Onderwerp: Linux firewall blokkeert nieuws websites

Het heeft weinig met hosting te maken dus ik plaats hem in de Lounge. Ik hoop dat een van de vele Linux experts hier mij in de goede richting kan sturen.

Ik heb een Ubuntu 11.10 server draaien en was aan het testen met wat pakketjes om er een mooie firewall / IDS gateway van te maken.
Daarnaast heb ik wat handleidingen gevolgd om hem te laten schakelen naar de andere DSL verbinding bij een storing aan de eerste.

Nu kwam ik er achter dat alles naar behoren werkt maar dat alle nieuws websites geblokkeerd worden. Nu.nl, ad.nl, telegraaf.nl maar ook Belgische als hln.be of de New York Times. Er is geen proxy software als Squid geïnstalleerd. Het rare is, de titel van de pagina komt wel in beeld. De pagina zelf blijft wit. Je ziet het icoontje draaien dat de site geladen wordt maar er komt gewoon niets.

Als IDS pakket gebruik ik Suricata maar die is momenteel niet gestart.

Heeft iemand een idee wat er geïnstalleerd kan zijn wat deze sites blokkeert? Ik heb diverse handleidingen klakkeloos gevolgd en diverse pakketjes geïnstalleerd.
Ik kan hem wel opieuw installeren maar ik wil graag weten waar het vandaan komt.

Oorspronkelijk geplaatst door Patrick_st

Het heeft weinig met hosting te maken dus ik plaats hem in de Lounge. Ik hoop dat een van de vele Linux experts hier mij in de goede richting kan sturen.

Ik heb een Ubuntu 11.10 server draaien en was aan het testen met wat pakketjes om er een mooie firewall / IDS gateway van te maken.
Daarnaast heb ik wat handleidingen gevolgd om hem te laten schakelen naar de andere DSL verbinding bij een storing aan de eerste.

Nu kwam ik er achter dat alles naar behoren werkt maar dat alle nieuws websites geblokkeerd worden. Nu.nl, ad.nl, telegraaf.nl maar ook Belgische als hln.be of de New York Times. Er is geen proxy software als Squid geïnstalleerd. Het rare is, de titel van de pagina komt wel in beeld. De pagina zelf blijft wit. Je ziet het icoontje draaien dat de site geladen wordt maar er komt gewoon niets.

Als IDS pakket gebruik ik Suricata maar die is momenteel niet gestart.

Heeft iemand een idee wat er geïnstalleerd kan zijn wat deze sites blokkeert? Ik heb diverse handleidingen klakkeloos gevolgd en diverse pakketjes geïnstalleerd.
Ik kan hem wel opieuw installeren maar ik wil graag weten waar het vandaan komt.

De-installeer wat van die pakketjes die je geinstalleerd had om er een firewall/IDS gateway van te maken.

Dat zijn er nogal wat en om nu random pakketjes op goed geluk te verwijderen, heeft niet mijn voorkeur.

Tja, toch heeft visser eigenlijk wel gelijk, want je zegt klakkeloos zaken te hebben geinstalleerd en nu werkt ineens iets niet meer helemaal. Dan mogen wij in de grote zak met hooi -op afstand zonder die baal hooi ook maar gezien te hebben- gaan zoeken naar de bewuste naald. Dat is niet echt handig natuurlijk.

Je zegt dat het de firewall is, ik denk dat het net zo waarschijnlijk is dat ergens een browser ad blocker de bewuste sites blokt. Maar aangezien we niet eens weten wat voor browser je gebruikt...
Wat je eens zou kunnen proberen is op de command line een wget uit te voeren en dan te kijken ofdat in het html bestand dat overgehaald wordt wel meer details staan of dat ook zo leeg is en alleen een title heeft.

Succes!

Ik hoopte eigenlijk dat iemand het bekend zou voorkomen en direct kon zeggen dat is dat en dat pakketje.
De wget optie vind ik een goede, daar ga ik mee testen.

Het is vanaf meerdere PC's en browsers.

Oorspronkelijk geplaatst door Patrick_st

Ik hoopte eigenlijk dat iemand het bekend zou voorkomen en direct kon zeggen dat is dat en dat pakketje.

Umm.. nee, ik snap je wel, maar die kans is niet zo groot. We moeten echt je setup weten en wat je allemaal precies hebt gedaan. Zonder dat soort van detail is het gewoon gokwerk.

Oorspronkelijk geplaatst door Patrick_st

Het is vanaf meerdere PC's en browsers.

Bijvoorbeeld vermeld je hier nu pas dat je "server" waar het om gaat blijkbaar als router o.i.d. is ingesteld. Daar werd in je 1e post niet over gesproken. Je zegt wel server, maar dat kan net zo goed een database server zijn, of een webserver, wij weten van niks.

Ik weet dat het waarschijnlijk een waslijst van zaken is die je hebt gedaan, maar da's dus les 1 bij het configureren van een netwerk of server. Noteer exact wat je gedaan hebt. Dan is het een stuk makkelijker om help te vragen en kan je 2 jaar na dato zelf ook nog je systeem onderhouden.

Qua troubleshoot tips. Je kan die wget dus zowel vanaf je "server" draaien alsook vanaf je andere PC's. Controleer ook ofdat je wel het juiste IP adres terugkrijgt voor die sites. Met bijvoorbeeld het nslookup commando.

Maar eigenlijk is mijn suggestie: Begin opnieuw, schrijf iedere stap op en test tussendoor of het nog steeds werkt. Je weet wat er nu kapot is, dus je weet ook waar op te letten bij het testen.

Oorspronkelijk geplaatst door Patrick_st

Ik hoopte eigenlijk dat iemand het bekend zou voorkomen en direct kon zeggen dat is dat en dat pakketje.
De wget optie vind ik een goede, daar ga ik mee testen.

Het is vanaf meerdere PC's en browsers.

Ik zie dat de eerdere posters goed hebben uitgelegd waarom mijn eerste reactie was zoals ik hem schreef.

Om eerlijk te zijn denk ik dat je sneller klaar bent als je met een schoon systeem begint, nadenkt welke pakketten je wilt gebruiken, die er _één voor één_ op zet, en telkens kijkt of ze werken als bedoeld.
(Lees ook van elk van die firewall of ids pakketten hoe ze werken, dan snap je meestal ook of je bij dat pakket moet zoeken voor dit type fout, of juist niet).

Nu leest het alsof je nogal onervaren bent, alles wat lijkt op "firewall" erop gegooid hebt onder het motto "meer is beter" (dat is niet zo), en in die brij denkt nog wat te kunnen repareren.
Met het soort tips wat we je op afstand kunnen geven gaat misschien de technische oorzaak gevonden (waarschijnlijk na een berg heen en weer posts, elders liep een thread van 90 posts voor iemand vastliep op "iets met errorlogs van apache" ). Daarna moet dan nog boven water komen welk van "al die pakketjes" die je geinstalleerd het op die manier geconfigged heeft.

Blijkbaar gebruik je die machine als gateway/proxy.

als proxy server ?
of als ip gateway ? als transparante proxy ?

Als de machine voor proxy speelt, zal er waarschijnlijk door de proxy gefilterd worden, en vermoedelijk iets teveel.
Misschien probeert de server via een dns gebaseerde blocklist te filteren, dat zou ook iets kunnen verklaren.

Zelf neem ik redelijk snel de sniffer (wireshark) om snel even te kijken wat er gebeurt of wat er (niet) heen en weer gaat in dit soort gevallen.

De machine was geen proxy, wel de gateway/router naar buiten toe.

Voor de firewall kant gebruik ik alleen een iptables script. De pakketjes die geïnstalleerd zijn, zijn voornamelijk voor het IDS gedeelte. Ik wilde eens testen met suricata, barnyard2 en snorby. Dat IDS gedeelte is nieuw voor mij en daar heb ik wat handleidingen voor geprobeerd.

Met wget heb ik een plaatje van ad.nl binnen kunnen halen op de machine zelf. Op een andere PC kan ik het plaatje ook gewoon openen. Het nieuws artikel waar het plaatje in staat, wil dan niet laden.

Wireshark heb ik nog geen ervaring mee. Ik heb met tcpdump gekeken en dan zie je wel een paar pakketjes over en weer gaan en daarna blijft het stil.

Ik heb alle processen gestopt die misschien invloed kunnen hebben, geen verschil.
Ik heb met grep -R laten zoeken op diverse site namen als ad.nl en telegraaf.nl, je zou verwachten dat er ergens een config of log bestandje staat waar die namen in terug komen. Niets gevonden.

Google Chrome liet net iets meer zien dan Internet Explorer, Chrome geeft onder in beeld aan waar hij op aan het wachten is. Toen bleek dat veel kranten gebruik maken van hetzelfde Content Delivery Network en dat hij daarop aan het wachten is. Ik ben toen de DNS server na gaan lopen en daar bleken verkeerde forwarders in te staan (Windows DNS server)
Na het invullen van de juiste forwarders, duurt het nog steeds erg lang voordat een pagina opent maar na een halve minuut laadt de pagina nu wel. Ook bij het aanklikken van een link duurt het weer een halve minuut voordat de pagina in beeld komt.

Ik ben vaker tegen DNS problemen aangelopen en mijn ervaring is dat als een adres eenmaal bekend is, dat het browsen binnen hetzelfde domein daarna wel snel gaat. Dat is hier niet het geval, elk artikel wat ik probeer te openen duurt weer een halve minuut.

Mijn conclusie dat er een pakketje is geïnstalleerd wat nieuws websites blokkeert, lijkt hiermee te voorbarig.

Als ik de DNS van mijn laptop aanpas naar de DNS servers van Google, dan maakt dit geen verschil.
Ik heb om verder te testen Squid geïnstalleerd als proxy server. Als ik mijn laptop instel om via de proxy naar buiten te gaan, is alles snel en normaal zoals het moet zijn.

Ik krijg steeds meer het idee dat de problemen niet door de Linux machine komen maar elders in het netwerk zitten. Aan de andere kant, als ik mijn laptop rechtstreeks op het modem aansluit, is er geen probleem. Zet ik de Linux machine er tussen, dan duurt het een halve minuut voordat bijvoorbeeld ad.nl in beeld staat.
De Linux machine is de default gateway. Het maakt niet uit of ik de open DNS van Google gebruik of de Windows server als DNS instel.

Het netwerk is 1 subnet, de Linux machine is de default gateway. Als ik mijn DNS client instel om Google als DNS server te gebruiken, is er voor zover ik weet geen enkele koppeling met de Window server, mijn laptop is geen onderdeel van het Windows domein. Toch kon ik voor het aanpassen van de DNS op de Windows server geen enkele nieuws site openen, na de aanpassing wel terwijl de DNS client op mijn laptop verwijst naar Google DNS en niet naar de Windows server.

Ik heb in ieder geval iets om over na te denken dit weekend.
Bedankt voor jullie reacties.

Oorspronkelijk geplaatst door Patrick_st

De machine was geen proxy, wel de gateway/router naar buiten toe.

Voor de firewall kant gebruik ik alleen een iptables script. De pakketjes die geïnstalleerd zijn, zijn voornamelijk voor het IDS gedeelte. Ik wilde eens testen met suricata, barnyard2 en snorby. Dat IDS gedeelte is nieuw voor mij en daar heb ik wat handleidingen voor geprobeerd.

Met wget heb ik een plaatje van ad.nl binnen kunnen halen op de machine zelf. Op een andere PC kan ik het plaatje ook gewoon openen. Het nieuws artikel waar het plaatje in staat, wil dan niet laden.

Wireshark heb ik nog geen ervaring mee. Ik heb met tcpdump gekeken en dan zie je wel een paar pakketjes over en weer gaan en daarna blijft het stil.

Ik heb alle processen gestopt die misschien invloed kunnen hebben, geen verschil.
Ik heb met grep -R laten zoeken op diverse site namen als ad.nl en telegraaf.nl, je zou verwachten dat er ergens een config of log bestandje staat waar die namen in terug komen. Niets gevonden.

Google Chrome liet net iets meer zien dan Internet Explorer, Chrome geeft onder in beeld aan waar hij op aan het wachten is. Toen bleek dat veel kranten gebruik maken van hetzelfde Content Delivery Network en dat hij daarop aan het wachten is. Ik ben toen de DNS server na gaan lopen en daar bleken verkeerde forwarders in te staan (Windows DNS server)
Na het invullen van de juiste forwarders, duurt het nog steeds erg lang voordat een pagina opent maar na een halve minuut laadt de pagina nu wel. Ook bij het aanklikken van een link duurt het weer een halve minuut voordat de pagina in beeld komt.

Ik ben vaker tegen DNS problemen aangelopen en mijn ervaring is dat als een adres eenmaal bekend is, dat het browsen binnen hetzelfde domein daarna wel snel gaat. Dat is hier niet het geval, elk artikel wat ik probeer te openen duurt weer een halve minuut.

Mijn conclusie dat er een pakketje is geïnstalleerd wat nieuws websites blokkeert, lijkt hiermee te voorbarig.

Als ik de DNS van mijn laptop aanpas naar de DNS servers van Google, dan maakt dit geen verschil.
Ik heb om verder te testen Squid geïnstalleerd als proxy server. Als ik mijn laptop instel om via de proxy naar buiten te gaan, is alles snel en normaal zoals het moet zijn.

Ik krijg steeds meer het idee dat de problemen niet door de Linux machine komen maar elders in het netwerk zitten. Aan de andere kant, als ik mijn laptop rechtstreeks op het modem aansluit, is er geen probleem. Zet ik de Linux machine er tussen, dan duurt het een halve minuut voordat bijvoorbeeld ad.nl in beeld staat.
De Linux machine is de default gateway. Het maakt niet uit of ik de open DNS van Google gebruik of de Windows server als DNS instel.

Het netwerk is 1 subnet, de Linux machine is de default gateway. Als ik mijn DNS client instel om Google als DNS server te gebruiken, is er voor zover ik weet geen enkele koppeling met de Window server, mijn laptop is geen onderdeel van het Windows domein. Toch kon ik voor het aanpassen van de DNS op de Windows server geen enkele nieuws site openen, na de aanpassing wel terwijl de DNS client op mijn laptop verwijst naar Google DNS en niet naar de Windows server.

Ik heb in ieder geval iets om over na te denken dit weekend.
Bedankt voor jullie reacties.

Ik denk dat om de een of andere reden de Linux gateway een DNS lookup probeert te down bij elke sessie die je erdoorheen opzet.
Dat is voor een router niet normaal, maar mogelijk door en vanwege een firewall of IDS pakket.
Misschien voor de destination website, of misschien een reverse lookup voor jouw (interne) source IP bij elke nieuwe TCP sessie.

Kijk dus welke DNS server de linux gateway gebruikt.