Auteur Sujet: Free ferait-il du filtrage DNS : réponse NON !!!  (Lu 16515 fois)

0 Membres et 1 Invité sur ce sujet

Free_me

  • Abonné Free fibre
  • *
  • Messages: 3 211
  • Marseille
Free ferait-il du filtrage DNS ????
« Réponse #96 le: 17 octobre 2022 à 13:04:47 »
j'ai pas tout lu mais du coup l'histoire c'est un mec qui decouvre que les FAI sont soumis a certains blocages de sites via leur dns ?

alain_p

  • Abonné Free fibre
  • *
  • Messages: 16 499
  • Delta S 10G-EPON sur Les Ulis (91)
Free ferait-il du filtrage DNS ????
« Réponse #97 le: 17 octobre 2022 à 13:21:10 »
C'est un peu plus que cela, car quand on utilise un autre DNS, Free intercepterait les requêtes pour les faire aller sur ses propres serveurs. Il n'y a qu'avec DNSSEC, où Free ne peut pas analyser les requêtes que l'on aboutirait sur le site en question.

En ce qui me concerne, j'utilise pihole, avec paramétré par défaut DNSSEc, donc j'atteins sans problème le site.

YoNeLFR

  • Abonné Free fibre
  • *
  • Messages: 733
  • Le Péage de Roussillon 38550 Freebox Mini 4K 1Gb/s
Free ferait-il du filtrage DNS ????
« Réponse #98 le: 17 octobre 2022 à 14:21:23 »
aucun soucis pour afficher le site avec une connexion Free perso, Orange Pro et Red mobile

matrix-bx

  • Fédération FDN
  • *
  • Messages: 85
Free ferait-il du filtrage DNS ????
« Réponse #99 le: 17 octobre 2022 à 14:55:05 »
Les opérateurs n'ont pas le droit d'aller voir le contenu des paquets (ils peuvent regarder jusqu'à la couche 4, mais pas au-dessus). Ils n'ont donc pas le droit de regarder ou bloquer les requêtes sur un DNS tiers (et encore moins d'en modifier le contenu).

J'aimerai comprendre en quoi aller regarder au delà de l'entête de la couche 3 et en particulier la couche 4 est pertinent pour acheminer le trafic ?

alain_p

  • Abonné Free fibre
  • *
  • Messages: 16 499
  • Delta S 10G-EPON sur Les Ulis (91)
Free ferait-il du filtrage DNS ????
« Réponse #100 le: 17 octobre 2022 à 15:04:34 »
aucun soucis pour afficher le site avec une connexion Free perso, Orange Pro et Red mobile

On peut alors se demander si ce n'est pas la personne qui a posté la vidéo qui a un problème personnel sur son PC (ou sa configuration, routeur...), et qu'en fait Free ne redirige pas les requêtes DNS vers ses propres serveurs, ce qui serait beaucoup plus satisfaisant.

Car je dois dire que sur mon pihole, j'avais aussi changé les DNS pour d'autres sans DNSSEC, et que j'atteignais toujours le site...

simon

  • Abonné Orange Fibre
  • *
  • Messages: 935
Free ferait-il du filtrage DNS ????
« Réponse #101 le: 17 octobre 2022 à 15:48:10 »
J'aimerai comprendre en quoi aller regarder au delà de l'entête de la couche 3 et en particulier la couche 4 est pertinent pour acheminer le trafic ?
Si tu veux intercepter toutes les requêtes DNS pour les rediriger vers le serveur de ton choix, il te faut regarder les ports de destination dans l'en-tête TCP ou UDP.
Dans ce cas là, pour un opérateur, ca enfreint la règle de neutralité.

Par contre, il y a des usages où c'est bénéfique: si le réseau dispose de plusieurs liens (LAG) ou routes (ECMP) entre deux points, les routeurs/switches peuvent calculer un hash sur (src ip, dst ip, ip proto, src port, dst port) pour répartir la charge entre les liens disponibles, en s'assurant que tous les paquets d'un même flux empruntent le même lien (pour éviter qu'ils arrivent dans le désordre).
Je suppose (j'espère!) que dans ce cas de figure, c'est toléré.

Pareil, pour détecter des DDOS et faire du black holing, netflow ou autre mécanisme de sampling inspecte bel et bien les en têtes L4.

matrix-bx

  • Fédération FDN
  • *
  • Messages: 85
Free ferait-il du filtrage DNS ????
« Réponse #102 le: 17 octobre 2022 à 15:52:14 »
Si tu veux intercepter toutes les requêtes DNS pour les rediriger vers le serveur de ton choix, il te faut regarder les ports de destination dans l'en-tête TCP ou UDP.
Certes, mais c'est pas la question.
Là tu évoques ce qu'il faudrait faire pour réaliser un truc qui n'est pas permis à l'heure actuelle.
Ma question était dans quels cas d'usage actuellement permis est-il pertinent et nécessaire d'aller regarder les entêtes de la couche 4 pour acheminer le trafic ?

simon

  • Abonné Orange Fibre
  • *
  • Messages: 935
Free ferait-il du filtrage DNS ????
« Réponse #103 le: 17 octobre 2022 à 15:57:51 »
Eh bien j'expose deux cas de figure où c'est nécessaire et largement répandu sur des grands réseaux aujourd'hui dans la suite du message auquel tu réponds. Je ne sais pas si c'est permis ou non car ce n'est pas mon domaine, je l'espère en tout cas.

Sur un réseau LTE/5G, j'espère aussi qu'il est permis de prioriser les flux RTP liés à la voix, mais je crois que c'est techniquement fait en utilisant un second PDP/bearer plutôt qu'en regardant les en-têtes L4.

matrix-bx

  • Fédération FDN
  • *
  • Messages: 85
Free ferait-il du filtrage DNS ????
« Réponse #104 le: 17 octobre 2022 à 16:06:51 »
J'ai répondu avant que tu édites ton post et le complète.
Ok pour la répartition de charge sur un LAG, c'est un des cas que je connais (par contre c'est pas pour assurer l'ordre d'acheminement, les paquets sont numérotés individuellement précisément pour pouvoir être remis dans le bon ordre à destination, parce qu'en chemin, le réseau fait comme il peut).
Ok également en mesure conservatoire de défense du réseau en cas d'attaque.
Le dernier qui me semble valide, c'est le filtrage tcp/25.

Y'en aurait d'autres ?

simon

  • Abonné Orange Fibre
  • *
  • Messages: 935
Free ferait-il du filtrage DNS ????
« Réponse #105 le: 17 octobre 2022 à 16:20:24 »
J'ai répondu avant que tu édites ton post et le complète.
Ok pour la répartition de charge sur un LAG, c'est un des cas que je connais (par contre c'est pas pour assurer l'ordre d'acheminement, les paquets sont numérotés individuellement précisément pour pouvoir être remis dans le bon ordre à destination, parce qu'en chemin, le réseau fait comme il peut).
Alors, effectivement TCP est capable de gérer le déséquencement, mais seulement si l'écart de séquence entre les paquets est inférieur à la taille de la fenêtre. Sinon le segment est rejeté et il faut le retransmettre.
En pratique le déséquencement tend à tuer le débit TCP, ou du moins à le faire chuter grandement. Ensuite, il y a UDP et autres. Aucune stack RTP que j'ai pu voir ne sait gérer le reséquencement: si déséquencement il y a, tous les paquets "en retard" sont considérés perdus, on attend pas les retardataires afin de réduire la latence au maximum.

Ok également en mesure conservatoire de défense du réseau en cas d'attaque.

Le dernier qui me semble valide, c'est le filtrage tcp/25.
Orange fait ca en effet et c'est discutable. Aujourd'hui avec DMARC, SPF et DKIM, quelles sont les chances que du spam envoyé depuis une connexion résidentielle arrive dans une inbox ?
Ce qui est sûr, c'est que ca m'empêche d'auto-héberger mes serveurs mails.

Y'en aurait d'autres ?

Je suis sûr qu'on peut en trouver d'autres :
- priorisation du traffic "control plane" (BGP/IGP/ssh pour administrer les équipements du réseau/netflow/etc.) sur tout le reste pour pouvoir stabiliser le réseau en cas de boucle de routage, DDOS, saturation extrême ou autre,
- priorisation du traffic TV multicast (qui n'est pas retransmis par nature) pour éviter les gels d'image ou les pixélisations,
- priorisation du traffic téléphone (très sensible à la gigue) pour assurer une bonne qualité d'appel
viennent à l'esprit.

matrix-bx

  • Fédération FDN
  • *
  • Messages: 85
Free ferait-il du filtrage DNS ????
« Réponse #106 le: 17 octobre 2022 à 17:04:45 »
Alors, effectivement TCP est capable de gérer le déséquencement, mais seulement si l'écart de séquence entre les paquets est inférieur à la taille de la fenêtre. Sinon le segment est rejeté et il faut le retransmettre.
En pratique le déséquencement tend à tuer le débit TCP, ou du moins à le faire chuter grandement. Ensuite, il y a UDP et autres. Aucune stack RTP que j'ai pu voir ne sait gérer le reséquencement: si déséquencement il y a, tous les paquets "en retard" sont considérés perdus, on attend pas les retardataires pour réduire la latence au maximum.
Ben le réseau transporte des paquets IP, peut importe le protocole encapsulé dedans, il n'en assure pas le séquencement de bout en bout, charge aux protocoles de couches supérieures, éventuellement jusqu'à l'applicative, de le gérer et si il savent pas faire ou mal, c'est simplement qu'ils en sont pas adaptés pour Internet où latence, gigue et déséquencement sont "normaux".

Orange fait ca en effet et c'est discutable. Aujourd'hui avec DMAC, SPF et DKIM, quelles sont les chances que du spam envoyé depuis une connexion résidentielle arrive dans une inbox ?
Ce qui est sûr, c'est que ca m'empêche d'auto-héberger mes serveurs mails.
Oui, mais y'a pas que ça, l'absence d'IP fixe, de reverse DNS configurable, de TXT pour le spf, les plages d'adresses assignées aux clients blacklistée dans certaines rbl, ...

Je suis sûr qu'on peut en trouver d'autres :
- priorisation du traffic "control plane" (BGP/IGP/ssh pour administrer les équipements du réseau/netflow/etc.) sur tout le reste pour pouvoir stabiliser le réseau en cas de boucle de routage, DDOS, saturation extrême ou autre,
Ça me semble peu crédible et guère souhaitable mais admettons.

- priorisation du traffic TV multicast (qui n'est pas retransmis par nature) pour éviter les gels d'image ou les pixélisations,
- priorisation du traffic téléphone (très sensible à la gigue) pour assurer une bonne qualité d'appel viennent à l'esprit.
Ce sont là des services dit gérés qui ne sont pas sur le "tuyau Internet best effort" ils sont effectivement priorisés par contre le multicast, comme tout le reste, peut être retransmis par la couche xDSL avec Phy-R ou G.INP notamment.

ericse

  • Abonné Free fibre
  • *
  • Messages: 407
Free ferait-il du filtrage DNS ????
« Réponse #107 le: 17 octobre 2022 à 17:17:58 »
Orange fait ca en effet et c'est discutable. Aujourd'hui avec DMARC, SPF et DKIM, quelles sont les chances que du spam envoyé depuis une connexion résidentielle arrive dans une inbox ?
Ce qui est sûr, c'est que ca m'empêche d'auto-héberger mes serveurs mails.
Et même lorsque tu peux désactiver ce filtre ça ne sert à rien car les mails originaire d'IP résidentielles sont mis en Spam systématiquement par les GAFAM & co, même bien taggés.