Ich habe hier mit dem Internet Guard ein ernsteres Problem bei einem Kunden. Der Kunde hat eine Domain mit dem Namen "gebr-gentile.ch". Über mehrere Subdomains habe ich hier diverse Dienste mit verschiedensten Ports aufgeschaltet. **Die Domäne selbst wird normalerweise auf eine IP von Cablecom aufgelöst. Nun kommen alle Kunden die sich mit Swisscom mit aktiviertem Internet Guard auf diese Websites mit geändertem HTTPS Port verbinden wollen die Fehlermeldung dass die Website nicht erreichbar ist.** Der Swisscom DNS gibt auf jede Anfrage an diese Domäne oder dessen Unterdomänen die falsche IP Adresse zurück. **[https://vpn.gebr-gentile.ch](https://vpn.gebr-gentile.ch) und [https://vpn.gebr-gentile.ch:4005](https://vpn.gebr-gentile.ch:4005) habe ich so eingerichtet dass beide denselben Webserver erreichen. Die erste Adresse funktioniert, die mit abgeändertem Port nicht. Sobald ich über einen Google DNS gehe wird die Domain wieder korrekt auf die Cablecom IP aufgelöst und die Website ist somit auch wieder über Port 4005 erreichbar.** **Laut Support von Swisscom ist weder die Hauptdomäne oder eine Unterdomäne auf der Blacklist.** Nachfolgend das Beispiel mit dem identischen Ziel über unterschiedliche Ports noch etwas genauer mit Wireshark Printscreens: * [https://vpn.gebr-gentile.ch](https://vpn.gebr-gentile.ch) (Wird erreicht) * Mit Swisscom DNS 195.186.4.111 und aktiviertem Internet Guard = Wird erreicht über aktuell 195.186.208.245, die komplette Kommunikation findet dann ausschließlich über diesen Swisscom Proxy statt, meine richtige IP Adresse zeichnet Wireshark nicht auf. [upl-image-preview liId=31721i257CF469F052D191 alt=443_swisscom.png uuid=635ef581-9f83-45ed-9056-f9b9f8e67abd] * Mit Google DNS 8.8.8.8 und somit umgangenen Internet Guard = Wird erreicht über die korrekte Ziel IP "62.2.200.250" [upl-image-preview liId=31725iD263ABB804BB6745 alt=4005_Google.png uuid=c524e8c0-d5c7-4c82-8775-e6023b087322] * [https://vpn.gebr-gentile.ch:4005](https://vpn.gebr-gentile.ch:4005) (Wird nur mit Google DNS erreicht) * Mit Swisscom DNS 195.186.4.111 und aktiviertem Internet Guard = Wird nicht erreicht (Zeitüberschreitung bei der Verbindung) [upl-image-preview liId=31724i72D4DDBD343855AD alt=4005_swisscom.png uuid=2f4f4053-597e-4950-a8e8-18b40b27eaf5] * Mit Google DNS 8.8.8.8 und somit umgangenen Internet Guard = Wird erreicht über die korrekte Ziel IP "62.2.200.250" [upl-image-preview liId=31726i2711F056AA8F1003 alt=4005_Google.png uuid=be13429e-92bc-44f3-a236-a7ad0b71f6ec] Ich drehe dabei langsam durch. Alle Mitarbeiter und Kunden können, wenn Sie mit einem Swisscom Anschluss wie Smartphone oder DSL Anschluss, nicht mehr auf jegliche Dienste der Kundenumgebung zugreifen. Der Swisscom Support kann da gar nichts machen, auch wenn Sie alles versuchen und jeder das Problem versteht. Habe Sie keine Chance eine für so etwas zuständige Abteilung zu erreichen. Dies landet immer in der Beschwerdestelle, welche das Problem ohne anzuschauen, einfach ohne Rückmeldung abweisen. Da mir der Support versichert hat, dass ich es nicht schaffen werde mit einem so allgemeinen Problem an die zuständigen Personen ranzukommen, habe ich jetzt versucht dies nicht mehr als allgemeines Problem aufzugeben sondern, dass ich persönlich nicht auf diese Domain komme. Beim DSL Anschluss sagen Sie hier einfach DNS wechseln. Daher habe ich es noch übers Mobilabo versucht, und hier das Abschalten des Internet Guards verlangt. Kann der Support natürlich nicht. Eine Problembehebung dass ich nicht auf diese Domäne komme muss der Support abschmettern mit der Aussage dass dies ein Problem der Domäne sei. Also wurde dies wiedermal zur Beschwerdestelle weitergeleitet. Ich und jeder Supportmitarbeiter von Swisscom finden da keine Lösung um an eine zuständige Stelle ranzukommen. Glücklicherweise sieht der Kunde das Problem, andere Kunden würden mir da die Bude einrennen. Erklären Sie mal einem Kunden, dass wir in diesem Punkt eigentlich nichts mit Swisscom zu tun haben, das Problem aber bei Swisscom liegt ich aber schon seit mehreren Woche, zirka 6 Stunden am Telefon mit mehreren Swisscom Supportmitarbeiter war um zu versuchen an jemand ranzukommen der sich um dieses Problem kümmern kann. Für was wird so etwas Schrittweise aufgeschaltet wenn Kundenfeedback dazu beim Kundendienst nicht aufgenommen wird, selbst wenn der Supportmitarbeiter selber sieht dass das Problem eindeutig bei Swisscom liegt. Ich finde dies ehrlich gesagt eine Frechheit hier so etwas Unausgereiftes einzuführen ohne Kundenprobleme dazu zu erfassen. Der Kunde kann dann denn mittlerweile sehr grossen Aufwand bezahlen. Zudem finde ich dies rechtlich gesehen sehr heikel hier einfach einen Proxy dazwischen zuhängen, und der Client ausschliesslich mit diesem kommuniziert. Dies passiert aber auch nur bei dieser Domäne, sonst habe ich bisher noch keine Domäne mit dem gleichen Phänomen gefunden, da wird sonst immer mit der richtigen IP geantwortet auch wenn der Internet Guard aktiv ist. Ist ja auch nicht der erste Eintrag dazu im Forum (Internet Guard - Unausgereifte Zensur): [https://community.swisscom.ch/t5/Internet-Security/Internet-Guard-Unausgereifte-Zensur/td-p/544030](https://community.swisscom.ch/t5/Internet-Security/Internet-Guard-Unausgereifte-Zensur/td-p/544030) Sieht nach einem ähnlichen Problem. Und da wird es sicher noch weitere geben aber solange dies Swisscom nicht aufnimmt, läuft ja alles wunderbar. Wird sicher noch diverse Fälle geben, aber eben dies wird ja vom Support alles als Probleme mit der Domäne abgeschmettert und Fertig. Swisscom würde dies gar nicht mitbekommen, dies hat mir der Support ja bestätigt. Vielleicht liest dies ja einer von der Swisscom mal der auch etwas machen kann und mir nicht nur viel Glück zu wünschen einen richtigen Mitarbeiter bei Swisscom zu finden. Ich weiss echt keine Lösung mehr, der nächste Schritt wird wohl sein, alle Mitarbeiter und Kunden zu informieren, dass insbesondere alle ihre Mobilabos von Swisscom zu einem anderen Anbieter wechseln, da Swisscom für uns nicht mehr brauchbar ist. Die Domäne wechsle ich nicht, das wär ein riesen Aufwand und eine Garantie dass nicht wieder solche Probleme kommen habe ich dann ja nicht. Beste Grüsse Lukas

Hi Ich habe es anschauen lassen. Es ist alles soweit korrekt gelaufen. Ich werde @"Lukasb1"#934298 noch ein paar mehr Infos per PN geben, die nicht in die Allgemeinheit gehören. Wir werden den Support noch weiter schulen, damit die richtigen Aussagern getroffen werden. Guido

Hm da hast du dir ja echt Mühe gemacht mit der Fehleranalyse. Und wenn man deine Ergebnisse so anschaut, steigt tatsächlich ein scary Gefühl auf... Mal sehen ob sich jemand von Swisscom dazu noch meldet. Vielleicht gibts ja eine plausible Erklärung dafür. Obwohl ich mir im Moment beim besten Willen keine vorstellen kann. Falls du die Zone gebr-gentile.ch administrierst: Wirf mal einen Blick auf DNSSEC. Könnte für ähnliche Fälle noch nützlich sein.

Der Test lässt sich auch bei mir sehr gut nachvollziehen. Habe meinen Heimanschluss ebenfalls bei Swisscom, aber mit DNS-Server-Einstellung auf der IB2 manuell auf 9.9.9.9 (Quad9) eingestellt. Wenn ich nun mit dem Mobile über das WLAN die Seiten aufrufe, sind beide Adressen Treffer, falls ich aber das selbe über 4G mache (mit automatisch zugewiesenen Swisscom-DNS) landet die zweite Adresse im "Nirwana". Ist sicher nicht im Sinne des Erfinders, sondern vermutlich eher ein Softwarefehler in der Funktionsweise der Swisscom-DNS-Server. @Anonym @"Tux0ne"#939 Meinungen dazu?

> * * * > > @"Werner"#234740 schrieb: > \[...\] Meinungen dazu? > > * * * Vor wenigen Minuten sah es noch so aus: ttn@he-ttngw:~ $ dig vpn.gebr-gentile.ch a @195.186.4.111 +short 195.186.208.145 Aber seit ein paar Minuten scheint der Spuk vorbei zu sein: ttn@he-ttngw:~ $ dig vpn.gebr-gentile.ch a @195.186.4.111 +short 62.2.200.250 Was da wohl geändert wurde? Bin jetzt aber schon extrem gespannt auf eine glaubwürdige Erklärung... Nachtrag: @"Lukasb1"#934298, die [nicht besonders sichere Konfiguration des Webservers](https://www.ssllabs.com/ssltest/analyze.html?d=vpn.gebr-gentile.ch) in Kombination mit dieser MitM-Situation seitens Swisscom DNS (Gründe jetzt mal dahingestellt) liesse einen allerlei mehr oder weniger hässliche Szenarien ausdenken. Schau doch mal deine IIS-Konfiguration etwas genauer an in puncto Sicherheit.

Ich glaub ich träum noch. Dies ging ja nun plötzlich sehr schnell, nachdem ich mich mit dem Support stundenlang damit befasst habe. Ein Eintrag in die Community und das Problem wird mitten in der Nacht nach einer Stunde behoben. Danke für die Info mit dem IIS, den sollte ich wirklich mal richtig absichern (Habs kurz etwas verbessert), doch ich habe hier natürlich nicht ohne Grund diesen Server als Beispiel angegeben. Hab dies für die Veröffentlichung hier so eingerichtet. DNSSEC muss ich auch mal bei meinem Provider nachhacken, bis jetzt bietet er dies leider nicht an. Das kannte ich auch noch gar nicht, danke für den Tipp. Es würde mich freuen wenn die Swisscom auch noch etwas dazu sagen würde, gerade weshalb man über den Support hier mit so Sachen nicht reinkommt und dieser einem sogar die Community empfehlen muss. Ansonsten Besten Dank für all die schnellen Antworten und Likes. Und auch ein Dank an den Mitarbeiter von Swisscom der anscheinend auf diesen Community Eintrag sofort reagiert hat.

Ich werde es anschauen lassen. Freu mich schon auf die weiteren Verschwörungstheorien hier. Der DNS schaut einfach bei jeder Anfrage in einer Liste nach, ob die URL darauf steht oder nicht. Wenn sie drauf steht, dann gibt es die Warnungsseite. Das gilt für http. Bei https - Seiten gibt es einfach eine weiße Seite derzeit, da wir nicht in den verschlüsselten Verkehr eingreifen wollen. Wir suchen nach einer Lösung. Aber gesperrte https gibt es eh wenig. Mehr macht der Internet-Guard nicht. Wir bekommen einige wenige Meldungen über vermeintliche falsche Sperrungen. Die wenigsten Meldungen sind aber korrekt. Aber Fehler können auch hier passieren.

Hallo Lukas > * * * > > @"Lukasb1"#934298 schrieb: > > Ich glaub ich träum noch. Dies ging ja nun plötzlich sehr schnell, nachdem ich mich mit dem Support stundenlang damit befasst habe. Ein Eintrag in die Community und das Problem wird mitten in der Nacht nach einer Stunde behoben. **freue dich doch darüber, dass über dieses Forum eine Lösung erreicht wurde.** Es ist nicht das erte mal dass dies geschieht, sicher nicht optimal und eigentlich verkehrt. Aber immerhin eine Möglichkeit Hilfe zu erhalten. Das Problem liegt wahrscheinlich darin, dass über sie Supportnummer die Probleme nur im LVL1 Support behandelt werden und dort nicht als Swisscom Problem erkannt werden. Damit erfolgt keine Eskalation des Problems in die höheren Suport Levels. Sprich die Probleme werdden dort fälschlicherweise als "nichtt Swisscom Problem" abgetan anstelle Sie an 2t oder 3t LVL Suport weiterzureichen. Hier im Forum sind teilweise auch 2t oder 3t Lvl Supporter am mithelfen, daher finden solche Probleme dann doch noch den Weg. An dieser Stelle noch einmal einen Dank an alle Suporter der Swisscom die hier mithelfen. Es wäre sicher nicht verkehrt den LVL1 Support auf die Problematik aufmerksam zu machen. Sicher diese erhalten täglich tausende vom Anrufen und die fälschlich abgewiesenen Fehlerreklamationen bewegen sich im Promille-Bereich, aber das bedeutet auch, dass dies täglich passiert. Insbesondere wenn technisch Versierte Kunden oder Installateure Hilfe anfordern ist der First LVL Suupport schnell überfordert und sollte sich nicht scheuen ein Problem an ein höheres Support Level weiterzureichen.

Gesperrt wurde ja nichts, sondern "nur" über einen Swisscom-Proxy umgeleitet. Wie auch immer: das beste Mittel gegen Verschwörungstheorien ist, wenn die Ursache ehrlich und transparent offengelegt wird.

Finde auch der beste Weg wäre die Offenlegung. Das Problem einfach klangheimlich beheben und dies anschliessend als Verschwörungstheorie abzustempeln und auch zu behaupten so etwas gäbe es nicht finde ich etwas dreist. Zum Glück haben hier einige Benutzer dieses Problem auch gleich nachgestellt bevor es Swisscom behoben hat, denn sonnst würde mich Swisscom schön blöd dastehen lassen. Da war die Swisscom wohl mit der Behbebung doch noch zu spät um es jetzt einfach unter den Tepich zu kehren. Natürlich bin ich Froh dass dieses Problem nun nach mehreren Wochen durch diesen Eintrag doch noch Behoben wurde. Ja zu diesem Problem gab es für den Support jeweils nur die Beschwerdestelle, an den Second oder Third Level Support konnten Sie dies nicht weitergeben. Ist ja ein Problem bei der Domäne und nicht bei Swisscom. Ansonsten muss ich Sagen waren die Mitarbeiter vom Support sehr motiviert mir zu helfen, hatten einfach keine Möglichkeit dazu. Der beste Tipp dies hier zu veröffentlichen hat mir allerdings eine First Level Mitarbeiterin aus dem Home Support für mein Mobiltelefonabo gegeben, die war auch die einzige die das Problem bei sich nachgestellt hat obwohl Sie wohl am wenigsten damit zu tun hat Der Business Support hatte da weniger gute Ideen bzwl. mich darüber aufgeklärt auf welchen Wegen alles es nicht funktioniert wird. Aber hier ein Dank an alle diese Mitarbeiter, die sich da mit diesem Problem rumschlagen mussten.

Kurze Erklärung zu einigen Fragen bzw. Unklarheiten... 1\. Der Proxy "hört" nur auf den Ports 80 und 443, deshalb kann die Verbindung via Port 4005 nicht gemacht werden.$ 2\. Damit eine "Splashseite" angezeigt werden kann, muss der DNS die IP Adresse der Domain bzw. des Servers auf den Proxy bzw. Webserver der Swisscom umbiegen. 3\. Es gibt ein Formular um False-Positives zu melden. Allerdings wird das nur auf der Sperrseite eingeblendet. Wird diese nicht angezeigt, findet man das leider nur schwer: [https://www.swisscom.ch/en/residential/help/internet/internetguard/formular.html](https://www.swisscom.ch/en/residential/help/internet/internetguard/formular.html) 4\. Die "Splashseite" wird nur angezeigt, falls HTTP verwendet wird, bei HTTPS Verbindungen, zeigt der Browser eine SSL Warnung an (z.B. ERR\_SSL\_PROTOCOL\_ERROR in Chromium). 5\. Ist nicht die komplette Domain gesperrt, sondern nur ein Pfad, dann kann die Webseite via HTTP erreicht werden. Wird dann aber der "gesperrte Pfad" aufgerufen, wird die "Splashseite" angezeigt. Dies kann zu Missverständnissen führen, weil es so aussieht, als ob der DNS eine falsche IP für die Webseite eingetragen hat und auf dieser IP dann auch noch die aktuelle Webseite erreicht werden kann. Als Beispiel: [www.domain.tld/index.html](http://www.domain.tld/index.html ) -- nicht geblockt -- Seite wird via HTTP erreicht -- IP = Swisscom Proxy [www.domain.tld/virus.exe](http://www.domain.tld/virus.exe ) -- geblockt -- Seite wird via HTTP nicht erreicht, sondern Splashseite -- IP = Swisscom Proxy. Via HTTPS wird in beiden Fällen eine SSL Error Meldung angezeigt, da bei HTTPS der Pfad nicht ersichtlich ist.$ 6\. Die "Filterlisten" werden nur von einigen wenigen Firmen erstellt, diese stellen die Listen dann gegen Gebühren oder auch Gratis zur Verfügung. Diese Listen werden regelmässig aktualisiert, deshalb kann es auch Zufall sein, dass die Domain gerade jetzt wieder freigeschalten wurde, ich denke kaum dass ein Swisscom Mitarbeiter dies mitten in der Nacht macht.... Ich hoffe das bringt etwas Licht ins Dunkle.... Das einzige was mich etwas erstaunt, ist die Tatsache, dass die Seite via HTTPS erreicht wurde, dies dürfte nach meiner Logik nicht passieren.

Das erklärt dies für mich gar nichts. Gut dies würde meinen Verlinkten Port betreffen, da lag ich schon falsch dies ist ein anderes Problem und so wie du es beschrieben hast. Bei mir sieht dies jedoch anders aus. Schliesslich ist keine dieser Pfade so laut Swisscom Support gesperrt gewesen. Zudem habe ich den Port 4005 erst zum Veröffentlichen dieses Phänomens eingerichtet. Also wie kann etwas auf der Blacklist sein, was noch nie existiert hat und dann sogar auf dieselbe Website zeigt wie 443 welches funktioniert. Zudem besteht das Problem seit 8 Wochen, und nun soll dies genau eine Stunde nach meinem Post zufälligerweise von der Blacklist entfernt worden sein obwohl keine dieser Adressen auf der Blacklist stand. Ich glaube ja vieles aber an den Weihnachtsmann glaub ich auch nicht mehr. Die Antwort macht so einfach keinen Sinn, ja dass zwei unterschiedliche URLs mit der gleichen Domäne anders eingeschätzt wird und somit nur ein Teil der Website nicht funktioniert, kann ich verstehen, aber genau dies ist bei mir ja nicht der Fall. Das Problem trat bei mir auch bei der Haupdomäne und allen Subdomänen auf, welche auf diverse verschiedene IPs zeigt, und überall bestand hier das Problem. Wäre ja ein elender Zufall wenn hier nun gleichzeitig mein Webserver vom Provider wie meine eigenen Server genau in dieser Nacht von der Blacklist verschwinden (Zumal Sie alle nie drauf waren). Daher bin ich nach wie vor davon überzeugt, dass Swisscom dieses Problem so schnell wie möglich aus dem Weg räumen wollte um keine Stellung zum Ganzen zu nehmen. Swisscom soll doch mal Stellung dazu nehmen, aber nein ist ja eine Verschwörungstheorie.

Downloading...

Internet Guard manipuliert öffentliche DNS Einträge

« Previous page

Page loading error.