- 4
- 12
- 0
Niestety nie jest to takie proste - albo ktoś w Orange albo bliżej nieokreślonych (chyba) służbach (lub niezwykle utalentowany haker z dostępem do infrastruktury operatorskiej - nie wiem, może jakieś APT?) mnie bardzo nie lubi albo jest jakiś MEGA problem z wyłączaniem tego blokowania CT, a mianowicie:
1. Zakupiona usługa "Internet światłowodowy 1Gbit/s" w pakiecie na 24M z 8-adresową podsiecią PUBLICZNYCH adresów IPv4 (czyli takich widocznych bezpośrednio w internecie i z dostępem do tegoż "dobra" również beż żadnych "dziwnych" ograniczneń) - tutaj nie mam żadnych zastrzeżeń: sprawna i szybka, profesjonalna obsługa zarówno przez handlowca/opiekuna jak i ekipę monterów przybyłą na miejsce, data uruchomienia usługi (niestety również CT): 2024-12-06
2. Problemy zauważyłem dopiero przy przenoszeniu/uruchamianiu usług - DNSSEC przestał działać, po krótkiej weryfikacji okazało się, że ruch DNS (port 53/udp) jest po prostu przechwytywany przez bliżej nieokreślone urządzenie w sieci Orange. Poszło zgłoszenie do CERT ORANGE - odpowiedź raczej szybka i ignorancka, żebym sobie dokonfigurował usługę i urządzenie poprzez kontakt z BOK, ale tutaj akurat rozumiem, że mają ważniejsze sprawy niż konfigurowanie CT (i statutowo inny zakres działań), data 2024-12-13
3. Tego samego dnia (2024-12-13) poszła reklamacja przez BOK, już nie pamiętam, ale chyba najpierw telefonicznie i rozmowa z konsultantem (to na pewno), a następnie też mailowo (potwiedzenie otrzymałem mailem, więc możliwe, że też przesłałem reklamację na maila)
4. Reklamacja została UZNANA i otrzymałem odpowiedź mailową w dniu 2024-12-19 o godzinie 11:51 (timezone Europe/Warsaw). Nawet oficjalnego PDFa otrzymałem z podpisem doradcy (z imienia i nazwiska, co ostatnio rzadko się zdarza - doceniam). Po chwili DNS zaczął normalnie działać, ruch nie był w żaden sposób blokowany i również DNSSEC zaczął funkcjonować, więc z uwagi właśnie na BEZPIECZEŃSTWO pozostawiłem go włączonego. Data 2024-12-19, wczesne popołudnie (możemy przyjąć, że ok. godz 13-14) - tutaj wszystko działa, jest OK - nie ma żadnego przechwytywania/blokowania!
5. Po upływie ok 24h (doby), nagle coś dziwnego zaczyna się dziać i usługi zależne od DNS przestają działać. Ponieważ mam własny serwer DNS i również buforuję oraz częściowo filtruję ten ruch dla niektórych usług, to ma to pewne opóźnienia, więc prawdopodobnie ruch na porcie 53/udp w sieci Orange zaczął być przechwytywany/filtrowany wcześniej niż to zauważyłem (czyli gdy zaczęły mi się składać usługi). Data 2024-12-20, godziny popołudniowe (możemy przyjąć, że stało się to gdzieś pomiędzy godziną 13 i 15).
6. Tego samego dnia (2024-12-20), po godzinie 16 dokonałem analizy, zebrałem logi/screeny i ponownie zgłosiłem do CERT ORANGE, tym razem "Poważny incydent w sieciach/systemach Orange", bo co innego jest działanie CT, a co innego gdy nagle coś/ktoś włącza jakieś przechwytywanie ruchu bez żadnego uprzedzenia i mojej autoryzacji na wynajętym przeze mnie łączu z pulą publicznych adresów IP - coś takiego jest po prostu niedopuszczalne na żadnym łączu biznesowym. Zgłoszenie poszło również do BOK na maila (te same logi/screeny).
7. Jak na razie (mamy wieczór dnia 2025-01-07, czyli minęło 18 dni) nie mam absolutnie żadnej odpowiedzi, a ruch na porcie 53/udp nadal jest filtrowany i przechwytywany (przez bliżej nieokreślone urządzenia w sieci Orange (ale na pewno używają oprogramowania 'dnsmasq' w wersji '2.89'), nad którymi chyba nawet operator do końca nie ma kontroli, co mój przypadek niestety dobitnie pokazuje - normalnie, aż strach się bać!).
Zdaję sobie sprawę, że po drodze były Święta i Nowy Rok (i nawet "6-ciu Króli"), ale coś takiego na usłudze biznesowej w ogóle nie powinno się zdarzyć - operator ustawia swoje urządzenia w tryb "bridge" i mamy bezpośredni dostęp do publicznej sieci internet, bez żadnych blokad i ograniczeń (w ramach obowiązującego prawa) o ile nie zgłoszone zostały żadne nadużycia (chyba po coś są te informacje i adresy 'abuse' w rekordach 'whois' ?!). Czy Ktoś z Was może miał taki przypadek? Co tutaj można zrobić, bo przyznam szczerze, że usługa publicznych adresów IP, bez bezpośredniego dostępu do publicznej sieci internet, tylko nie wiadomo jak, gdzie, kiedy i przez kogo blokowanej/filtrowanej jakoś specjalnie nie jest mi potrzebna - mam w umowie i płacę jednak za publiczne adresy IPv4 z dostępem do publicznej sieci internet?!
Dla mnie, przyznam szczerze, że jest to niepojęte i absolutnie niedopuszczalne - zastanawiam się, czy w ogóle tego gdzieś nie zgłosić? - bo brzydko mówiąc jestem zwyczajnie "robiony w balona" i doi się ze mnie kasę za niedziałającą usługę. Dla porządku wklejam dzisiejszy screen z malinki (szybka diagnoza DNS 'root-hints' przy pomocy 'dig').
_____________________
*Ukryłem numer zgłoszenia oraz wydzieliłem z tematu "Neostrada / Funbox przekierowuje zapytania DNS - jak wyłączyć? - moderator Wojciech.
- 6764
- 27727
- 219
- 99
- 320
- 2
- 2361
- 9009
- 34
- 4
- 12
- 0
Dzięki @j131 , fajnie, że nie tylko ja zauważam, że coś tutaj jest grubo nie tak - słusznie zwróciłeś uwagę na pkt.4 gdzie opisałem, że reklamacja została oficjanie uznana i ruch został puszczony bez żadnych blokad/filtrowania, po czym, po upływie ok. jednej doby (24h) znowu nie wiadomo jak i skąd zostało włączone jakieś filtrowanie => patrz pkt.5. Obstawiam, że dla BOKu (i ich systemów) jest już po sprawie i mam prawdopodobnie gdzieś w ich systemach "odfajkowane" że sprawa rozwiązana, ale klient to "pieniacz" i "wymyśla" jakieś dziwne rzeczy (które możliwe, że dla 99% klientów faktycznie nie mają żadnego znaczenia). Też chętnie poznam opinię @Rosiu w tej sprawie.
Widzę, że kolega @hasuzlasu trochę mnie sprawdza XD, ale zakładam dobre intencje, więc chętnie rozwieje wątpliwości - portu 22 to nie używam już chyba od ponad 15L, malinka nie jest wystawiona na zewnątrz (choć jeśli sprawy obiorą kierunek prawny, to pewnie będę musiał wystawić jakąś maszynę bezpośrednio do tej publicznej podsieci IPv4 i prawidłowo zebrać materiał dowodowy), haseł też już raczej nie używam jeśli nie muszę, bo logowanie kluczem jest wygodniejsze i bezpieczniejsze, a na root'a to nie loguję się bezpośrednio odkąd pamiętam, czyli od zawsze:) odnośnie odpalonych usług, to chyba jednak zbyt "intymne", nawet jak dla mnie pytanie na to publiczne forum (ale oczywiście pod sprawę cywilno-prawną lub karną dostarczę wszystkie tego typu informacje - na pewno nie ma tam nic, co normalnie działając, mogłoby zakłócać ruch wychodzący na porcie 53/udp i nawet zainstalowana wersja 'dnsmasq' jest trochę inna '2.89-1' a nie '2.89', no i przed aktualizacją była zupełnie inna, a problem był ten sam). Standardowo w auth.log i faillog nic (nawet podejrzanego) nie ma i z wiadomych przyczyn nie podzielę się screenem. Poza tym, moje doświadczenia (również z innymi urządzeniami) pokazują, że "duzi gracze" najczęściej mają jakieś 'backdoor'y' lub 'exploity' gdzieś na poziomie jądra systemu danego hosta (lub ściślej stosu sieciowego systemu lub urządzenia) i bardzo często swojej obecności nie ujawniają absolutnie w żadnych logach, a dziwnie działające urządzenia, po restarcie zaczynają funkcjonować prawidłowo/normalnie (czysta 'presence' tylko w RAM - z poziomu służb bardzo pożądana, stąd moja sugestia/przypuszczenie), naturalnie można to wtedy zrzucić także na jakąś 'wyciekającą pamięć', błędy implementacyjne lub konfiguracyjne, ale jeśli po zgłoszeniu takich "dziwnych zachowań" i w porozumieniu z producentem urządzenia otrzymujesz specjalny firmware do zbadania sprawy, a po jego wgraniu do jednego z urządzeń, nagle dwa inne, niezależnie działające urządzenia w tej samym segmencie sieci, w tym samym momencie się restartują, to już nie jest przypadek:)
Dla zainteresowanych i kolegi @pirenej wrzucam screeny, żeby widać było, że ta "malinka" jest w miarę czysta i "nie grzebana" (przynajmniej sieciowo). Odnośnie 'dig', to niby daje odpowiedź autorytarną 'aa' dla zapytania do konkretnego serwera, ale już dla '.' i 'ns' niestety nie (choć wydaje mi się, że każdy serwer 'root-hints' powinien być autorytarny dla strefy '.'), no i te niewiarygodnie szybkie (jak na serwery 'root-hints') i zbieżne czasy odpowiedzi oraz to samo oprogramowanie ze zgodną wersją sugeruje jakiś przechwytywacz gdzieś bardzo blisko (możliwe, że w samym modemie - Fun/LiveBoxie).
- 2361
- 9009
- 34
- 230
- 955
- 153
- 4
- 12
- 0
- 2361
- 9009
- 34
- 4
- 12
- 0