’ ich den Resolver (Nota bene: es ist ein https://de.wikipedia.org/wiki/Unbound) so konfiguriert, dass er ausschliesslich auf 8.8.8.8:853 zugreift.

Wenn ich das ein paar mal wiederhole, dann taucht plötzlich das auf:

Das rekursive DNS-Resolve endet also (überraschenderweise) beim Verweis auf zwei Nameserver von der Firma Infomaniak.ch. Auffällig finde ich, dass hier nicht zusätzlich die IP-Adressen der beiden Nameserver in der Respose drin sind (die wären in einer ADDITIONAL SECTION). Das führt vermutlich zum Abbruch der Rekursion.

Du kannst ja mal das rekursive Resolving selber durchspielen und bei einem der DNS-Rootserver beginnen.
Dann vergleich mal die Anzahl nötiger DNS-Requests zwischen z.B. “www.heise.de” und “sunrisetest2.anywey.com”. Bei “www.heise.de” ist man nach 3 Zyklen fertig. Bei “sunrisetest2.anywey.com” braucht es fünf oder sechs (hab nich mehr genau gezählt).

Ich empfehle, dass Du dich an deinen DNS-Provider “Infomaniak.ch” wendest und ihn aufforderst, seine eigenen DNS-Einträge in der TLD-Zone “com” zu erweitern um eben diese “ADDITIONAL SECTION” und dort direkt die IPs seiner DNS-Server einzutragen.

Daniele_Sunrise

twey Ich bin in diesem Bereich wirklich kein Profi und lese mich durch die kommentare durch. Meines Wissens geht dein Vorhaben im Sunrise Netzwerk mit den CBx Modems nicht. Mit der Internet Box geht es, da man dort lokal DNS Einträge erstellen kann.

Also wenn meine Domain xyz.meinedomain.ch auf 192.168.0.200 pointet, geht dies mit den CBx Modems nicht. Wir hatten früher jeweils empfohlen auf dem Rechner im Windows Hostfile einen Eintrag zu erstellen. Der Nachteil ist, dass dann nur diese Maschine mit meinem erwähnten Beispiel funktioniert.

Liebe Grüsse
Daniele

twey

Hallo Daniele

Ich weiss sehr wohl, dass ich das Hosts File auf den PCs bearbeiten kann. Ich arbeite selbst in der IT. Habe bestimmt schon über 300 Internetanschlüsse in Betrieb genommen, zudem kenne ich mich sehr gut mit Netzwerken aus. Der Router ist eine reine Katastrophe was die Einstellungsmöglichkeiten angeht, die Firmware wurde von euch ziemlich kastriert. Könnt ihr mir wenigstens einen normalen Zugang über SSH zur Verfügung stellen, damit ich dies selbst in die Hand nehmen kann? Bezüglich dem DNS Eintrag im Router, dies ist ebenfalls keine Lösung, da ich kein Split-DNS betreiben möchte. Wenn ich die Firewall auf dem Router ausschalte sollen einfach die Packete nicht gefiltert bzw. geblockt werden.

Übrigens steht im Fernmeldegesetz Art. 12e dass aus folgenden Gründen die Übertragung angepasst werden darf

² Sie dürfen Informationen unterschiedlich übertragen, wenn dies erforderlich ist, um:

a.eine gesetzliche Vorschrift oder einen Gerichtsentscheid zu befolgen;

b.die Integrität oder Sicherheit des Netzes, der über dieses Netz erbrachten Dienste oder der angeschlossenen Endgeräte zu gewährleisten;

c.einer ausdrücklichen Aufforderung der Kundin oder des Kunden nachzukommen; oder

d.vorübergehende und aussergewöhnliche Netzwerküberlastungen zu bekämpfen; dabei sind gleiche Arten von Datenverkehr gleich zu behandeln.

Diese Punkte treffen nicht zu auf dieses Verhalten.

Thomas

eee

Danke @pato!

Gerne kann Sunrise auf RFC1918 Adressen in dem ISP-internen Netzwerk verzichten, wie RFC6752 empfehlt. Wir, als Kunde, sind keine ISP, haben keine der durch RFC6752 vorgebeugten Problemen, und möchten einfach unsere eigene Servers und Netzwerk so konfigurieren wie für unsere Anforderungen sinnvoll ist.

GrandDixence Du hättest Recht, wenn nur direkte Anfragen an Sunrise Resolver/Forwarder betroffen wären. Das ist aber nicht so. Sunrise droppt alle DNS Reply Packets, die im Payload eine RFC1918 Adresse enthalten, egal woher sie kommen. D.h. auch wenn man die DNS Anfragen gar nicht an Sunrise Servers sendet, sondern z.B. 1.1.1.1, 8.8.8.8, oder einen eigenen Server als Resolver eingestellt hat. Hier geht es nicht mehr um Schutz oder Best Practice, sondern um aktives Filtern von Packets im Sinne der Art. 12e wie twey schreibt.

eee

Hallo @twey , hi @Daniele_Sunrise

Ich habe das gleiche Problem seit mindestens Dezember 2023 (als ich von UPC zu Sunrise “umgezogen wurde”).

Das Problem ist Sunrise seit Jahren bekannt:

https://community.sunrise.ch/d/27719-dns-response-with-ip-of-private-range-blocked/5

https://community.sunrise.ch/d/30832-does-upc-have-a-protected-dns-in-operation

Es wurde vorgeschlagen, Surfprotect zu deaktivieren. Ich kann dir aber sagen (und Daniele hat es damals bestätigt), auch mit deaktiviertem Surfprotect wird das nicht funktionieren.

@oli-h : Das hat gar nichts mit Infomaniak zu tun. Meine DNS Einträge sind bei Cloudflare, Google Workspaces, und Dreamhost. In allen drei Fällen werden DNS Anfragen für RFC1918 Adressen einfach gedroppt (Sunrise droppt einfach die Packets)

Ich schliesse mich an @twey’s Request: “don’t mess with my Packets!”

pato

eee Das Thema scheint es schon länger zu geben: https://datatracker.ietf.org/doc/html/rfc6752

GrandDixence

Ich kann über UDP keine privaten IP Adressen (RFC 1918) auflösen die von einem öffentlichen DNS Server beantwortet werden sollen.

Ein korrekt konfigurierter DNS-Forwarder von einem Internetanschlussanbieter (ISP: hier Sunrise) sollte aus Sicherheitsgründen nie DNS-Anfragen zu einem “A Record” mit einer privaten IP-Adresse beantworten.

Die DNS-Anfrage für den “A Record” vom Hostname “sunrisetest2.anywey.com” wird vom Heise-Netzwerktool mit der privaten IPv4-Adresse 10.0.12.17 beantwortet.
https://www.heise.de/netze/tools/dns/

Auszug aus # man unbound.conf:

private-address: <IP address or subnet>

Give IPv4 of IPv6 addresses or classless subnets. These are addresses on your private network, and are not allowed to be returned for public internet names. Any occurrence of such addresses are removed from DNS answers. Additionally, the DNSSEC validator may mark the answers bogus. This protects against so-called DNS Rebinding, where a user browser is turned into a network proxy, allowing remote access through the browser to other parts of your private network.

…

We consider to enable this for the RFC 1918 private IP address space by default in later releases. That would enable private addresses for 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16, 169.254.0.0/16, fd00::/8 and fe80::/10, since the RFC standards say these addresses should not be visible on the public internet.

Quelle: https://unbound.docs.nlnetlabs.nl/en/latest/manpages/unbound.conf.html

Zum Thema “DNS-Rebinding” siehe auch:
https://www.paloaltonetworks.de/cyberpedia/what-is-dns-rebinding

pato

eee Also ich kann via Sunrise die URL sunrisetest2.anywey.com auslösen, via meinem Pi-Hole welches aktuell aber OpenDNS als Resolver nutzt.
Was ich hier sehr speziell finde, ist aber der angezeigte Server 10.255.255.254 (ich nutze nur 192.168.x.x Adressen):

digsunrisetest2.anywey.com a

; <<>> DiG 9.18.28-1_deb12u2-Debian <<>> sunrisetest2.anywey.com a
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 13385
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 2, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
;; QUESTION SECTION:
;sunrisetest2.anywey.com. IN A

;; ANSWER SECTION:
sunrisetest2.anywey.com. 3600 IN A 10.0.12.17

;; AUTHORITY SECTION:
anywey.com. 3600 IN NS ns6.infomaniak.ch.
anywey.com. 3600 IN NS ns5.infomaniak.ch.

;; Query time: 80 msec
;; SERVER: 10.255.255.254#53(10.255.255.254) (UDP)
;; WHEN: Sun Jan 19 16:31:08 CET 2025
;; MSG SIZE rcvd: 117

Komischerweise kann ich aber auch via Sunrise DNS Server (bin via HFC angeschlossen) diese URL mit privater IP auflösen:

dig sunrisetest2.anywey.com a @62.2.17.61

; <<>> DiG 9.18.28-1_deb12u2-Debian <<>> sunrisetest2.anywey.com a @62.2.17.61
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 5286
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 512
;; QUESTION SECTION:
;sunrisetest2.anywey.com. IN A

;; ANSWER SECTION:
sunrisetest2.anywey.com. 3600 IN A 10.0.12.17

;; Query time: 30 msec
;; SERVER: 62.2.17.61#53(62.2.17.61) (UDP)
;; WHEN: Sun Jan 19 16:35:44 CET 2025
;; MSG SIZE rcvd: 68

Was eventuell eine Rolle spielt, meine CB3 ist im Bridge Modus. Eventuell ist das nur ein Problem im Router Modus mit aktiver Firewall?

eee

Ja, mein CB3 ist in Router modus und alles wird gefiltert/gedroppt:

dig sunrisetest2.anywey.com a

; <<>> DiG 9.10.6 <<>> sunrisetest2.anywey.com a

;; global options: +cmd

;; connection timed out; no servers could be reached

dig sunrisetest2.anywey.com a @62.2.17.61

; <<>> DiG 9.10.6 <<>> sunrisetest2.anywey.com a @62.2.17.61

;; global options: +cmd

;; connection timed out; no servers could be reached

; <<>> DiG 9.10.6 <<>> sunrisetest2.anywey.com a @1.1.1.1

;; global options: +cmd

;; connection timed out; no servers could be reached