Auteur Sujet: Site inaccessible depuis le réseau Bouygues Telecom mobile - problème de DNS ?  (Lu 27476 fois)

0 Membres et 1 Invité sur ce sujet

vivien

  • Administrateur
  • *
  • Messages: 47 075
    • Twitter LaFibre.info
Il écoute déjà sur le port 80, pour rediriger vers le site en https :

$ telnet www.youscribe.com 80
Trying 35.186.237.217...
Connected to www.youscribe.com.
Escape character is '^]'.
GET / HTTP/1.0
Host: www.youscribe.com
Referer: https://lafibre.info
User-Agent: Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:62.0) Gecko/20100101 Firefox/62.0

HTTP/1.0 301 Moved Permanently
Server: nginx
Date: Tue, 16 Oct 2018 20:43:52 GMT
Content-Type: text/html
Content-Length: 178
Location: https://www.youscribe.com/
X-UA-Compatible: IE=Edge,chrome=1
Via: 1.1 google

<html>
<head><title>301 Moved Permanently</title></head>
<body bgcolor="white">
<center><h1>301 Moved Permanently</h1></center>
<hr><center>nginx</center>
</body>
</html>
Connection closed by foreign host.

Il faut donc juste une capture qui filtre sur le port 80.

kazyor

  • Expert des Télécoms
  • Expert
  • *
  • Messages: 1 334
  • Lyon 7ème (69)
Et avoir de gentils testeurs chez Bytel mobile :)

@youscribe, on pourrait envisager ce test ?

hwti

  • Abonné Orange Fibre
  • *
  • Messages: 2 237
  • Chambly (60)
On peut tenter avec n'importe quel serveur, mais ils ne semblent rien envoyer dans les headers par défaut, c'est peut-être limité à une liste.

En utilisant 62.34.202.116, le serveur est contacté par 62.34.202.104, ou 2001:860:de00:3000::86 (IPv6 par défaut, obtenue en testant avec ip.lafibre.info).

$ curl -vvv --resolve httpbin.org:80:62.34.202.116 httpbin.org/get
* Added httpbin.org:80:62.34.202.116 to DNS cache
* Hostname httpbin.org was found in DNS cache
*   Trying 62.34.202.116...
* TCP_NODELAY set
* Connected to httpbin.org (62.34.202.116) port 80 (#0)
> GET /get HTTP/1.1
> Host: httpbin.org
> User-Agent: curl/7.58.0
> Accept: */*
>
< HTTP/1.1 200 OK
< Connection: keep-alive
< Server: gunicorn/19.9.0
< Date: Tue, 16 Oct 2018 23:11:26 GMT
< Content-Type: application/json
< Content-Length: 133
< Access-Control-Allow-Origin: *
< Access-Control-Allow-Credentials: true
< Via: 1.1 vegur
<
{
  "args": {},
  "headers": {
    "Accept": "*/*",
    "Connection": "close",
    "Host": "httpbin.org",
    "User-Agent": "curl/7.58.0"
  },
  "origin": "62.34.202.104",
  "url": "http://httpbin.org/get"
}

Le serveur semble aussi pouvoir fonctionner comme proxy HTTP.
C'est presque la même chose qu'avec le DNS menteur : seule la ligne "GET / HTTP/1.1" est remplacée par "GET http://hostname/ HTTP/1.1", mais il suit toujours le header "Host: xxxx" pour savoir à quel serveur il doit faire suivre.

En mode proxy, la méthode CONNECT fonctionne pour le HTTPS (mais dans ce cas bien sûr il ne peut pas y avoir interception).
"curl --proxy 62.34.202.116:80 https://www.youscribe.com" fonctionne par exemple.
Dans ce cas, il utilise bien le serveur donné par "CONNECT www.youscribe.com:443 HTTP/1.1", même si on force "Host: lafibre.info" par exemple.

Pour les noms de domaine qu'il n'arrive pas à résoudre, il retourne une erreur 404 en http, et une redirection en https.
curl -vvv --proxy 62.34.202.116:80 https://nonexistent.domain
* Rebuilt URL to: https://nonexistent.domain/
*   Trying 62.34.202.116...
* TCP_NODELAY set
* Connected to 62.34.202.116 (62.34.202.116) port 80 (#0)
* allocate connect buffer!
* Establish HTTP proxy tunnel to nonexistent.domain:443
> CONNECT nonexistent.domain:443 HTTP/1.1
> Host: nonexistent.domain:443
> User-Agent: curl/7.58.0
> Proxy-Connection: Keep-Alive
>
< HTTP/1.1 302 Moved Temporarily
< Location: http://wap.bouygtel.fr/?URL_Origin=nonexistent.domain%2F
< Content-Length: 0
<
* Received HTTP code 302 from proxy after CONNECT
* CONNECT phase completed!
* Closing connection 0
curl: (56) Received HTTP code 302 from proxy after CONNECT
« Modifié: 17 octobre 2018 à 02:52:35 par hwti »

vivien

  • Administrateur
  • *
  • Messages: 47 075
    • Twitter LaFibre.info
On peut tenter avec n'importe quel serveur, mais ils ne semblent rien envoyer dans les headers par défaut, c'est peut-être limité à une liste.
Oui, le proxy ne modifie pas la page, c'est ce que j'avais observé quand j'étais client Bouygues.

Tu as regardé coté serveur ? C'est coté serveur que l'UID est rajouté, sur les requêtes du client.

Je vois que ZD-Net est passé en https => ils n'utilisent plus le proxy Bouygues pour avoir l'UID maintenant ?
DNS menteurs chez Bouygues Telecom mobile

Je cherche à comprendre pourquoi le site ZD Net (http://www.zdnet.fr/) ne fonctionne pas sur un PC en partage de connexion avec la 4G Bouygues (alors que cela fonctionne très bien directement sur le mobile)

La réponse est simple : le serveur répond [RST] a mes [ACK]

Je m’aperçois d'une chose : Le DNS ne me renvoi pas vers l'IP habituelle de ZD net :

$ dig www.zdnet.fr

; <<>> DiG 9.10.3-P4-Ubuntu <<>> www.zdnet.fr
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 50268
;; flags: qr rd ra; QUERY: 1, ANSWER: 2, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 65494
;; QUESTION SECTION:
;www.zdnet.fr. IN A

;; ANSWER SECTION:
www.zdnet.fr. 7021 IN CNAME wpxy-proxyless.wip-ext.bouyguestelecom.fr.
wpxy-proxyless.wip-ext.bouyguestelecom.fr. 268 IN A 212.195.244.75

;; Query time: 0 msec
;; SERVER: 127.0.0.53#53(127.0.0.53)
;; WHEN: Mon Jul 24 12:54:33 CEST 2017
;; MSG SIZE  rcvd: 110

hwti

  • Abonné Orange Fibre
  • *
  • Messages: 2 237
  • Chambly (60)
Oui, le proxy ne modifie pas la page, c'est ce que j'avais observé quand j'étais client Bouygues.

Tu as regardé coté serveur ? C'est coté serveur que l'UID est rajouté, sur les requêtes du client.
Comme visible dans ma trace, j'ai utilisé http://httpbin.org/get : il retourne les headers qu'il a reçu dans sa réponse.
Il n'y a rien, donc peut-être qu'ils n'ajoutent un identifiant que pour les serveurs qui sont dans leur liste, et non pas toute page qui passe par leur proxy (ce que j'ai forcé ici, le DNS ne ment pas pour httpbin.org).

Je vois que ZD-Net est passé en https => ils n'utilisent plus le proxy Bouygues pour avoir l'UID maintenant ?
www.zdnet.fr => 146.185.42.33
Le DNS ne ment plus pour ce site effectivement.

youscribe

  • Abonné Orange / Sosh 4G/5G
  • *
  • Messages: 8
  • Paris 2ème (75)
    • YouScribe
Et avoir de gentils testeurs chez Bytel mobile :)

@youscribe, on pourrait envisager ce test ?

Bonjour,
Oui, je vais faire le test Vendredi.
Je pourrai récupérer un tel BT, donc je serai autonome pour faire un premier test.
Je vous posterai les résultats de Wireshark.

Oxynux

  • Abonné Bbox fibre
  • *
  • Messages: 347
  • FTTH ↓1Gb/s ↑250Mb/s sur Paris 16 (75)
Embêtant ces interceptions(/mitm) pratiquées par Bouygues pour les forfaits mobile...
Au final on se retrouve avec un site inaccessible, a priori suite a un passage de HTTP a HTTPS. Est-ce un cas isolé ? (J'espère)

A moins d'avoir Android 9.0 avec l'option Private DNS (DNS over TLS) configuré et activé on peut dire que l'accès à youscribe.com est impossible pour les clients mobile Bouygues.
Une autre solution peut être d'utiliser l'app Intra (https://play.google.com/store/apps/details?id=app.intra&hl=fr) elle permet l'utilisation de DNS over HTTPS pour les téléphones sur Android ou encore utiliser VPN mais c'est pénible de devoir en arriver là et surtout pas a la porté de tout le monde  >:(

Je suis dispo si il y a besoin de testeurs

kgersen

  • Modérateur
  • Abonné Bbox fibre
  • *
  • Messages: 9 078
  • Paris (75)
y'a pas moyen en changeant l'APN ?

kgersen

  • Modérateur
  • Abonné Bbox fibre
  • *
  • Messages: 9 078
  • Paris (75)
curieusement en spammant le dig sur les serveurs Google, j'obtient de temps a autre  une autre ip:

~$ dig +short www.youscribe.com @8.8.8.8
wpxy-proxyless.wip-ext.bouyguestelecom.fr.
212.195.244.75
~$ dig +short www.youscribe.com @8.8.8.8
wpxy-proxyless.wip-ext.bouyguestelecom.fr.
62.34.202.116

Oxynux

  • Abonné Bbox fibre
  • *
  • Messages: 347
  • FTTH ↓1Gb/s ↑250Mb/s sur Paris 16 (75)
y'a pas moyen en changeant l'APN ?

Si c'est possible de bypass ce blocage en modifiant son APN, je veux bien la méthode  :)
Mais on en revient au même point: c'est pas trivial pour les non geeks de changer un APN.

vivien

  • Administrateur
  • *
  • Messages: 47 075
    • Twitter LaFibre.info
L'APN n'y songez pas, vous pouvez mettre n'importe quoi il est modifié à la volée vers le bon APN.

Vous avez testé avec l'APN lafibre.info ? Je pense que le fonctionnement est identique.

kgersen pour les résultats différents, c'est en fonction du TTL ?

Encore plus fort : Cela fonctionne en modifiant le TTL !

Le DNS ne donne pas la même IP si le TTL est paire ou impaire !

$ dig www.zdnet.fr

; <<>> DiG 9.10.3-P4-Ubuntu <<>> www.zdnet.fr
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 51064
;; flags: qr rd ra; QUERY: 1, ANSWER: 2, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 65494
;; QUESTION SECTION:
;www.zdnet.fr. IN A

;; ANSWER SECTION:
www.zdnet.fr. 5977 IN CNAME wpxy-proxyless.wip-ext.bouyguestelecom.fr.
wpxy-proxyless.wip-ext.bouyguestelecom.fr. 118 IN A 62.34.202.116

;; Query time: 0 msec
;; SERVER: 127.0.0.53#53(127.0.0.53)
;; WHEN: Mon Jul 24 13:11:57 CEST 2017
;; MSG SIZE  rcvd: 110

J'ai réalisé de nombreux tests.

Les IP récupérées par le DNS avec TTL de 65 et 64 (62.34.202.116 et 212.195.244.75) ont toutes les deux le même comportement

Mon PC Ubuntu es connecté à mon téléphone en mode modem
- En configurant un TTL de 6 à 62, le site répond bien.
- TTL 63 => non ok
- TTL 64 => non ok
- En configurant un TTL de 65 à 126, le site répond bien.
- TTL 127 non ok
- TTL 128 non ok
- En configurant un TTL de 129 à 255, le site répond bien.


TTL de 62 : le serveur répond

$ sudo sysctl net.ipv4.ip_default_ttl=62
net.ipv4.ip_default_ttl = 62
$ telnet 62.34.202.116 80
Trying 62.34.202.116...
Connected to 62.34.202.116.
Escape character is '^]'.
ok
HTTP/1.1 501 Not Implemented
Content-type: text/html
Content-Length: 219

<HTML><head><meta http-equiv="Content-Type" content="text/html;charset=utf-8"></head><center>Erreur 501<br>M&eacute;thode non support&eacute;e</center><hr>Le serveur HTTP ne peut pas traiter votre requ&ecirc;te.</HTML>
Connection closed by foreign host.

TTL de 63 : Le serveur ne répond pas
$ sudo sysctl net.ipv4.ip_default_ttl=63
net.ipv4.ip_default_ttl = 63
$ telnet 62.34.202.116 80
Trying 62.34.202.116...
telnet: Unable to connect to remote host: Connection refused

TTL de 64 : Le serveur ne répond pas
$ sudo sysctl net.ipv4.ip_default_ttl=64
net.ipv4.ip_default_ttl = 64
$ telnet 62.34.202.116 80
Trying 62.34.202.116...
telnet: Unable to connect to remote host: Connection refused

TTL de 65 : Le serveur répond
$ sudo sysctl net.ipv4.ip_default_ttl=65
net.ipv4.ip_default_ttl = 65
$ telnet 62.34.202.116 80
Trying 62.34.202.116...
Connected to 62.34.202.116.
Escape character is '^]'.
ok
HTTP/1.1 501 Not Implemented
Content-type: text/html
Content-Length: 219

<HTML><head><meta http-equiv="Content-Type" content="text/html;charset=utf-8"></head><center>Erreur 501<br>M&eacute;thode non support&eacute;e</center><hr>Le serveur HTTP ne peut pas traiter votre requ&ecirc;te.</HTML>
Connection closed by foreign host.

Le même comportement est observé que ce soit 62.34.202.116 ou 212.195.244.75.

kgersen

  • Modérateur
  • Abonné Bbox fibre
  • *
  • Messages: 9 078
  • Paris (75)
kgersen pour les résultats différents, c'est en fonction du TTL ?

non je ne peux changer le TTL sur le smartphone.

C'est un dig depuis Windows en wifi sur le smartphone qui partage la connexion 4G.

si je spam "dig +short www.youscribe.com" j'obtient toujours la meme IP ( 62.34.202.116 )
si je spam "dig +short www.youscribe.com @8.8.8.8" j'obtient une des 2 IPs...

environ 1/2 seconde entre chaque dig:
~$ dig +short  www.youscribe.com @8.8.8.8
wpxy-proxyless.wip-ext.bouyguestelecom.fr.
212.195.244.75
~$ dig +short  www.youscribe.com @8.8.8.8
wpxy-proxyless.wip-ext.bouyguestelecom.fr.
212.195.244.75
~$ dig +short  www.youscribe.com @8.8.8.8
wpxy-proxyless.wip-ext.bouyguestelecom.fr.
212.195.244.75
~$ dig +short  www.youscribe.com @8.8.8.8
wpxy-proxyless.wip-ext.bouyguestelecom.fr.
212.195.244.75
~$ dig +short  www.youscribe.com @8.8.8.8
wpxy-proxyless.wip-ext.bouyguestelecom.fr.
212.195.244.75
~$ dig +short  www.youscribe.com
wpxy-proxyless.wip-ext.bouyguestelecom.fr.
212.195.244.75
~$ dig +short  www.youscribe.com @8.8.8.8
wpxy-proxyless.wip-ext.bouyguestelecom.fr.
212.195.244.75
~$ dig +short  www.youscribe.com @8.8.8.8
wpxy-proxyless.wip-ext.bouyguestelecom.fr.
212.195.244.75
~$ dig +short  www.youscribe.com @8.8.8.8
wpxy-proxyless.wip-ext.bouyguestelecom.fr.
62.34.202.116
~$ dig +short  www.youscribe.com @8.8.8.8
wpxy-proxyless.wip-ext.bouyguestelecom.fr.
62.34.202.116
~$ dig +short  www.youscribe.com @8.8.8.8
wpxy-proxyless.wip-ext.bouyguestelecom.fr.
212.195.244.75
~$ dig +short  www.youscribe.com @8.8.8.8
wpxy-proxyless.wip-ext.bouyguestelecom.fr.
212.195.244.75