🚀 go-pugleaf

W dniu 19.05.2014 14:46, WOJO pisze:
> nmap -sU -p53 XXX.XXX.XXX.XXX
> mam odpowiedź:
> 53/udp open|filtered domain
> Na innych serwerach na takie samo zapytanie, do tego samego serwera, mam
> odpowiedź:
> 53/udp open domain

To nic nie znaczy. Użyj dig/nslookup/host.

> Objawem jest brak wymiany informacji o strefach między tymi serwerami.
> Czy któryś router po drodze blokuje ruch na porcie UDP 53?

TCP
http://en.wikipedia.org/wiki/DNS_zone_transfer

-- 
helperm

Mon, 19 May 2014 14:46:07 +0200      
"WOJO" <sorry@address.unknown.hehe>   napisał(a):

> Hej.
> Mam problem czysto akademicki.
> Na kilku serwerach na zapytanie:
> nmap -sU -p53 XXX.XXX.XXX.XXX
> mam odpowiedź:
> 53/udp open|filtered domain
> Na innych serwerach na takie samo zapytanie, do tego samego serwera, mam 
> odpowiedź:
> 53/udp open domain
> 
> Podejrzewam, że nie jest to problem konfiguracji binda, ani firewalla.

Dlaczego tylko podejrzewasz, sprawdzałeś reguły firewalla?
A co zwraca proste zapytanie tego "filtrowanego" serwera o domenę przez
niego obsługiwaną?

-- 
Piotr Grzegorzyca pozdrawia
http://starekomputery.regionet.pl

jedenaste: Nie spamuj

> Dlaczego tylko podejrzewasz, sprawdzałeś reguły firewalla?
Porty TCP i UDP 53 otwarte, tak na docelowym (XXX.XXX.XXX.XXX), jak i 
pytających (AAA.AAA.AAA.AAA; YYY.YYY.YYY.YYY; ZZZ.ZZZ.ZZZ.ZZZ).
Dla testu:
[root@AAA.AAA.AAA.AAA ~]# iptables -I INPUT -p tcp --dport 53 -j ACCEPT
[root@AAA.AAA.AAA.AAA ~]# iptables -I INPUT -p udp --dport 53 -j ACCEPT
[root@AAA.AAA.AAA.AAA ~]# iptables -I OUTPUT -j ACCEPT
[root@YYY.YYY.YYY.YYY ~]# iptables -I INPUT -p tcp --dport 53 -j ACCEPT
[root@YYY.YYY.YYY.YYY ~]# iptables -I INPUT -p udp --dport 53 -j ACCEPT
[root@YYY.YYY.YYY.YYY ~]# iptables -I OUTPUT -j ACCEPT
[root@ZZZ.ZZZ.ZZZ.ZZZ ~]# iptables -I INPUT -p tcp --dport 53 -j ACCEPT
[root@ZZZ.ZZZ.ZZZ.ZZZ ~]# iptables -I INPUT -p udp --dport 53 -j ACCEPT
[root@ZZZ.ZZZ.ZZZ.ZZZ ~]# iptables -I OUTPUT -j ACCEPT
[root@XXX.XXX.XXX.XXX ~]# iptables -I INPUT -p tcp --dport 53 -j ACCEPT
[root@XXX.XXX.XXX.XXX ~]# iptables -I INPUT -p udp --dport 53 -j ACCEPT
[root@XXX.XXX.XXX.XXX ~]# iptables -I OUTPUT -j ACCEPT

Fragment named.conf na docelowym XXX.XXX.XXX.XXX

view "external" {
match-clients { any; };
allow-query { any; };
allow-transfer { AAA.AAA.AAA.AAA; YYY.YYY.YYY.YYY; ZZZ.ZZZ.ZZZ.ZZZ; };
allow-notify { XXX.XXX.XXX.XXX; AAA.AAA.AAA.AAA; YYY.YYY.YYY.YYY; 
ZZZ.ZZZ.ZZZ.ZZZ; };
recursion no;

zone "domena.pl" IN { type master; file "master/external.domena.pl"; notify 
yes; also-notify { AAA.AAA.AAA.AAA; YYY.YYY.YYY.YYY; ZZZ.ZZZ.ZZZ.ZZZ; }; };

> A co zwraca proste zapytanie tego "filtrowanego" serwera o domenę przez
> niego obsługiwaną?

To już jest dla mnie zupełnym zaskoczeniem - na jednym "end of file", a na 
drugim "connection reset", trzeci natomiast zachowuje się prawidłowo.

[root@AAA.AAA.AAA.AAA ~]# host -T axfr domena.pl
;; communications error to XXX.XXX.XXX.XXX#53: end of file

[root@YYY.YYY.YYY.YYY ~]# host -T axfr domena.pl
;; communications error to XXX.XXX.XXX.XXX#53: connection reset

ten prawidłowo się zachowujący:
[root@ZZZ.ZZZ.ZZZ.ZZZ ~]# host -T axfr domena.pl
Using domain server:
Name: domena.pl
Address: XXX.XXX.XXX.XXX#53
Aliases:
Host axfr not found: 5(REFUSED)


[root@AAA.AAA.AAA.AAA ~]# dig @ns1.domena.pl domena.pl
; <<>> DiG 9.9.5-geoip-1.3 <<>> @ns1.domena.pl domena.pl
; (1 server found)
;; global options: +cmd
;; connection timed out; no servers could be reached

[root@YYY.YYY.YYY.YYY ~]# dig @ns1.domena.pl domena.pl
; <<>> DiG 9.9.5-geoip-1.3 <<>> @ns1.domena.pl domena.pl
; (1 server found)
;; global options: +cmd
;; connection timed out; no servers could be reached

[root@ZZZ.ZZZ.ZZZ.ZZZ ~]# dig @ns1.domena.pl domena.pl
; <<>> DiG 9.9.5-geoip-1.3 <<>> @ns1.domena.pl domena.pl
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 46804
;; flags: qr aa rd; QUERY: 1, ANSWER: 1, AUTHORITY: 3, ADDITIONAL: 4
;; WARNING: recursion requested but not available
;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;domena.pl.                      IN      A
;; ANSWER SECTION:
domena.pl.               86400   IN      A       XXX.XXX.XXX.XXX
;; AUTHORITY SECTION:
domena.pl.               86400   IN      NS      ns1.domena.pl.
domena.pl.               86400   IN      NS      ns2.domena.pl.
domena.pl.               86400   IN      NS      ns3.domena.pl.
;; ADDITIONAL SECTION:
ns1.domena.pl.           86400   IN      A       XXX.XXX.XXX.XXX
ns2.domena.pl.           86400   IN      A       YYY.YYY.YYY.YYY
ns3.domena.pl.           86400   IN      A       ZZZ.ZZZ.ZZZ.ZZZ
;; Query time: 62 msec
;; SERVER: XXX.XXX.XXX.XXX#53(XXX.XXX.XXX.XXX)
;; WHEN: śro maj 21 08:58:22 CEST 2014
;; MSG SIZE  rcvd: 155

[root@AAA.AAA.AAA.AAA ~]# nslookup -type=any domena.pl
Server:         127.0.0.1
Address:        127.0.0.1#53

domena.pl
        origin = ns1.domena.pl
        mail addr = root.domena.pl
        serial = 2014052001
        refresh = 28800
        retry = 7200
        expire = 2419200
        minimum = 86400
domena.pl        nameserver = ns1.domena.pl.
domena.pl        nameserver = ns3.domena.pl.
domena.pl        nameserver = ns2.domena.pl.
domena.pl        mail exchanger = 10 mail.domena.pl.
Name:   domena.pl
Address: XXX.XXX.XXX.XXX

[root@YYY.YYY.YYY.YYY~]# nslookup -type=any domena.pl
Server:         127.0.0.1
Address:        127.0.0.1#53

domena.pl
        origin = ns1.domena.pl
        mail addr = root.domena.pl
        serial = 2014051301
        refresh = 28800
        retry = 7200
        expire = 1209600
        minimum = 86400
domena.pl        nameserver = ns3.domena.pl.
domena.pl        nameserver = ns1.domena.pl.
domena.pl        nameserver = ns2.domena.pl.
domena.pl        mail exchanger = 10 mail.domena.pl.
Name:   domena.pl
Address: XXX.XXX.XXX.XXX
domena.pl        text = "v=spf1 a mx ptr ip4:XXX.XXX.XXX.XXX ~all"
domena.pl        rdata_99 = "v=spf1 a mx ptr ip4:XXX.XXX.XXX.XXX ~all"

[root@ZZZ.ZZZ.ZZZ.ZZZ ~]# nslookup -type=any domena.pl
Server:         194.204.159.1
Address:        194.204.159.1#53

Non-authoritative answer:
domena.pl        text = "v=spf1 a mx ptr ip4:XXX.XXX.XXX.XXX ~all"
Name:   domena.pl
Address: XXX.XXX.XXX.XXX
domena.pl
        origin = ns1.domena.pl
        mail addr = root.domena.pl
        serial = 2014040901
        refresh = 7200
        retry = 3600
        expire = 1209600
        minimum = 86400
domena.pl        nameserver = ns2.domena.pl.
domena.pl        nameserver = ns3.domena.pl.
domena.pl        nameserver = ns1.domena.pl.
domena.pl        rdata_99 = "v=spf1 a mx ptr ip4:XXX.XXX.XXX.XXX ~all"
domena.pl        mail exchanger = 10 mail.domena.pl.

Authoritative answers can be found from:

Pozdrawiam.
WOJO 

> To nic nie znaczy. Użyj dig/nslookup/host.
Używam i niewiele z tego wynika. :)

> TCP
> http://en.wikipedia.org/wiki/DNS_zone_transfer
Spokojnie - otworzone UDP i TCP

Jak pisałem, problem jest czysto akademicki, bo mam dostęp do sporej ilości 
serwerów, które zachowują się normalnie i takich problemów nie robią.
Wszystkie serwery konfigurowałem osobiście, więc są raczej powtarzalne.
Bardziej zależy mi na poznaniu natury problemu - robię jakiś błąd, któryś 
router po drodze blokuje komunikację, itp.?
W dwóch przypadkach dostawcą jest TP (polpak - zachowuje się prawidłowo, a 
DSL nie).
W innym przypadku jest to jakiś lokalny dostawca, który zarzeka się, że nie 
macza palców w blokowaniu czegokolwiek.
Obstawiam raczej swój błąd, pytanie jak go znaleźć.
:)
Pozdrawiam.
WOJO 

Dnia Mon, 19 May 2014 14:46:07 +0200, WOJO napisał(a):

> nmap -sU -p53 XXX.XXX.XXX.XXX
> mam odpowiedź:
> 53/udp open|filtered domain

A co mówi nmap jak mu dodasz -sV

> A co mówi nmap jak mu dodasz -sV
Prawidłowy:
[root@ZZZ.ZZZ.ZZZ.ZZZ ~]# nmap -sV -sU -p53 XXX.XXX.XXX.XXX
Starting Nmap 6.46 ( http://nmap.org ) at 2014-05-21 11:22 CEST
Nmap scan report for host-XXX-XXX-XXX-XXX (XXX.XXX.XXX.XXX)
Host is up (0.060s latency).
PORT   STATE SERVICE VERSION
53/udp open  domain  ISC BIND WOJO
Service detection performed. Please report any incorrect results at 
http://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 0.66 seconds

Nieprawidłowy:
[root@AAA.AAA.AAA.AAA ~]# nmap -sV -sU -p53 XXX.XXX.XXX.XXX
Starting Nmap 6.46 ( http://nmap.org ) at 2014-05-21 11:22 CEST
Nmap scan report for XXX.XXX.XXX.XXX
Host is up (0.010s latency).
PORT   STATE         SERVICE VERSION
53/udp open|filtered domain
Service detection performed. Please report any incorrect results at 
http://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 113.58 seconds

Pozdrawiam.
WOJO 

WOJO wrote:
>> To nic nie znaczy. Użyj dig/nslookup/host.
> Używam i niewiele z tego wynika. :)
> 
>> TCP
>> http://en.wikipedia.org/wiki/DNS_zone_transfer
> Spokojnie - otworzone UDP i TCP
> 
> Jak pisałem, problem jest czysto akademicki, bo mam dostęp do sporej ilości 
> serwerów, które zachowują się normalnie i takich problemów nie robią.
> Wszystkie serwery konfigurowałem osobiście, więc są raczej powtarzalne.
> Bardziej zależy mi na poznaniu natury problemu - robię jakiś błąd, któryś 
> router po drodze blokuje komunikację, itp.?
> W dwóch przypadkach dostawcą jest TP (polpak - zachowuje się prawidłowo, a 
> DSL nie).

DSL ? Co dostałeś od ISP (urządzenie)? Kto jest dostawcą?

WOJO wrote:
>> Dlaczego tylko podejrzewasz, sprawdzałeś reguły firewalla?
> Porty TCP i UDP 53 otwarte, tak na docelowym (XXX.XXX.XXX.XXX), jak i 
> pytających (AAA.AAA.AAA.AAA; YYY.YYY.YYY.YYY; ZZZ.ZZZ.ZZZ.ZZZ).
> Dla testu:

Żeby mieć komplet to pokaż jeszcze:
netstat -lnutp

> DSL ? Co dostałeś od ISP (urządzenie)? Kto jest dostawcą?
Dostawca to TP/Orange, a co do modemu to sorry - nie mam tam chwilowo 
kamery.
Ale dało się to przełączyć z trybu routera na bridgea, po mojej 
telefonicznej prośbie.
:)
W drugiej problematycznej lokalizacji mam zakończenie światła mikrotikiem 
RB260GS z SwOS v1.7
I tutaj dostawca się zaklina, że nie blokuje niczego, ale jakoś mu 
niedowierzam.
Pozdrawiam.
WOJO 

> Żeby mieć komplet to pokaż jeszcze:
> netstat -lnutp

A netstat -lnutp | grep 53 nie wystarczy? :)

W lokalizacji problematycznej (fragment - wycięte int vpn i lokalne)
[root@AAA.AAA.AAA.AAA ~]# netstat -lnutp | grep 53
tcp        0      0 AAA.AAA.AAA.AAA:53            0.0.0.0:* 
LISTEN      5366/named
tcp        0      0 127.0.0.1:53                0.0.0.0:* 
LISTEN      5366/named
udp        0      0 AAA.AAA.AAA.AAA:53            0.0.0.0:* 
5366/named
udp        0      0 127.0.0.1:53                0.0.0.0:* 
5366/named

W lokalizacji prawidłowo zachowującej się (fragment - wycięte int vpn i 
lokalne):
[root@ZZZ.ZZZ.ZZZ.ZZZ ~]# netstat -lnutp | grep 53
tcp        0      0 ZZZ.ZZZ.ZZZ.ZZZ:53              0.0.0.0:* 
LISTEN      5530/named
tcp        0      0 127.0.0.1:53                0.0.0.0:* 
LISTEN      5530/named
udp        0      0 ZZZ.ZZZ.ZZZ.ZZZ:53              0.0.0.0:* 
5530/named
udp        0      0 127.0.0.1:53                0.0.0.0:* 
5530/named

W docelowej (fragment - wycięte int vpn i lokalne):
[root@XXX.XXX.XXX.XXX ~]# netstat -lnutp | grep 53
tcp        0      0 XXX.XXX.XXX.XXX:53            0.0.0.0:* 
LISTEN      6832/named
tcp        0      0 127.0.0.1:53                0.0.0.0:* 
LISTEN      6832/named
udp        0      0 XXX.XXX.XXX.XXX:53            0.0.0.0:* 
6832/named
udp        0      0 127.0.0.1:53                0.0.0.0:* 
6832/named

Pozdrawiam.
WOJO 

WOJO wrote:
>> DSL ? Co dostałeś od ISP (urządzenie)? Kto jest dostawcą?
> Dostawca to TP/Orange, a co do modemu to sorry - nie mam tam chwilowo 
> kamery.
> Ale dało się to przełączyć z trybu routera na bridgea, po mojej 
> telefonicznej prośbie.
> :)

Widzisz tu by się zgadzało. Orange zazwyczaj do DSLa daje Cellpipe 7130,
jeżeli on był wcześniej ustawiony w tzw. "tryb rozszerzony" (żargon
Orange, domyślna konfiguracja), router robi (P)NAT i zrobiłeś sobie
przekierowania portów, a później poprosiłeś o przestawienie w tzw. "tryb
prosty" (przeźroczysty). Orange nie wyłącza przekierowania portów, więc
o ile coś tam było to przekierowanie ciągle działa i kieruje do nie
istniejącego adresu.

W takim układzie (jeżeli pamiętasz fakt konfiguracji przekierowań),
dzwonisz do nich i prosisz o wyczyszczenie istniejących przekierowań,
jeżeli nic nie będą mogli znaleźć to poproś ich o przełączenie w tryb
rozszerzony i wyczyść konfiguracje sam. :)
A po wszystkim zmień znowu na tryb prosty. Jeżeli nie użyjesz wyżej
pokazanej "terminologi" małpka przy telefonie może nie zrozumieć.

Możesz także zrobić test - przestaw bind-a na wyższy port i odpytaj go
nslookup-em.

WOJO wrote:
>> Żeby mieć komplet to pokaż jeszcze:
>> netstat -lnutp
> 
> A netstat -lnutp | grep 53 nie wystarczy? :)
> 
> W lokalizacji problematycznej (fragment - wycięte int vpn i lokalne)
> [...]

Wygląda okej.

> Widzisz tu by się zgadzało. Orange zazwyczaj do DSLa daje Cellpipe 7130,
> jeżeli on był wcześniej ustawiony w tzw. "tryb rozszerzony" (żargon
> Orange, domyślna konfiguracja), router robi (P)NAT i zrobiłeś sobie
> przekierowania portów, a później poprosiłeś o przestawienie w tzw. "tryb
> prosty" (przeźroczysty). Orange nie wyłącza przekierowania portów, więc
> o ile coś tam było to przekierowanie ciągle działa i kieruje do nie
> istniejącego adresu.

> W takim układzie (jeżeli pamiętasz fakt konfiguracji przekierowań),
> dzwonisz do nich i prosisz o wyczyszczenie istniejących przekierowań,
> jeżeli nic nie będą mogli znaleźć to poproś ich o przełączenie w tryb
> rozszerzony i wyczyść konfiguracje sam. :)
> A po wszystkim zmień znowu na tryb prosty. Jeżeli nie użyjesz wyżej
> pokazanej "terminologi" małpka przy telefonie może nie zrozumieć.

Dostałem "w spadku" firmę, gdzie modem był połączony bezpośrednio ze 
switchem i robił za router.
Potrzebowałem wstawić tam swój router z dodatkowymi usługami i poprosiłem o 
przekonfigurowanie na infolinii.
Moje zaskoczenie sięgnęło prawie zenitu, kiedy udało się to zrobić "od ręki" 
podczas tej samej rozmowy telefonicznej.
Byłem w lokalizacji i mogłem spojrzeć na umowę, by się autoryzować przez 
telefon.
Nie zawracałem sobie głowy szukaniem haseł do modemu (a teraz by się 
przydały).

> Możesz także zrobić test - przestaw bind-a na wyższy port i odpytaj go
> nslookup-em.

Chyba już to robiłem...
Ale spróbujemy jeszcze raz za chwilę.
Dzięki za sugestię.
Pozdrawiam.
WOJO 

> Wygląda okej.
Dla mnie też..., a nie działa.
Rzadko staram się zawracać d. publicznie ale czasem jestem w kropce.
:)
Pozdrawiam.
WOJO 

WOJO wrote:
> Nie zawracałem sobie głowy szukaniem haseł do modemu (a teraz by się 
> przydały).

Jeżeli router został przekonfigurowany do tego prostego trybu to już nic
Ci po tych hasłach - Orange je najprawdopodobniej zmieniło, a na pewno
już tam się nie dostaniesz.

WOJO wrote:

> W drugiej problematycznej lokalizacji mam zakończenie światła mikrotikiem 
> RB260GS z SwOS v1.7
> I tutaj dostawca się zaklina, że nie blokuje niczego, ale jakoś mu 
> niedowierzam.

Próbowałeś może podglądać ruch i patrzeć czy na tym 53-cim porcie typu
UDP faktycznie coś przychodzi?

Nie znam SwOS, ale wiem, że RouterOS ma taką możliwość.

ein wrote:
> WOJO wrote:
> 
>> W drugiej problematycznej lokalizacji mam zakończenie światła mikrotikiem 
>> RB260GS z SwOS v1.7
>> I tutaj dostawca się zaklina, że nie blokuje niczego, ale jakoś mu 
>> niedowierzam.
> 
> Próbowałeś może podglądać ruch i patrzeć czy na tym 53-cim porcie typu
> UDP faktycznie coś przychodzi?
> 
> Nie znam SwOS, ale wiem, że RouterOS ma taką możliwość.

PS. Dążę do tego, że może być to problem konfiguracyjny Mietka.

>> Próbowałeś może podglądać ruch i patrzeć czy na tym 53-cim porcie typu
>> UDP faktycznie coś przychodzi?
>> Nie znam SwOS, ale wiem, że RouterOS ma taką możliwość.

> PS. Dążę do tego, że może być to problem konfiguracyjny Mietka.
MT nie jest mój, tylko dostawcy.
Po TCP idzie ruch w obu kierunkach.

[root@XXX.XXX.XXX.XXX ~]# tcptraceroute -n AAA.AAA.AAA.AAA 53
Selected device eth0, address XXX.XXX.XXX.XXX, port 56239 for outgoing 
packets
Tracing the path to AAA.AAA.AAA.AAA on TCP port 53 (domain), 30 hops max
1  IP bramy  6.135 ms  0.638 ms  0.485 ms
...
8  AAA.AAA.AAA.AAA [open]  9.865 ms  10.168 ms  9.923 ms

[root@AAA.AAA.AAA.AAA ~]# tcptraceroute -n XXX.XXX.XXX.XXX
Selected device eth0, address AAA.AAA.AAA.AAA, port 36206 for outgoing 
packets
Tracing the path to XXX.XXX.XXX.XXX on TCP port 53 (domain), 30 hops max
1  IP bramy  0.352 ms  0.210 ms  0.273 ms
...
8  XXX.XXX.XXX.XXX [open]  10.009 ms  9.870 ms  11.106 ms

A z UDP jest tak, jak pisałem w pierwszym poście...

[root@XXX.XXX.XXX.XXX ~]# nmap -sU -p53 AAA.AAA.AAA.AAA
Starting Nmap 6.46 ( http://nmap.org ) at 2014-05-21 15:03 CEST
Nmap scan report for AAA.AAA.AAA.AAA
Host is up (0.011s latency).
PORT   STATE SERVICE
53/udp open  domain
Nmap done: 1 IP address (1 host up) scanned in 0.29 seconds

[root@AAA.AAA.AAA.AAA ~]# nmap -sU -p53 XXX.XXX.XXX.XXX
Starting Nmap 6.46 ( http://nmap.org ) at 2014-05-21 15:02 CEST
Nmap scan report for XXX.XXX.XXX.XXX
Host is up (0.0098s latency).
PORT   STATE         SERVICE
53/udp open|filtered domain
Nmap done: 1 IP address (1 host up) scanned in 0.46 seconds

Wprowadźmy do zabawy tcpdumpa

Na docelowym (pakiet wysłany z klienta, widać ponowienie transmisji, brak 
odpowiedzi)
[root@XXX.XXX.XXX.XXX ~]# tcpdump -n -v -i eth0 port 53
tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 65535 
bytes
15:10:05.112222 IP (tos 0x0, ttl 37, id 51431, offset 0, flags [none], proto 
UDP (17), length 40)
    AAA.AAA.AAA.AAA.56964 > XXX.XXX.XXX.XXX.53: 0 stat [0q] (12)
15:10:05.212168 IP (tos 0x0, ttl 35, id 40370, offset 0, flags [none], proto 
UDP (17), length 40)
    AAA.AAA.AAA.AAA.56965 > XXX.XXX.XXX.XXX.53: 0 stat [0q] (12)

Na kliencie (pakiet wysłany z docelowego, widać prawidłową odpowiedź)
[root@AAA.AAA.AAA.AAA ~]# tcpdump -n -v -i eth0 port 53
tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 65535 
bytes
15:12:34.602584 IP (tos 0x0, ttl 44, id 14916, offset 0, flags [none], proto 
UDP (17), length 40)
    XXX.XXX.XXX.XXX.33739 > AAA.AAA.AAA.AAA.53: 0 stat [0q] (12)
15:12:34.603141 IP (tos 0x0, ttl 64, id 30846, offset 0, flags [none], proto 
UDP (17), length 40)
    AAA.AAA.AAA.AAA.53 > XXX.XXX.XXX.XXX.33739: 0 stat NotImp- [0q] 0/0/0 
(12)

Dla porównania dla prawidłowo działającego klienta.
Na docelowym (pakiet wysłany z klienta, widać prawidłową transmisję)
[root@XXX.XXX.XXX.XXX ~]# tcpdump -n -v -i eth0 port 53
tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 65535 
bytes
15:17:54.067309 IP (tos 0x0, ttl 44, id 56303, offset 0, flags [none], proto 
UDP (17), length 40)
    AAA.AAA.AAA.AAA.54743 > XXX.XXX.XXX.XXX.53: 0 stat [0q] (12)
15:17:54.068127 IP (tos 0x0, ttl 64, id 43916, offset 0, flags [none], proto 
UDP (17), length 40)
    XXX.XXX.XXX.XXX.53 > AAA.AAA.AAA.AAA.54743: 0 stat NotImp- [0q] 0/0/0 
(12)

I tak możemy się bawić długo i namiętnie...
Pozdrawiam.
WOJO 

Dnia 21.05.2014 ein <ein@no.spam> napisał/a:
> ein wrote:
>> WOJO wrote:
>> 
>>> W drugiej problematycznej lokalizacji mam zakończenie światła mikrotikiem 
>>> RB260GS z SwOS v1.7
>>> I tutaj dostawca się zaklina, że nie blokuje niczego, ale jakoś mu 
>>> niedowierzam.
>> 
>> Próbowałeś może podglądać ruch i patrzeć czy na tym 53-cim porcie typu
>> UDP faktycznie coś przychodzi?
>> 
>> Nie znam SwOS, ale wiem, że RouterOS ma taką możliwość.
>
> PS. Dążę do tego, że może być to problem konfiguracyjny Mietka.
>
RB260GS to switch, nie mowie, ze sie nie da blokowac. Wszystko sie da... Ale watpie by tam cos blokowalo...

On 21.05.2014 14:12, ein wrote:
> WOJO wrote:
>> Nie zawracałem sobie głowy szukaniem haseł do modemu (a teraz by się
>> przydały).
>
> Jeżeli router został przekonfigurowany do tego prostego trybu to już nic
> Ci po tych hasłach - Orange je najprawdopodobniej zmieniło, a na pewno
> już tam się nie dostaniesz.
>

Jeśli to jest InternetDSL, to czy sprawdzałeś jak jest ustawiony profil 
firewalla konfigurowany poprzez panel konfiguracji usługi, na stronie WWW?
Nie chodzi o logowanie do rutera.
Oni tam mieli trzy opcje, w stylu:
- blokowanie wszystkiego przychodzącego
- blokowanie większości i przepuszczanie wybranych (przez nich) typowych 
serwisów
- nieblokowanie niczego
Jeśli odziedziczyłeś działające, to może wcześniej ktoś to ustawił?
-- 
Olek

> Jeśli to jest InternetDSL, to czy sprawdzałeś jak jest ustawiony profil 
> firewalla konfigurowany poprzez panel konfiguracji usługi, na stronie WWW?
> Nie chodzi o logowanie do rutera.
> Oni tam mieli trzy opcje, w stylu:
> - blokowanie wszystkiego przychodzącego
> - blokowanie większości i przepuszczanie wybranych (przez nich) typowych 
> serwisów
> - nieblokowanie niczego
> Jeśli odziedziczyłeś działające, to może wcześniej ktoś to ustawił?

TO nie to.
Tam jest rzeczywiście Cellpipe 7130, jak sugerował Ein.
Ustawiony jest teraz w tryb prosty, a dzisiaj na blueline dowidziałem się, 
że dostęp administracyjny ma jedynie operator, co mnie osobiście drażni.
Mogę teoretycznie oglądać z poziomu zwykłego użytkownika, ale domyślne dane 
logowania użytkownika też nie działają.
Jak się tam kiedyś wybiorę osobiście, to pobawię się też w uzyskanie dostępu 
administracyjnego i odcięcie dostępu dla operatora. :)
W Netii się da, to tutaj pewnie też.
Pozdrawiam.
WOJO 

> RB260GS to switch, nie mowie, ze sie nie da blokowac. Wszystko sie da... 
> Ale watpie by tam cos blokowalo...
To doskonale wiem.
Ale ten switch przez światełko połączony jest pewnie z jakimś drugim 
switchem lub routerkiem, na którym już się da robić poważniejsze rzeczy...
Może być też tak, że ISP sam nie wie, że coś jest po drodze blokowane, a on 
nie blokuje.
Stąd moje pytanie na temat możliwości sprawdzenia zablokowanej transmisji na 
poszczególnych routerach pośredniczących w routingu.
Odpytywanie nmapem poszczególnych routerów pośredniczących nie ma sensu, bo 
trafimy na "INPUT", a nie na "FORWARD".
Ponawiam zatem pytanie - jak zatem sprawdzić transmisję po UDP przez 
poszczególne routery?
Pozdrawiam.
WOJO 

Dnia Wed, 21 May 2014 21:04:37 +0200, WOJO napisał(a):

> Ponawiam zatem pytanie - jak zatem sprawdzić transmisję po UDP przez
> poszczególne routery?

Może wynik traceroute -U da jakieś sensowne informacje

Wed, 21 May 2014 10:33:24 +0200      
"WOJO" <sorry@address.unknown.hehe>   napisał(a):

> > Dlaczego tylko podejrzewasz, sprawdzałeś reguły firewalla?
> Porty TCP i UDP 53 otwarte, tak na docelowym (XXX.XXX.XXX.XXX), jak i 

A może tcpwrapper? 

-- 
Piotr Grzegorzyca pozdrawia
http://starekomputery.regionet.pl

jedenaste: Nie spamuj

W dniu .05.2014 o 20:55 WOJO <sorry@address.unknown.hehe> pisze:

>> Jeśli to jest InternetDSL, ...
...
> Jak się tam kiedyś wybiorę osobiście, to pobawię się też w uzyskanie  
> dostępu administracyjnego i odcięcie dostępu dla operatora. :)
> W Netii się da, to tutaj pewnie też.
Dostęp do panelu administracyjnego masz jako user/user (o ile pamięc mnie  
nie zawodzi). Musisz połączyć się z 10.0.0.1. Dawniej faktycznie niewiele  
tam można było skonfigurować. Obecnie można trochę więcej, ale uprzedzam -  
panel tego "super urządzenia" to droga przez mękę :)

Do panelu admina się nie dostaniesz. Chyba że jtag-iem...

Ot, taki kaprys Orange, które nie dość, że kasuje za Neostradę 3x tyle, to  
nie dopuszcza innych urządzeń, coby klient musiał zadzwonić i zapłacić za  
"profesjonalne" wsparcie z 801 ;) Poza tym, Ty jako IT jesteś konkurencją  
dla pomarańćzy, bo oni dla małych firm oferują też takie wsparcie  
informatyczne. Po to ta cała otoczka z niedopuszczaniem innych sprzętów i  
gnębienie na siłę klientów Cellpipem czy Comtrendem.