Verändert Swisscom die Quell-IP Adresse bei DNS-Abfragen?

[AF_Luke]

Folgende Ausgangslage:

- Swisscom BCON Kunde mit 4 fixen öffentlichen IP-Adressen (= 1 IP frei nutzbar)

- DMZ auf Centro Business Router eingerichtet

- am DMZ Port hängt Firewall mit fixer IP-Konfiguration innerhalb des von Swisscom zugeteilten Subnets

- Default-Route für Firewall zeigt auf Swisscom Router

- sämtlicher Traffic vom LAN via Firewall ins Internet wird via NAT auf öffentliche IP der Firewall übersetzt

Um die Sache etwas besser zu veranschaulichen nehmen wir mal an die erwähnte Firewall hat die Public-IP 1.1.1.1/30 und der Centro Business Router die IP 1.1.1.2/30.  Das heisst auf Grund meiner NAT-Regel auf der Firewall erscheint sämtlicher Verkehr aus dem LAN gegenüber dem Internet mit der IP 1.1.1.1. Interessanterweise scheint das aber seit Anfangs September nicht mehr für DNS-Abfragen zu gelten. Gegenüber dem DNS-Server im Internet lautet die Quell-IP Adresse der DNS-Abfrage nicht wie zu erwarten 1.1.1.1 sondern neu 1.1.1.2. Ich kann das Phänomen bei 4 BCON-Kunden exakt so reproduzieren. Ergo muss ich davon ausgehen, dass Swisscom seit einiger Zeit (in meinem Fall scheint das bei 4 Kunden seit Anfangs September der Fall zu sein) die DNS-Pakete manipuliert.

Ich kann nachvollziehen, das DNS-Antworten (nicht Anfragen) im Zuge der Einführung des Internet Guards bewusst verändert werden. Dass nun aber selbst der DNS-Request IP-mässig verändert wird, wäre mir neu und ist nicht ganz unproblematisch.

Wir haben bei diversen Kunden OpenDNS resp. Cisco Umbrella im Einsatz. Dort ist jeweils die Public-IP der Firewall (in unserem Beispiel die 1.1.1.1) hinterlegt. Nun funktionieren diverse Filterregeln nicht mehr, weil der DNS-Request ganz offensichtlich von der IP 1.1.1.2 daher kommt. Mit der Erfassung der IP 1.1.1.2 bei OpenDNS ist das Problem natürlich gelöst. Nichtsdestotrotz finde ich es höchst verwunderlich, dass die Quell-IP der DNS-Anfrage verändert wird. Wie erwähnt muss das erst kürzlich eingeführt worden sein.

Ich konnte kein offizielles Statement oder Information von Swisscom zu diesem Thema finden und wende mich deshalb hier mal an die Community. Evtl. kann mir hier jemand bestätigen/erklären, dass dies bewusst so geändert wurde und weshalb.

[gasoo]

Hmm, kann mir nicht vorstellen, dass das irgendwie einfach so gemacht wird.

Aber um dem ganzen auf den Grund zu gehen, kannst du mir folgende Fragen beantworten?

- Werden die DNS Anfragen von einem lokalen DNS Server gemacht, oder von den Clients direkt?

- Werden nur DNS Pakete mit der falschen IP im Internet angezeigt oder auch andere Verbindung (z.B. HTTP)?

- Was passiert, wenn du die DNS Anfrage mit TCP anstatt mit UDP machst?

[AF_Luke]

Hallo gasoo

Ja es wäre schon ein ziemlich grosser Eingriff den sich Swisscom da erlauben würde.

Zu deinen Fragen:

- DNS-Anfragen werden in den erwähnten Fällen von einem lokalen DNS-Server gemacht

- ich hab jetzt nicht alle möglichen Protokolle getestet aber zumindest HTTP, SSH, FTP verhält sich wie erwartet

- DNS via TCP scheint sich tatsächlich anders zu verhalten, da erhalte ich die erwartete Quell-IP

Ausserdem habe ich mal noch testweise den DNS-Verkehr auf der Firewall inbound und outbound aufgezeichnet und da läuft alles so wie zu erwarten. Ich will nicht kategorisch ausschliessen, dass allenfalls irgendwelche Firewall Inspection-Settings da mit reinspielen. Allerdings habe ich dieses Verhalten effektiv nur bei Swisscom BCON Anschlüssen. Bei anderen Providern mit demselben Setup kann ich das nicht reproduzieren.

[gasoo]

Ok, das heisst, es kann auf UDP eingegrenzt werden.

Falls du das irgendwie testen kannst, wäre interessant zu wissen, ob es nur auf Port 53, also DNS, oder auch auf anderen Ports passiert. (z.B. NTP).

Ich kann mir vorstellen, dass dies irgendwie mit DDoS Protection zu tun hat, da es nur UDP betrifft. 

Wenn ich dich korrekt verstanden habe, hast du auf dem Public Interface deines Routers gesehen, dass das NAT auf deinem Router korrekt gemacht wurde?

Was für ein Anschluss ist das genau?

Kannst du mir evtl. per PN die IP von einem betroffenen Anschluss angeben?

[Tux0ne]

Ich bestätige dieses Verhalten mit 09.04.04

In der DMZ NAT Table sind auch keine Einträge über Port 53 vorhanden. Mit 09.04.02 ist alles so wie es sein sollte.

Fordere eine lückenlose Aufklärung wieso das so ist. Ist das ein Fehler oder gewollt? Wenn ja, warum.  @MarcelNag @Anonym 

[AF_Luke]

Hallo Tux0ne

Vielen Dank für deine Abklärungen, dann haben wir ja schon mal einen Anhaltspunkt...

[gasoo]

Scheint ein Bug in der aktuellen Firmware zu sein, so wie es aussieht gibt es einen Workaround.

Soweit ich beurteilen kann, geht dies aber nur via Hotline.

Es wäre ein Versuch Wert, da mal anzurufen.

[Tux0ne]

Hat jemand sein Glück mit der Hotline versucht und kann einen Erfolg vermelden?

Habe da aktuell einen Fall da behauptet der Informatiker er können keine DNS Auflösung machen... 😄

Pflichtgemäss habe ich die Hotline angerufen und es ist da zumindest bei der Person die ich am Apparat habe NICHTS bekannt bezüglich DNS und aktueller Firmware.

[StefanoC]

Sali zäme

Falls das Problem noch besteht könnt Ihr euch bei mir privat melden. Wir haben einen Workaround für dieses Problem.

Gruss

StefanoC

[Tux0ne]

Wie sollte bei gleicher Firmware das Problem nicht mehr bestehen?

[StefanoC]

Sali @Tux0ne 

Wir haben einen Workaround für die bestehende Firmware. Der definitive Fix ist in Bearbeitung.

Gruss

StefanoC