staging.inyokaproject.org

Ich betreibe einen Nextcloud-Server (Ubuntu 20.04.1 LTS, Apache2).

Problem: http://nc2.zaft-dresden.de ist immer erreichbar, bei https://nc2.zaft-dresden.de kommt es bei einigen Adressen (bisher nur aus dem Vodafone-Netz) zum Timeout. Dass es kein generelles Vodafone-Problem ist, musste ich soeben mit zwei nebeneinander liegenden (Vodafone-) Telefonen feststellen: die Anfrage von IP 100.78.128.222 funktioniert, die von 100.95.60.123 läuft in den Timeout.

Ich würde den Fehler bei mir gerne ausschließen, deshalb folgende Fragen:

• Welche Blacklists gibt es bei Ubuntu oder im Apachen, die ich unbewusst am Laufen haben könnte?

• Welche Fehler könnte ich noch gemacht haben, die eine Antwort auf eine https:// - Anfrage verhindern?

• Wer hat ähnliche Probleme mit http und https?

Vielen Dank für eure Hilfe,

Gerd

Soweit mir bekannt werden bei Ubuntu standardmäßig keine Ips gefiltert, man kann aber eine Firewall einrichten. Prüfe mit dem Wireshark, ob denn die Pakete überhaupt ankommen, also von der Adresse, von der es den Timeout gibt. Auch traceroute kann dir behilflich sein.

(persönliche Meinung)Vodafone ist immer ein Problem 😉

Da ich gerade mit meinen Nameservern rumspiele: Mir ist aufgefallen, dass ich Probleme bei der Namensauflösung von zaft-dresden.de habe. Der eine Rechner spuckt eine ipv4-Adresse aus, der andere ein „host not found“. Du könntest also mal ein paar DNS-Abfragen starten, bspw. mit dig:

dig zaft-dresden.de 8.8.8.8

würde einen der google-dns nutzen. Schau in den Vodafone-Geräten nach dem Nameserver und verwende diesen, vielleicht findet sich da ja etwas. Da es sich um Telefone handelt, dürfte das fehlende ipv6 kein Problem sein — aber du könntest das ja auch mal aktivieren und testen.

Dank für eure Hinweise.

@ChickenLipsRfun2eat: Ich bin hier in einem unter-unter-Netz vom DFN, da läuft ipv6 gar nicht. Die Namensauflösung zu nc2.zaft-dresden.de sollte aber bei allen deinen Maschinen funktionieren (?)

@DJKUhpisse WireShark ist mit der Ubuntu-Serverversion (ohne GUI) schlecht zu machen 😢 , tcpdump gibt es aber und protokolliert bei einer Anfrage vom Telefon:

14:34:52.908306 IP ip-109-40-240-123.web.vodafone.de.26869 > nc2.zaft-dresden.de.https: Flags [S], seq 2689371681, win 65535, options [mss 1460,sackOK,TS val 4088179858 ecr 0,nop,wscale 6], length 0
14:34:52.908387 IP nc2.zaft-dresden.de.https > ip-109-40-240-123.web.vodafone.de.26869: Flags [S.], seq 1876521471, ack 2689371682, win 65160, options [mss 1460,sackOK,TS val 1135561707 ecr 4088179858,nop,wscale 7], length 0
14:34:52.937705 IP ip-109-40-240-123.web.vodafone.de.26869 > nc2.zaft-dresden.de.https: Flags [.], ack 1, win 1024, options [nop,nop,TS val 4088179888 ecr 1135561707], length 0
14:34:52.951133 IP ip-109-40-240-123.web.vodafone.de.26869 > nc2.zaft-dresden.de.https: Flags [P.], seq 1:410, ack 1, win 1024, options [nop,nop,TS val 4088179901 ecr 1135561707], length 409
14:34:52.951238 IP nc2.zaft-dresden.de.https > ip-109-40-240-123.web.vodafone.de.26869: Flags [.], ack 410, win 506, options [nop,nop,TS val 1135561750 ecr 4088179901], length 0
14:34:52.959425 IP nc2.zaft-dresden.de.https > ip-109-40-240-123.web.vodafone.de.26869: Flags [P.], seq 1:2897, ack 410, win 506, options [nop,nop,TS val 1135561758 ecr 4088179901], length 2896
14:34:52.959458 IP nc2.zaft-dresden.de.https > ip-109-40-240-123.web.vodafone.de.26869: Flags [P.], seq 2897:3630, ack 410, win 506, options [nop,nop,TS val 1135561758 ecr 4088179901], length 733
14:34:52.988480 IP ip-109-40-240-123.web.vodafone.de.26869 > nc2.zaft-dresden.de.https: Flags [.], ack 1, win 1024, options [nop,nop,TS val 4088179939 ecr 1135561750,nop,nop,sack 1 {2897:3630}], length 0
14:34:52.988801 IP ip-109-40-240-123.web.vodafone.de.26869 > nc2.zaft-dresden.de.https: Flags [.], ack 3630, win 1070, options [nop,nop,TS val 4088179939 ecr 1135561758], length 0

14:35:13.107096 IP ip-109-40-240-123.web.vodafone.de.26869 > nc2.zaft-dresden.de.https: Flags [F.], seq 410, ack 3630, win 1070, options [nop,nop,TS val 4088200057 ecr 1135561758], length 0
14:35:13.107278 IP nc2.zaft-dresden.de.https > ip-109-40-240-123.web.vodafone.de.26869: Flags [F.], seq 3630, ack 411, win 506, options [nop,nop,TS val 1135581906 ecr 4088200057], length 0
14:35:13.137597 IP ip-109-40-240-123.web.vodafone.de.26869 > nc2.zaft-dresden.de.https: Flags [.], ack 3631, win 1070, options [nop,nop,TS val 4088200088 ecr 1135581906], length 0

und bei einer funktionierenden Anfrage (hier aus dem hausinternen Netz):

14:35:17.107485 IP z-pc113.zaft.htw-dresden.de.56666 > nc2.zaft-dresden.de.https: Flags [S], seq 4261491182, win 29200, options [mss 1460,sackOK,TS val 1976077143 ecr 0,nop,wscale 7], length 0
14:35:17.107547 IP nc2.zaft-dresden.de.https > z-pc113.zaft.htw-dresden.de.56666: Flags [S.], seq 2005113359, ack 4261491183, win 65160, options [mss 1460,sackOK,TS val 2797231488 ecr 1976077143,nop,wscale 7], length 0
14:35:17.108363 IP z-pc113.zaft.htw-dresden.de.56666 > nc2.zaft-dresden.de.https: Flags [.], ack 1, win 229, options [nop,nop,TS val 1976077144 ecr 2797231488], length 0
14:35:17.108806 IP z-pc113.zaft.htw-dresden.de.56666 > nc2.zaft-dresden.de.https: Flags [P.], seq 1:322, ack 1, win 229, options [nop,nop,TS val 1976077144 ecr 2797231488], length 321
14:35:17.108862 IP nc2.zaft-dresden.de.https > z-pc113.zaft.htw-dresden.de.56666: Flags [.], ack 322, win 507, options [nop,nop,TS val 2797231490 ecr 1976077144], length 0
14:35:17.122820 IP nc2.zaft-dresden.de.https > z-pc113.zaft.htw-dresden.de.56666: Flags [P.], seq 1:3630, ack 322, win 507, options [nop,nop,TS val 2797231504 ecr 1976077144], length 3629
14:35:17.123766 IP z-pc113.zaft.htw-dresden.de.56666 > nc2.zaft-dresden.de.https: Flags [.], ack 3630, win 285, options [nop,nop,TS val 1976077159 ecr 2797231504], length 0
14:35:17.126539 IP z-pc113.zaft.htw-dresden.de.56666 > nc2.zaft-dresden.de.https: Flags [P.], seq 322:402, ack 3630, win 285, options [nop,nop,TS val 1976077162 ecr 2797231504], length 80
14:35:17.126552 IP nc2.zaft-dresden.de.https > z-pc113.zaft.htw-dresden.de.56666: Flags [.], ack 402, win 507, options [nop,nop,TS val 2797231507 ecr 1976077162], length 0
14:35:17.126859 IP nc2.zaft-dresden.de.https > z-pc113.zaft.htw-dresden.de.56666: Flags [P.], seq 3630:3933, ack 402, win 507, options [nop,nop,TS val 2797231508 ecr 1976077162], length 303
14:35:17.126990 IP nc2.zaft-dresden.de.https > z-pc113.zaft.htw-dresden.de.56666: Flags [P.], seq 3933:4236, ack 402, win 507, options [nop,nop,TS val 2797231508 ecr 1976077162], length 303
14:35:17.127175 IP z-pc113.zaft.htw-dresden.de.56666 > nc2.zaft-dresden.de.https: Flags [P.], seq 402:570, ack 3630, win 285, options [nop,nop,TS val 1976077163 ecr 2797231507], length 168
14:35:17.127187 IP nc2.zaft-dresden.de.https > z-pc113.zaft.htw-dresden.de.56666: Flags [.], ack 570, win 506, options [nop,nop,TS val 2797231508 ecr 1976077163], length 0
14:35:17.127595 IP z-pc113.zaft.htw-dresden.de.56666 > nc2.zaft-dresden.de.https: Flags [.], ack 4236, win 331, options [nop,nop,TS val 1976077163 ecr 2797231508], length 0
14:35:17.130623 IP nc2.zaft-dresden.de.https > z-pc113.zaft.htw-dresden.de.56666: Flags [P.], seq 4236:4753, ack 570, win 506, options [nop,nop,TS val 2797231512 ecr 1976077163], length 517
14:35:17.133842 IP z-pc113.zaft.htw-dresden.de.56666 > nc2.zaft-dresden.de.https: Flags [F.], seq 570, ack 4753, win 353, options [nop,nop,TS val 1976077169 ecr 2797231512], length 0
14:35:17.134007 IP nc2.zaft-dresden.de.https > z-pc113.zaft.htw-dresden.de.56666: Flags [P.], seq 4753:4777, ack 571, win 506, options [nop,nop,TS val 2797231515 ecr 1976077169], length 24
14:35:17.134090 IP nc2.zaft-dresden.de.https > z-pc113.zaft.htw-dresden.de.56666: Flags [F.], seq 4777, ack 571, win 506, options [nop,nop,TS val 2797231515 ecr 1976077169], length 0
14:35:17.134562 IP z-pc113.zaft.htw-dresden.de.56666 > nc2.zaft-dresden.de.https: Flags [R], seq 4261491753, win 0, length 0
14:35:17.134562 IP z-pc113.zaft.htw-dresden.de.56666 > nc2.zaft-dresden.de.https: Flags [R], seq 4261491753, win 0, length 0

So richtig verstehe ich diese Protokolle nicht. Hängsts nun an meinem Server (nc2.zaft-dresden.de) oder klemmts auf der anderen Seite? Btw.: Der Server liefert jetzt einfach nur den Text "Hallo Welt".

Weder im System-Log noch im Apache-Log findet sich ein Hinweis auf die Anfrage von ip-109-40-240-123.web.vodafone.de. Wie muss ich die entsprechenden Loglevel setzen, um hier mehr Informationen zu bekommen?

Man sollte erst die Bedienungsanleitung lesen und dann handeln. Bitte entschuldigt meinen Übereifer.

Jetzt also: tcpdump roh gespeichert und im Nachhinein mit Wireshark analysiert ergibt für die Anfrage vom Telefon (109.40.240.123; ab No. 141 Anfrage beim Client manuell abgebrochen):

No.     Time           Source                Destination           Protocol Length Info
     83 10.569805      109.40.240.123        141.56.119.20         TCP      74     19821 → 443 [SYN] Seq=0 Win=65535 Len=0 MSS=1460 SACK_PERM=1 TSval=4143599834 TSecr=0 WS=64
     84 10.569835      141.56.119.20         109.40.240.123        TCP      74     443 → 19821 [SYN, ACK] Seq=0 Ack=1 Win=65160 Len=0 MSS=1460 SACK_PERM=1 TSval=1190981682 TSecr=4143599834 WS=128
     85 10.597657      109.40.240.123        141.56.119.20         TCP      66     19821 → 443 [ACK] Seq=1 Ack=1 Win=65536 Len=0 TSval=4143599862 TSecr=1190981682
     86 10.615476      109.40.240.123        141.56.119.20         TLSv1.3  475    Client Hello
     87 10.615501      141.56.119.20         109.40.240.123        TCP      66     443 → 19821 [ACK] Seq=1 Ack=410 Win=64768 Len=0 TSval=1190981728 TSecr=4143599880
     88 10.620741      141.56.119.20         109.40.240.123        TLSv1.3  2962   Server Hello, Change Cipher Spec, Application Data
     89 10.620794      141.56.119.20         109.40.240.123        TLSv1.3  799    Application Data, Application Data, Application Data
     90 10.648186      109.40.240.123        141.56.119.20         TCP      78     [TCP Dup ACK 85#1] 19821 → 443 [ACK] Seq=410 Ack=1 Win=65536 Len=0 TSval=4143599913 TSecr=1190981728 SLE=2897 SRE=3630
     91 10.648261      109.40.240.123        141.56.119.20         TCP      66     19821 → 443 [ACK] Seq=410 Ack=3630 Win=68480 Len=0 TSval=4143599913 TSecr=1190981733

    141 19.405245      109.40.240.123        141.56.119.20         TCP      66     19821 → 443 [FIN, ACK] Seq=410 Ack=3630 Win=68480 Len=0 TSval=4143608670 TSecr=1190981733
    142 19.405367      141.56.119.20         109.40.240.123        TCP      66     443 → 19821 [FIN, ACK] Seq=3630 Ack=411 Win=64768 Len=0 TSval=1190990518 TSecr=4143608670
    143 19.432224      109.40.240.123        141.56.119.20         TCP      66     19821 → 443 [ACK] Seq=411 Ack=3631 Win=68480 Len=0 TSval=4143608697 TSecr=1190990518

und für die Anfrage aus dem internen Netz (141.56.119.113):

No.     Time           Source                Destination           Protocol Length Info
     20 2.018189       141.56.119.113        141.56.119.20         TCP      74     33530 → 443 [SYN] Seq=0 Win=29200 Len=0 MSS=1460 SACK_PERM=1 TSval=2031464368 TSecr=0 WS=128
     21 2.018250       141.56.119.20         141.56.119.113        TCP      74     443 → 33530 [SYN, ACK] Seq=0 Ack=1 Win=65160 Len=0 MSS=1460 SACK_PERM=1 TSval=2852618712 TSecr=2031464368 WS=128
     22 2.019093       141.56.119.113        141.56.119.20         TCP      66     33530 → 443 [ACK] Seq=1 Ack=1 Win=29312 Len=0 TSval=2031464369 TSecr=2852618712
     23 2.035256       141.56.119.113        141.56.119.20         TLSv1.3  387    Client Hello
     24 2.035314       141.56.119.20         141.56.119.113        TCP      66     443 → 33530 [ACK] Seq=1 Ack=322 Win=64896 Len=0 TSval=2852618729 TSecr=2031464385
     25 2.054044       141.56.119.20         141.56.119.113        TLSv1.3  2962   Server Hello, Change Cipher Spec, Application Data
     26 2.054209       141.56.119.20         141.56.119.113        TLSv1.3  799    Application Data, Application Data, Application Data
     27 2.055152       141.56.119.113        141.56.119.20         TCP      66     33530 → 443 [ACK] Seq=322 Ack=2897 Win=35072 Len=0 TSval=2031464405 TSecr=2852618748
     28 2.055152       141.56.119.113        141.56.119.20         TCP      66     33530 → 443 [ACK] Seq=322 Ack=3630 Win=37888 Len=0 TSval=2031464405 TSecr=2852618748

     29 2.113041       141.56.119.113        141.56.119.20         TLSv1.3  146    Change Cipher Spec, Application Data
     30 2.113071       141.56.119.20         141.56.119.113        TCP      66     443 → 33530 [ACK] Seq=3630 Ack=402 Win=64896 Len=0 TSval=2852618807 TSecr=2031464463
     31 2.113707       141.56.119.20         141.56.119.113        TLSv1.3  369    Application Data
     32 2.113943       141.56.119.113        141.56.119.20         TLSv1.3  234    Application Data
     33 2.113961       141.56.119.20         141.56.119.113        TCP      66     443 → 33530 [ACK] Seq=3933 Ack=570 Win=64768 Len=0 TSval=2852618808 TSecr=2031464464
     34 2.114284       141.56.119.20         141.56.119.113        TLSv1.3  369    Application Data
     35 2.114469       141.56.119.113        141.56.119.20         TCP      66     33530 → 443 [ACK] Seq=570 Ack=3933 Win=40832 Len=0 TSval=2031464464 TSecr=2852618808
     36 2.114948       141.56.119.113        141.56.119.20         TCP      66     33530 → 443 [ACK] Seq=570 Ack=4236 Win=43776 Len=0 TSval=2031464465 TSecr=2852618808
     37 2.124866       141.56.119.20         141.56.119.113        TLSv1.3  583    Application Data
     38 2.125702       141.56.119.113        141.56.119.20         TCP      66     33530 → 443 [ACK] Seq=570 Ack=4753 Win=46592 Len=0 TSval=2031464476 TSecr=2852618819
     39 2.127810       141.56.119.113        141.56.119.20         TCP      66     33530 → 443 [FIN, ACK] Seq=570 Ack=4753 Win=46592 Len=0 TSval=2031464478 TSecr=2852618819
     40 2.128180       141.56.119.20         141.56.119.113        TLSv1.3  90     Application Data
     41 2.128375       141.56.119.20         141.56.119.113        TCP      66     443 → 33530 [FIN, ACK] Seq=4777 Ack=571 Win=64768 Len=0 TSval=2852618823 TSecr=2031464478
     42 2.128955       141.56.119.113        141.56.119.20         TCP      60     33530 → 443 [RST] Seq=571 Win=0 Len=0
     43 2.128955       141.56.119.113        141.56.119.20         TCP      60     33530 → 443 [RST] Seq=571 Win=0 Len=0

Warum sendet das Telefon nach No. 91 nicht eine der No. 29 aus dem internene Netz ähnelnde Anfrage/Nachricht? Wo genau steckt das Problem? Ist es überhaupt das Telefon, das mit dem Server kommuniziert, oder ist das irgend eine Zwischenstelle? Im Telefon wird als IP immernoch die 100.95.60.123 angezeigt.

Fragen über Fragen. Ich hoffe, ihr könnt mir da weiterhelfen und sag schonmal Dank dafür.

Ok, weitere Untersuchungen haben gezeigt, dass die Verbindung irgendwo auf dem Weg zwischen Client und Server unterbrochen wird. Dem Hinweis eines Arbeitskollegens, den Vodafonern doch ordentlich auf die Füße zu treten, werde ich vielleicht noch nachkommen.

Ich markiere dieses Thema jetzt als gelöst, denn mit ner Blacklist im Apachen oder im Ubuntu hat der Fehler offensichtlich wirklich nix zu tun.