Neostrada / Funbox przekierowuje zapytania DNS - jak wyłączyć?

[agat13]

@sovteq1  dla b2b polecam Internet Premium z Zyxelem. Mimo tego, że usługi podobne, z tamtym nie ma problemów. Może warto zlecić zmianę FB na tryb bridge i postawić własny router? Tam nie powinni nic blokować 

[Samotnick]

@agat13 To raczej nic nie da. To (CyberTarcza) jest usługa core’owa i na danych komórkowych działa identycznie (przechwytuje zapytania na porcie 53). Według mnie trzeba zlecić wyłączenie tej usługi.

[agat13]

@Samotnick  chyba masz rację. Na Internet Premium nie ma CT 

Warto zadzwonić na infolinię i podpytać o wyłączenie 

[sovteq1]

agat13 Podpowiesz w jaki sposób przejść z neostrady na internet premium?

[j131]

@D_amian @sovteq1 

Nie jestem pewien, czy odpowiedzi sugerujące że "winna" jest Cybertarcza są poprawną interpretacją tego co się dzieje.

Ja mam normalną kliencką umowę Love z FTTH, łącze realizowane poprzez ruter FB3.

Tym samym (domyślnie) jest na nim aktywna CT, jednak w zakresie DNS ona jest zaimplementowana wyłącznie poprzez wymuszenie używania serwerów DNS operatora. Nie zaobserwowałem przechwytywania zapytań DNS przez FB3 ani CT. Z mojej sieci przykłady które podałeś wychodzą zupełnie normalnie, dostaję na dig odpowiedzi dokładnie takie same jak u @D_amian  przez VPN. Wobec tego konkluduję, że to nie może chodzić o standardową CT, musicie mieć w ramach swoich usług "biznesowych" coś innego włączone. Normalna, "powszechna" CT NIE PRZECHWYTUJE ZAPYTAŃ DNS, wbrew temu co sugerują niektóre odpowiedzi.

[D_amian]

CT stacjonarna ma swój regulamin, który mówi, że CT może zostać deaktywowana na życzenie klienta. Poza tym nigdzie w regulaminie CT i innych regulaminach (o świadczenie internetu domowego, Paczki do internetu firmowego) nie wspomina się o blokowaniu ruchu do internetu na jakiś konkretny port.

Na stronach orange są opisy, które sugerują, że warunkiem działania CT jest używanie DNS Orange np https://cert.orange.pl/aktualnosci/serwery-dns-jak-sprawdzic-i-zmienic-ustawienia/ Orange nigdzie nie pisze, że jest to jakoś wymuszane.

Nie mam więc formalnie podstaw oczekiwać, że w jednej usłudze do internetu komunikacja na port 53 jest zablokowana a w innej nie i oczekuję, że takich restrykcji nie ma. W tej chwili zakładam, że to co obserwujemy z przekierowaniem całego ruchu portu 53 na serwery orange jest błędem po stronie Orange.

[j131]

@D_amian 

Pełna zgoda.

Co do "wymuszania" to spieszę wyjaśnić, że jest to robione relatywnie łagodnie: domyślna konfiguracja FB obejmuje serwer DHCP z ustawionym na sztywno adresem serwera DNS. I tyle. Ręczne wpisanie innego adresu na klientach czy postawienie własnego serwera DHCP nie jest w żaden sposób utrudniane. Efektywnie, jeśli używa się sprzętu operatora w domyślnej konfiguracji, to używa się mechanizmu "ochronnego" bazującego na manipulowaniu DNS. Ale to odbywa się bez przechwytywania zapytań skierowanych do innych serwerów. Tego co opisujesz (np. odpowiedź podszywająca się pod serwer 1.2.3.4) nie obserwuję na moim łączu FTTH, co potwierdza że jest to jakieś patologiczne ustawienie, bynajmniej nie "typowe" dla CT czy jakkolwiek to nazwać.

[Samotnick]

@j131 My piszemy o innym „smaku” CyberTarczy. Przez takie same nazwy jest kłopot z porozumieniem. Ta o której piszemy używa DNSów o adresach 195.116.116.16 i 195.116.116.116. Nie można ominąć tych serwerów bo Orange przechwytuje ruch na porcie 53 i zapytania do innych serwerów obsługuje za pomocą tych które wymieniłem. Ta usługa jest także znana jako CyberOchrona. Możesz do niej zalogować się

na stronie cybertarcza.orange.pl Przykładowy zrzut z ustawień (mazaniec jest mój):

[j131]

OK, ale tej wersji nie ma się włączone za darmo w "Love". Może w biznesowych się ma. Na bałagan w nazewnictwie zwracane było uwagę nie raz, na AMA, w bezpośrednich postach i nawet przez króciutki momencik było jakby lepiej (Cybertarcza - Cyberochrona), ale zaraz marketing wziął górę i znowu jest bałagan i ogólna dezinformacja. Brawo Orange!

[Samotnick]

@j131 Ta usługa jest w cenie oferty firmowej. Jak chcesz ją potestować to możesz to zrobić na numerze OFnK. Pierwszy miesiąc jest za darmo. Musiałem się z nią zapoznać aby zdiagnozować dlaczego znajomy nie może się ze swojego firmowego internetu dostać do swojej domeny.