Computerbeveiliging - Hoe je bad guys buiten de deur houdt

KPN blokkeert ineens alle inkomende poorten?

08-10-2014, 14:52 door Anoniem, 20 reacties
Ik heb een verbinding van KPN.

Voor diverse doeleinden heb ik een batterij aan beaglebones staan die ik via het internet kan benaderen.
Juist nadat ik de updates voor Bash geinstalleerd had bleken ze ineens allemaal niet meer te benaderen te zijn via internet.

Vandaag begonnen met het herinstalleren van deze beaglebones (vrij simpel, nieuwe uSD kaart flashen met DD, configuraties syncen met rsync en 3 minuten later weer klaar.

Helaas, niet klaar dus.
Alle systemen werken perfect van binennuit maar niet van buiten.
In de Arcadyan kan alles ingesteld worden en hier heb ik het prehistorische natp als portforwarder ingesteld.
Deze heb ik leeggemaakt, herstart, napt weer teruggezet handmatig en nee.. geen soepie.

Vervolgens in mijn testnetwerk gehangen met dezelfde omstandheden, pppoe, natp enz.
Alles werkt.

Sinds ze die KPN-FON meuk geactiveerd hebben op de modems is het internet als kauwgum.. Veel kleine dingen en sommige websites = stroperig traag maar als het eenmaal op gang is, dan komt ie uiteindelijk wel op de lijnsnelheid die hij moet halen.
KPN servicedesk durf ik niet te bellen, daar moet je niet zijn. Verder dan "heeft u het ZIGGO/UPC/KPN modem gereset?" komen ze niet en daar heb ik de vorige keer er 3 weken mee eruit gelegen. Nadat ze een nieuwe modem, nieuwe FTU, glasvezel doorgemeten hadden was ik voorzien van een prepaid dongle zodat ik in ieder geval internet had wat me ineens een mobiel abonnement opleverde omdat de KPN winkel dacht dat ze beter een abbo konden geven omdat een prepaid kaartje binnen een dag leeg zou zijn.


meer mensen die ineens geen verbinding meer kunnen maken met het thuis netwerk?
Reacties (20)
08-10-2014, 15:37 door Anoniem
port forwarding?

als alle poorten dicht zouden zijn gezet dan zou je ook niet kunnen internetten. mogelijk zijn door een update al jou zelf gezette instellingen verloren en moet je die opnieuw toewijzen.

als je er met de klantenservice niet uitkomt dan kun je toch een melding aan laten maken zodat er op een ander niveau naar gekeken wordt.
08-10-2014, 16:05 door Anoniem
Ping? Traceroute?!
08-10-2014, 16:05 door ej__
Waarom dan kpn? Waarom niet naar xs4all (waar wel een goede en actieve helpdesk zit?)? Bij xs4all krijg je tenminste een fatsoenlijk modem, of kun je op glas met een eigen firewall (zonder modemmeuk) aan de gang. Dan weet je tenminste zeker dat het aan jezelf ligt als het niet werkt.. :)
08-10-2014, 17:29 door Preddie
Ik heb vanmiddag informatie ontvangen over een storing bij KPN, het zou natuurlijk zo kunnen zijn dat dit te maken heeft met de problemen die jij onder vindt.
08-10-2014, 21:27 door Anoniem
Vanuit internet geinitieerde verbindingen werken allemaal niet meer. Zelfs met shields up krijg ik op alle poorten behalve 445 samba/cifs een stealth. Dus nmap op een van mijn eigen servers geeft exact hetzelfde.

Kpn omdat daar de glasvezel van was toen die hier 8 jaar geleden opgeleverd werd. Ik was xs4all klant maar die mochten toen er niet op.

Dit ruikt niet als een storing. Als ik een rol alufolie had zou ik bijna denken dat ik afgetapt wordt. Dan krijg je ook van deze rare dingen. Maar criminelen zullen het wellicht niet merken..

Morgen ga ik bellen met de kpn servicedesk.. ik laat nog weten via updates hoe en wat.
08-10-2014, 22:41 door Anoniem
Vreemd verhaal KPN heeft een non blocking policy.
09-10-2014, 01:20 door Anoniem
Als je afgetapt wordt krijg je <b>niet</b> van die rare dingen. Waarschijnlijk toch een fout bij het instellen van je poorten en/of het modem zelf.
09-10-2014, 04:57 door Anoniem
Door Anoniem: Vreemd verhaal KPN heeft een non blocking policy.

Dat is logisch. Blokkeren is in strijd met de wet. :) Het is vast zijn modem dat onwillig geworden is.
09-10-2014, 08:37 door WhizzMan
Ik vind het nogal een incompleet verhaal. Waar worden je verbindingen geblocked? Je kan dat makkelijk achterhalen door een TTL te zetten van het aantal hops dat je zou horen te maken en dan te kijken of je een vorm van een block tegen komt. Als je die tegen komt, ga je de TTL verlagen tot je op het punt komt dat je een max TTL exceeded tegen komt, dan weet je exact op welk punt je netwerkverkeer geblokkeerd wordt.

Omdat je uitgaande verkeer wel werkt, zou ik het probleem eerder in je eigen DSL router zoeken. Als je op dat ding bridging kan zetten, zou ik dat doen en je eigen NAT op een eigen machine doen, dan ben je niet afhankelijk van het underpowered doosje wat KPN meestal neerzet.
09-10-2014, 09:09 door Anoniem
Ik werk voor de afdeling van KPN waar de Experia Boxen worden getest en ontwikkeld. Hoewel er altijd bugs kunnen ontstaan kan ik met zekerheid zeggen dat wij maar één poort (8085) voor eigen gebruik hebben en verder niets blokkeren.Je moet ze natuurlijk wel zelf instellen.
Er wordt al aangegeven dat het fout ging na de update van eigen apparatuur, mijn ervaring is dat in veel gevallen dan ook de firewall van het betreffende apparaat opeens dicht staat, ook windows updates doen dat soms dan staat het opeens op openbaar in plaats van op thuisnetwerk. Ik gebruik meerdere poorten voor mijn synology NAS en regelmatig andere Experia Boxen en heb daarbij nog nooit problemen gehad met welke poort dan ook. Ik kan natuurlijk niet 65535 TCP en/of UDP poorten testen.
Wat FON betrefd alleen als er een FON gebruiker via jouw wi-fi is aangemeld dan wordt er 2 Mbits down en 512 Kbits gebruikt voor de FON gebruiker. Maar wat wi-fi betreft kan dit wel meer impact hebben, wi-fi is half duplex en trage (langdurige) gebruikers kunnen dus wel je wi-fi snelheid drukken. Dus zet FON uit in de Experia Box als je daar niet van gediend bent.
09-10-2014, 10:06 door Anoniem
Wat voor verbinding heb je eigenlijk? Glas of DSL
09-10-2014, 13:28 door Anoniem
VDSL pair-bonding, functioneel is daar geen verschil met glas, PPPoE en VLAN's zijn hetzelfde. Alleen de snelheid is anders natuurlijk.
09-10-2014, 13:58 door Anoniem
"KPN servicedesk durf ik niet te bellen, daar moet je niet zijn."

Tja, als je niet eens bereid bent om bij de helpdesk van je provider navraag te doen, waarom kom je dan in hemelsnaam hier zeuren.

"Dit ruikt niet als een storing. Als ik een rol alufolie had zou ik bijna denken dat ik afgetapt wordt. Dan krijg je ook van deze rare dingen. Maar criminelen zullen het wellicht niet merken.."

Indien jouw internet getapt wordt door de politie dan merk je daar *niets* van (althans, niet in technische zin, wellicht dat je later oom agent aan de deur krijgt, of een brief van justitie krijgt). Die rol alufolie kan je wat dat betreft weer opbergen.

Je verkeer wordt gekopieerd naar een span port waar tap apparatuur aan hangt, en dit staat niet inline in je verbinding, waardoor je het niet op zal merken. Het vertraagt je verbinding ook niet.
09-10-2014, 14:06 door Anoniem
"Nadat ze een nieuwe modem, nieuwe FTU, glasvezel doorgemeten hadden was ik voorzien van een prepaid dongle zodat ik in ieder geval internet had wat me ineens een mobiel abonnement opleverde omdat de KPN winkel dacht dat ze beter een abbo konden geven omdat een prepaid kaartje binnen een dag leeg zou zijn."

Vreemd verhaal; je weet zelf toch wel of je een prepaid kaart koopt, of dat je een handtekening zet onder een contract ?

Niemand kan jou, zonder jouw handtekening, een contract door de strot duwen.
09-10-2014, 21:28 door Anoniem
Even een update en vragen beantwoorden.
Contact gehad met helpdesk. Afgezien van het idee dat ik niet geloof dat de supportmedewerker weet waar ik het over had (port forwarding) was het antwoord verwacht teleurstellend. Portforwarding valt niet onder de dienstverlening dus is het pech dat het niet werkt.
Ik maak dus gebruik van glasvezel.

Laatst had ik daar een storing mee. Trage verbinding en ik haalde op de modem met kabel niet de 50mbps die de verbinding moest halen vanaf de testserver. Op aanraden van de support medewerker heb ik het moden geherstart en toen had ik geen tv geen telefonie en geen internet meer. Hierop heb ik dus meteen een storing gemeld en duurde het 6 dagen voordat ik maar weer eens ging bellen. Bleek dat ze mij niet konden bellen (duh) en dus maar niets gedaan hadden behalve de storing op gereed zettten. Dat in de storingsmelding stond dat telefonie niet werkte en mijn gsm nummer stond was niemand opgevallen.
Affikn. Hele tijd later mocht ik dan een prepaid dongle ophalen zodat ik nog internet had.
Op de doos die ik kreeg stond ook prepaid dongle. Echter de sim erin was een abonement. Daar moest ik 1 cent voor pinnen (mij was verteld dat het prepaid was en het pinnen nodig was voor identificatie.

Nadat de storing afgelopen was heb ik de dongle weer ingeleverd bij de kpnwinkel en dat was het dan. Totdat ik ineens herinneringen kreeg voor een kpn mobiel abbo voor drie maanden ineens.
Heeft 4 maanden geduurt voordat dat allemaal weer goedgezet was.

Als ik het heb over taps bedoel ik niet aivd taps maar over pop taps, mensen die internet aftappen voor internet zelf, niet om af te luisteren.

De update was voor bash. Niet voor windows98 pc's zoals de gemiddelde kpn klant mee zal werken. Onder linux gaat niet zomaar een firewall aan. Ik had geloof ik ook gezegd dat het om beaglebones ging en dat het om bash updates ging. Niet over flipping windows updates en firewalls.
Ook de image terug naar voor de update maakte geen verschil uit zoals ik aangegeven had.
Het probleem zit in het kpn gedeelte.
Ik ga zometeen kijken waar het probleem stockt.
10-10-2014, 23:49 door Anoniem
Wanneer ik een port probe doe op een van de poorten van mijn servers zie ik dat de boel stopt bij nl-asd-dc2-git-cr03.kpn.net


2 206-126-39-137.static.nstci.net (206.126.39.137) 3.213 ms 3.192 ms 3.173 ms
3 h49-240-130-216.adstx.net (216.130.240.49) 14.993 ms 14.977 ms 14.982 ms
4 xe-2-0-0.mpr1.dfw1.us.above.net (64.125.188.41) 7.227 ms 7.207 ms 7.190 ms
5 xe-2-3-0.cr1.dfw2.us.above.net (64.125.27.210) 7.196 ms 7.174 ms 7.243 ms
6 ae10.cr1.ord2.us.above.net (64.125.20.202) 68.022 ms 39.253 ms 39.221 ms
7 ae4.er1.ord7.us.above.net (64.125.28.50) 65.490 ms 65.507 ms 50.899 ms
8 chg-s1-rou-1001.US.eurorings.net (206.223.119.95) 34.880 ms 50.274 ms 50.294 ms
9 asd2-rou-1022.NL.eurorings.net (134.222.233.20) 119.437 ms asd2-rou-1022.NL.eurorings.net (134.222.233.22) 134.846 ms asd2-rou-1022.NL.eurorings.net (134.222.233.20) 119.421 ms
10 134.222.93.139 (134.222.93.139) 144.361 ms 120.321 ms 144.351 ms
11 nl-asd-dc2-ice-ir02.kpn.net (213.75.1.145) 125.412 ms 142.670 ms 130.883 ms
12 nl-asd-dc2-git-cr03.kpn.net (213.75.1.81) 120.968 ms 136.651 ms 136.831 ms
13 * * *


als ik een securitycheck draai, krijg ik de volgende melding:

The site ahead contains malware

Attackers currently on nl-asd-dc2-git-cr03.kpn.net might attempt to install dangerous programs on your computer that steal or delete your information (for example, photos, passwords, messages, and credit cards).

Automatically report details of possible security incidents to Google. Privacy policy
Back to safetyHide details
Google Safe Browsing recently detected malware on nl-asd-dc2-git-cr03.kpn.net. Websites that are normally safe are sometimes infected with malware.

If you understand the risks to your security, you may visit this unsafe site before the dangerous programs have been removed.

Klinkt niet goed daaro bij KPN.
11-10-2014, 08:48 door Anoniem
Als ik het zo zie zou ik zeggen dat je het beste over kan stappen :P

Ik weet van de Fritzbox modems dat ze niet in bridged mode te zetten zijn maar dat je volledig zelf de controle hebt. Ook kan je natuurlijk altijd je eigen modem plaatsen. Zyxels doen het meestal erg goed.

Bij xs4all is het ook mogelijk om vanaf hun de poorten te laten blokkeren. Dit kan je zelf in het service center aanpassen dus ook vanaf die kan heb je de controle. Alleen poort 5060 wordt ivm voip geblokkeerd.
11-10-2014, 09:43 door Anoniem
Ik zou je aanraden om als je zo iets wilt over te stappen op XS4ALL voor je internet.
Daar is de helpdesk nog wel eens geneigd om dit soort dingen gewoon te onderzoeken, of op zijn minst kun je
terecht bij een 2e lijn die dat kan. Je kunt daar ook voor een extra bedrag een dongle erbij krijgen die je kunt
gebruiken als je storing hebt (boven een bepaald abonnement is dat geloof ik inbegrepen).
In ieder geval heb je dan geen last van dichtgetimmerde routers en plotseling opduikende portfilters die je niet
zelf kunt beheren.
En je hebt gewoon IPv6 zodat je ieder device een eigen adres kunt geven en niet hoeft te portforwarden voor zo iets.

Wel is het uiteraard zo dat je afgesloten wordt als je zelf aan het abusen slaat, dus dat moet je wel in de gaten
blijven houden.
11-10-2014, 13:17 door Anoniem
Ik heb 13 jaar bij XS4ALL gezeten naar volle tevredenheid, de afgelopen 7 jaar noodgedwongen bij KPN omdat zij als enige glasvezel aanboden.
Enige probleem wat ik ooit gehad heb met XS4ALL is dat toen ik aangaf dat ik mijn adsl verbinding wilde opheffen ze ook meteen mijn xs4all account opgeheven hadden (was niet zo handig omdat ik expliciet dit aangevraagd had te behouden en om te zetten naar inbel account zodat ik #1 via mijn gsm kon inbellen en #2 mijn e-mail bewaard bleef.
Glasvezel is voor mij nu niet zo van belang meer nu er een download verbod is en 'legale' alternatieven geen alternatief zijn omdat ze mij als Europeaan als 3de rangsburgers behandelen door content niet of pas 3 jaar later aan te bieden.
5mbps upload ook al voldoende is zou ik zelfs kabel (yieg) kunnen doen.

Ik heb nog een keer contact gehad met de KPN support groep en nu willen ze me een nieuwe modem opsturen.
Ik heb al de nieuwste Arcadyan omdat dit als oplossing voor mijn glasvezelprobleem van vorig jaar gezien werd (not dus).
Ik kan het natuurlijk wel andersom doen. ik kan ook het modem van 7 jaar geleden aansluiten en kijken of die het wel doet.
Ondersteunt welliswaar geen fon maar dat werkt toch niet voor mij op WP81
11-10-2014, 14:00 door Anoniem
Probleem is opgelost.
Ik heb mijn interne router (CCR1016-12g) op de plaats van het KPN modem gezet met een HP 5120 voor vlan afscheiding (was makkelijker dan op de CCR) en voila, portforwarding werkte gewoon.

Het probleem moest dus in mijn modem zitten.
Modem factory reset gedaan en kreeg binnen 30 seconden nieuwe firmware en toen werkte alles weer.
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.