high ports über Mobile Internet

Thirafre34

Guten Tag

Wir nutzen diverse WebApps über dynamische High-Ports. Diese high-Ports Verbindungen

werden seit heute bei unterschiedlichsten Swisscom-Mobile Geräten mit unterschiedlichen Browser unterdrückt,

d.h. wir kommen nicht mehr auf die entsprechenden Webseiten. Sobald Wlan eingeschaltet ist und die Verbindung

nicht mehr über das Mobile-Internet geht, funktionieren die entsprechenden Webseiten.

Hat sich da was geädert oder besteht hier eine Störung?

Vielen Dank

DomiP

Ist es möglich, dass die Apps serverseitig IP-Ranges blockieren?

Es ist möglich, dass dadurch dann die Nutzer mit Swisscom Natel-IP's keinen Zugriff mehr haben.

Anderweitig ist es natürlich auch möglich, dass die Anwendungen vielleicht durch Swisscom oder etwas anderes blockiert werden... Betreibst du die Applikationen aus dem privaten (persönlichen) Netzwerk oder einer Firmenstruktur? Was für Apps betreibst du überhaupt?

Thirafre34

Hallo DomiP

Vielen Dank für Deine Antworten.

Die Webseiten werden über unsere eigenen Server zu Verfügung gestellt.

Die IP Ranges werden nicht geblockt, das würden wir sehen.

Die "Anwendungen" sind ja "nur" Webseiten, welche normal mit dem Browser

angesprochen werden. Ist es möglich, dass Swisscom Mobile Verbindungen über high Ports

blockt?

Danke und Gruess

Thirafre34

nach einigem hin und her konnte ich folgendes herausfinden;

Apr 17 00:57:16 xxx kernel: [14685733.287392] ** SwisscomMobile **IN=eth0 OUT= MAC=00:1c:42:8d:48:9f:00:1c:42:0d:66:c3:08:00 src=178.197.238.24 DST=Dest.IP.Verst.eckt LEN=52 TOS=0x00 PREC=0x00 TTL=53 ID=61932 DF PROTO=TCP SPT=56780 DPT=443 WINDOW=154 RES=0x00 ACK URGP=0
Apr 17 00:57:16 xxx kernel: [14685733.323238] ** SwisscomMobile **IN=eth0 OUT= MAC=00:1c:42:8d:48:9f:00:1c:42:0d:66:c3:08:00 src=178.197.238.24 DST=Dest.IP.Verst.eckt LEN=660 TOS=0x00 PREC=0x00 TTL=53 ID=61933 DF PROTO=TCP SPT=56780 DPT=443 WINDOW=154 RES=0x00 ACK PSH URGP=0
Apr 17 00:57:16 xxx kernel: [14685733.381398] ** SwisscomMobile **IN=eth0 OUT= MAC=00:1c:42:8d:48:9f:00:1c:42:0d:66:c3:08:00 src=178.197.238.24 DST=Dest.IP.Verst.eckt LEN=52 TOS=0x00 PREC=0x00 TTL=53 ID=61934 DF PROTO=TCP SPT=56780 DPT=443 WINDOW=157 RES=0x00 ACK URGP=0
Apr 17 00:57:21 xxx kernel: [14685738.375136] ** SwisscomMobile **IN=eth0 OUT= MAC=00:1c:42:8d:48:9f:00:1c:42:0d:66:c3:08:00 src=178.197.238.24 DST=Dest.IP.Verst.eckt LEN=52 TOS=0x00 PREC=0x00 TTL=53 ID=61935 DF PROTO=TCP SPT=56780 DPT=443 WINDOW=157 RES=0x00 ACK FIN URGP=0

Apr 17 00:57:59 xxx kernel: [14685777.231343] ** Port 34529 **IN=eth0 OUT= MAC=00:1c:42:8d:48:9f:00:1c:42:0d:66:c3:08:00 src=178.197.232.48 DST=Dest.IP.Verst.eckt LEN=60 TOS=0x00 PREC=0x00 TTL=49 ID=39794 DF PROTO=TCP SPT=44291 DPT=34529 WINDOW=65535 RES=0x00 SYN URGP=0
Apr 17 00:57:59 xxx kernel: [14685777.231488] ** Port 34529 **IN=eth0 OUT= MAC=00:1c:42:8d:48:9f:00:1c:42:0d:66:c3:08:00 src=178.197.232.48 DST=Dest.IP.Verst.eckt LEN=60 TOS=0x00 PREC=0x00 TTL=48 ID=5617 DF PROTO=TCP SPT=9327 DPT=34529 WINDOW=65535 RES=0x00 SYN URGP=0

So wie es aussieht wechselt die mobile Internetverbindung die externe IP von

178.197.238.24

178.197.232.48

Eine Anfrage auf wieistmeineip.ch liefert konstant;

178.197.238.24

Dieses verhalten ist erst seit maximum 1-2 Tagen so. Ich bitte um eine Aufklärung.

Es kann ja nicht sein, dass in einer bestehenden Verbindung plötzlich die externe IP wechselt...

Vielen Dank!

Thirafre34

nach weiteren Tests ist es wirklich so, dass sobald anfragen auf unterschiedlichen Ports abgesetzt werden,

ändert sich auch die SRC IP des anfragenden Gerätes...Dies NUR bei Swisscom Mobile Internetverbindungen und

absolut Gerät und Browser unabhängig. Wie gesagt ist dieses Verhalten seit max 2 Tagen so.

Kann sich bitte jemand von Swisscom dazu äussern?

Vielen Dank!

GrandDixence

@Thirafre34 schrieb:

Es kann ja nicht sein, dass in einer bestehenden Verbindung plötzlich die externe IP wechselt...

Diese Aussage ist falsch. Für die bestehende TCP-Verbindung 178.197.238.24:56780->xxx.yyy.zzz.aaa:443 wird eine alter Routingtabelleneintrag vom Endgerät verwendet. Für die neu aufzubauende TCP-Verbindung 178.197.232.48:44291->xxx.yyy.zzz.aaa:34529 wird der aktuelle Zustand der Routingtabelle des Endgeräts verwendet. Man beachte das gesetzte TCP SYN-Flag! Gleiches gilt für die neu aufzubauende TCP-Verbindung 178.197.232.48:9327->xxx.yyy.zzz.aaa:34529. Dieses Verhalten ist Standard bei praktisch allen relevanten Betriebssystemen.

https://de.wikipedia.org/wiki/Transmission_Control_Protocol

https://de.wikipedia.org/wiki/Routingtabelle

Und da die Datenpakete auf einer Ethernet-Netzwerkschnittstelle eth0 reinkamen, ist das Problem auf dem Endgerät zu suchen, welches bei den Netzwerkdatenaufzeichnung an der eth0-Netzwerkschnittstelle angehängt war. Swisscom kann hier nicht als Schuldigen hingestellt werden...

Das "schuldige Endgerät" verwendet die MAC-Adresse: 00:1c:42:0d:66:c3 und ist eine " Parallels Virtual Machine".

Irgendwas, hat aus irgendeinem Grund die Routingtabelle auf dem Endgerät manipuliert. Oder die virtuelle Maschine verwendet wegen einem Konfigurationsfehler statt einem "virtuellen NAT" eine "virtuelle Bridge"! Feststellen kann man das unter macOS mit den Kommandozeilenwerkzeugen:

# ifconfig

# route -n

Unter Windows 10 heissen die Pendants:

# ipconfig /all

# route print

Thirafre34

Vielen Dank für die Antwort.

Vielleicht habe ich mich falsch ausgedrückt:

Wenn ich eine Verbindung von meinem Android auf die Webseite;

https://irgendeinewebseite.ch:443

starte, kommt auf dem Server die Anfrage mit der IP 178.197.238.24 an.

Wenn ich eine Verbindung vom gleichen Natel, gleicher Browser, gleiche Zeit auf die Webseite;

https://irgendeinewebseite.ch:8899

starte, kommt auf dem Server die Anfrage mit der IP 178.197.232.48 an.

Hinter beider Adressen steckt der selbe Server.

Die geschieht über das Mobile Internet von Swisscom. Jegliche andere Mobile Internet Verbindungen über

andere Provider (Salt, Cablecom) verhalten sich nicht so, d.h. die IP welche auf dem Server ankommen sind

bei beiden Anfragen die gleichen.

Auch wenn ich mit einem Wlan verbunden bin und Anfragen auf;

https://irgendeinewebseite.ch:443

oder

https://irgendeinewebseite.ch:8899

starte, kommt auf dem Server die Anfragen beide male mit der externen IP vom Wlan an.

Dass ich über Swisscom Mobile (und nur Swisscom und auch erst seit wenigen Tagen) bei der einen anfrage (https://irgendeinewebseite.ch:443) mit einer anderen IP Adresse beim Server ankomme, als bei der andere Anfrage (https://irgendeinewebseite.ch:8899) hat was mit dem Routing von Swisscom zu tun und kann ich selbst weder vom Endgerät (Handy) noch vom Server her beeinflussen...

DomiP

Ich würde dir empfehlen, den Support zu kontaktieren und die sollen dich dann mit dem 2nd-Level Support verbinden.

Es kann auch daran liegen, dass eine kommerzielle Nutzung aus einem privaten Netz nicht erlaubt wird und deshalb soetwas eben vorkommt.

Aber der 2nd-Level kann das genau analysieren und hilft dir gerne weiter!

Vausiowiess15

Ich kann das Problem von @Thirafre34 bestätigen. Mehrere Kunden von uns haben das gleiche Problem.

Wir haben ein Kundenportal (SSL / Port 443), welches den Kunden via Login-Links einen Login-freien Zugang in ein anderes System ermöglicht. Die Login-Links werden "on-the-fly" generiert und auf die Quell-IP des Kunden signiert. Die Ziel-URL läuft auf einem anderen Port (SSL / 8443) und verwirft das Login, da die Quell-IP sich plötzlich geändert hat.

Kurzum:
https://irgendeinewebseite.ch:443 gibt eine andere Quell-IP aus wie https://irgendeinewebseite.ch:8443

Das Problem tritt nur mit Swisscom Mobile auf. Hotspot mit Sunrise Mobile funktioniert problemlos. Das gleiche gilt für alle "normalen" Internet-Anschlüsse.

Ich finde es sehr ärgerlich, dass die Swisscom hier scheinbar irgendwie etwas geändert hat, was dann an diversen Stellen Probleme verursacht und für den Kunden total intransparent ist.

GrandDixence

Wie sehen den die "netstat -n" Ausgaben auf dem Client und Server aus (ohne IP-Adresszensur)?

Thirafre34

Für was brauchst du die entsprechenden Ausgaben?

Das Problem ist wohl die unterschiedliche Routings bei Swisscom

welche Port abhängig mal so und mal so ist...Dies lässt sich weder

von der Client-Seite noch von der Server-Seite aus beeinflussen...

Thirafre34

@Vausiowiess15

Vielen Dank für die unabhängige Bestätigung

Und ja, es ist äusserst Mühsam, dass hier Swisscom entsprechende Änderungen macht,

sich aber niemand dazu bekennt und jegliche Support-Anfragen mit einer solchen Anfrage

überfordert sind...

DomiP

@Thirafre34 @Vausiowiess15 wichtig ist zu wissen, dass solche Angebote eigentlich auch nicht für einen solchen Nutzen konzipiert wurden, sondern wirklich für die Nutzung in einem Natel für das Telefonieren und Surfen über das Netz.

Für solche Lösungen benötigt ihr eigentlich spezielle SIM-Karten oder Tarife. Ich denke teilweise könnte das auch ein "Verstoss" gegen die Fair-Use-Policy sein: https://www.swisscom.ch/de/privatkunden/rechtliches/fair-use-policy.html

Mobile Datentarife haben zudem keine feste oder zeitlich gesetzte IP. Die kann sich jederzeit einfach mal ändern und das ist auch normal so.

Wie auch immer, ich denke mit DynDNS sollte das eigentlich wirklich lösbar sein und auch sehr gut funktionieren.

Vausiowiess15

@DomiP ich bin mir nicht sicher, ob Du das Problem richtig einordnest.

"nicht für einen solchen Nutzen [...] sondern wirklich für die Nutzung in einem Natel für das Telefonieren und Surfen über das Netz.":

Es geht hier ja auch nur um "Surfen über das Netz". Das kann man jedoch über verschiedene Ports. Port 80 und 443 mögen die Standards für Webserver sein aber es gibt durchaus Szenarien, wo andere Ports zum Einsatz kommen können. Dieser Umstand sagt nichts über die Art der Nutzung aus.

Vielleicht hat Dein Arbeitgeber eine Webseite companyxy.ch und ein Intranet für Dich als Mitarbeiter auf einem anderen Port, z.B. intra.companyxy.ch:8080 (aus welchen Gründen auch immer). Wieso solltest Du a) das nicht nutzen können mit einem normalen Swisscom-Abo und b) wieso sollte - wenn Du beide in der gleichen Sekunde aufrufst - die IP bei beiden anders sein (jedoch immer gleich pro Port)?

Zudem würden nicht wir eine andere SIM-Karte benötigen sondern unsere Nutzer/Kunden, welche sich natürlich fragen, wieso sie über einen fixen Internetanschluss zugreifen können, über Hotspots anderer Anbieter ebenfalls aber über einen Hotspot ihres Swisscom-Abo's nicht.

Die IP kann sich jederzeit ändern. Das ist absolut klar und auch nicht das Problem. Die Verwendung zweier IP's während einer Sitzung je nach Port ist das Problem und schlicht unüblich/unlogisch.

Ich wüsste leider kein Szenario, bei dem DynDNS in diesem Fall helfen könnte, da damit andere Probleme gelöst werden.

DomiP

Ich glaube wir sprechen momentan aneinander etwas vorbei...

Möchtest du über das Mobilfunknetz eine Applikation zur Verfügung stellen, oder über das Mobilfunknetz auf eine Applikation zugreifen, welche aus einem Datencenter oder Netzwerk mit normalem Internet (wie zu Hause oder im Büro) stammt?

Vausiowiess15

Der zweite Fall: Externe Kunden/Nutzer versuchen über das Mobilfunknetz über eine Applikation aus einem Datencenter zuzugreifen.

Das Problem tritt nur bei Swisscom-Kunden auf, die mit einem Hotspot ihres Abos zugreifen möchten.

Wie @Thirafre34 erwähnt hat, dürfte es schwierig sein, diesen Sachverhalt via Support zu erklären/zu lösen.

DomiP

Okay jetzt verstehe ich dich! Entschuldige, dass ich zuerst etwas angreiflich war...

Es gab mal so einen Fall, jedoch kann ich ihn gerade nicht finden - gib mir kurz einen Moment bis ich ihn habe - dann melde ich mich wieder 😉

PowerMac

Du hast die Problemursache ja bereits schön eingegrenzt. Für sehr grosse Menge an Mobilekunden verwendet Swisscom ein entsprechend dimensioniertes NAT-System, dessen Algorithmen halt je nach Absender-IP und -Port eine andere öffentliche IP verwenden. Diese Vorgehensweise ist (leider) nicht unüblich, auch andere Provider machen das so. Soweit ich mich erinnere ist das auch z.B. bei T-Mobile und Vodafone und dem Provinzprovider Rii-Seez-Net so, wenn auch offenbar nicht bei Sunrise und Salt. NAT ist und bleibt halt eine Krücke.

Ehrlich gesagt bin ich der Meinung, dass das schon laaaange so ist und nicht erst kürzlich geändert wurde. Jedenfalls würde ich nicht davon ausgehen, dass Swisscom das in näherer Zeit ändert. Wobei dies für mich bisher noch nie Probleme verursacht hat, auch nicht mit Onlinebanking und ähnlichem.

Die sauberste Lösung wäre, wenn euer Kundenportal so angepasst würde, dass die Authentifizierungstickets nicht mit der Quell-IP signiert würden, sondern z.B. mit einem zufällig pro Session generierten und zwischen den Servern gesharten String. Wäre so oder so sicherheitstechnisch besser.

Ein weiterer Ansatz wäre, die zweite Applikation auf einer anderen IP, aber demselben Port zu betreiben, also statt https://irgendeinewebsite.ch:8443/ z.B. https://app.irgendeinewebsite.ch/ zu nehmen. Braucht dann eine zweite öffentliche IP und ist dennoch nicht so sauber wie der vorherige Ansatz.

Thirafre34

@PowerMac

Vielen Dank für den Input. Wir haben unsere Applikation bereits für das verhalten fit gemacht.

Trotzdem kann ich mit Sicherheit sagen, dass dies erst seit kurzem (siehe Datum beim ersten Post)

existiert und definitiv nicht schon lange...

DomiP

@Thirafre34 @Vausiowiess15 den vorhin erwähnten Post habe ich komischerweise nicht mehr gefunden - wurde anscheinend gelöscht... 🙄

Wie ich das verstehe hatte der Input von @PowerMac auch nicht gross weitergeholfen?

Dann würde ich mal versuchen, nochmals die KMU-Hotline unter 0800 055 055 anzurufen und die Person am Apparat bitten, für dieses Problem ein Ticket zu erstellen, welches von den 2nd-Level-Experten analysiert werden soll. Wenn das Problem wirklich erst kürzlich aufgetreten ist, muss da schon etwas anderes dahinterstecken. Als KMU-Customers habt ihr sowieso Recht eben auf solche Supportdienstleistungen in solchen Fällen.

Page suivante »