Onbereikbare website

[YellowOnline]

Een van mijn klanten kan één website (tot zover bekend) niet bereiken en ik ben radeloos. Wie heeft nog ideeën?

Het gaat om de website hxxp://digitalmarketingturistico.it (geen spam, maar toch link gedesactiveerd). In de firewall logs is niets te zien. Webfiltering en Application Control desalniettemin uitgeschakeld. Geen verschil. Google DNS ipv. (Deutsche) Telekom: geen verschil.

Vanuit elk ander netwerk, ook bij mij thuis (waar dezelfde firewall staat - Sophos UTM trouwens) is die website wél te bereiken. Telekom heeft bevestigd dat zij ze niet blokkeren, en de hoster (Dominio Fai Date), heeft het buitenadres van de klant expliciet gewhitelist.

Ja, wat kan eigenlijk nu nog spelbreker zijn? Morgen ben ik on-site en kan ik testen of het vóór de firewall wel functioneert. Maar toch... extra denkpistes zijn welkom.

[arjants]

vanuit de sophos is deze wel te pingen?

[YellowOnline]

arjants schreef op donderdag 14 april 2016 @ 20:23:
vanuit de sophos is deze wel te pingen?

Nee, ook niet. Een reputation check komt er wel door, maar ik denk dat zoiets enkel naar de regels kijkt en niet effectief met de website in kwestie verbindt.

[ Voor 29% gewijzigd door YellowOnline op 14-04-2016 20:27 ]

[Spro]

Geen ervaring met Sophos, maar; vanuit de klant een ping naar het ip(46.252.157.38)? en een traceroute? Hoe ziet dat eruit, komt dat voorbij de firewall, of niet?

[ByteMe_]

Wat is de exacte melding dat die klant krijgt? Gebeurt dat in alle browsers? Je zou hem eens CTRL + F5 kunnen laten proberen in de browser.

[ Voor 29% gewijzigd door ByteMe_ op 14-04-2016 20:45 ]

[YellowOnline]

Spro schreef op donderdag 14 april 2016 @ 20:33:
Geen ervaring met Sophos, maar; vanuit de klant een ping naar het ip(46.252.157.38)? en een traceroute? Hoe ziet dat eruit, komt dat voorbij de firewall, of niet?

Morgen eens kijken. Ik niet zeker meer wat ik al gedaan heb met traceroute - maar het gaat direct vanop de firewall in ieder geval.



Plaatje om de interface eens te tonen. Best tevreden met Sophos. Kan enkel vergelijken met Clavister zelf, natuurlijk.

RonaldDesigns schreef op donderdag 14 april 2016 @ 20:40:
Wat is de exacte melding dat die klant krijgt? Gebeurt dat in alle browsers?

Website wordt eenvoudigweg niet gevonden. In alle browsers, dwz. "Server not found" in FF, "Hmm, we can't reach this page" in IE en in Chrome een mysterieuzere foutmelding met "Name already in use" oid. waar ik slechts een handvol hits voor vind. Spijtig genoeg vind ik het niet meteen terug wat de precieze foutmelding was.

[ Voor 29% gewijzigd door YellowOnline op 14-04-2016 20:45 ]

[F_J_K]

Wordt wel het juiste IP-adres gegeven? (Ook al gebruik je een andere DNS, dan nog checken. Al was het maar om hardcoded IP's te checken). En inderdaad de traceroute-output uitpluizen.

Afhankelijk van hoe erg je wilt: rechtstreeks aan de internetverbinding gaan hangen en testen. (Dan dus wel downtime voor hele bedrijf als je geen dubbele lijn hebt!)

[Verwijderd]

Kun je iets specifieker zijn? Welke software wordt bv voor die website gebruikt? Bevat het een CMS e.d?

[YellowOnline]

F_J_K schreef op donderdag 14 april 2016 @ 20:52:
Wordt wel het juiste IP-adres gegeven? (Ook al gebruik je een andere DNS, dan nog checken. Al was het maar om hardcoded IP's te checken). En inderdaad de traceroute-output uitpluizen.

Afhankelijk van hoe erg je wilt: rechtstreeks aan de internetverbinding gaan hangen en testen. (Dan dus wel downtime voor hele bedrijf als je geen dubbele lijn hebt!)

Och vrijdag om 18:00 zouden 5 minuten downtime nog te aanvaarden zijn vermoed ik, maar het is niet nodig: ik kan mijn Surface direct op de WAN inpluggen morgen als ik daar ben.

Verwijderd schreef op donderdag 14 april 2016 @ 21:02:
Kun je iets specifieker zijn? Welke software wordt bv voor die website gebruikt? Bevat het een CMS e.d?

De website staat in mijn post. Hoeveel specifieker kan ik zijn? En wat daar op draait lijkt mij niet echt relevant als het ding überhaupt niet bereikbaar is...

[Verwijderd]

Kan het kloppen dat je website inmiddels weer bereikbaar is? Ik heb hier gewoon beeld:)

[YellowOnline]

Verwijderd schreef op donderdag 14 april 2016 @ 21:09:
Kan het kloppen dat je website inmiddels weer bereikbaar is? Ik heb hier gewoon beeld:)

Ik vrees dat je de TS niet helemaal goed gelezen hebt...

[The_Greater]

Staat Intrution Prevention/IPS/Advanced Threat Protection aan?
Deze kunnen ook 'ongewild' packets droppen.
Het is mogelijk om de hosts te white listen.

Sluit anders eventjes je laptop direct aan op het internet modem/router.
Dan weet je meteen of de Sophos iets dropped.

[ Voor 6% gewijzigd door The_Greater op 14-04-2016 21:24 ]

[F_J_K]

YellowOnline schreef op donderdag 14 april 2016 @ 20:20:
en de hoster (Dominio Fai Date), heeft het buitenadres van de klant expliciet gewhitelist.

FWIW: de traceroute suggereert dat het een reseller is van netsons.com.

[DukeBox]

Beging eens met de basics...
- nslookup
- traceroute

[YellowOnline]

The_Greater schreef op donderdag 14 april 2016 @ 21:22:
Staat Intrution Prevention/IPS/Advanced Threat Protection aan?
Deze kunnen ook 'ongewild' packets droppen.
Het is mogelijk om de hosts te white listen.

Sluit anders eventjes je laptop direct aan op het internet modem/router.
Dan weet je meteen of de Sophos iets dropped.

Whitelisten in de webfilter heeft niet gewerkt - nogal moeilijk ook aangezien het nog steeds niet gaat als ik webfiltering helemaal uit zet. Advanced Threat Protection en Intrusion Prevention zijn beide wel aktief. Ook daar kan ik ze als test eens uitschakelen, maar om welke reden zou een website die triggeren?

[arjants]

YellowOnline schreef op donderdag 14 april 2016 @ 21:34:
[...]


Whitelisten in de webfilter heeft niet gewerkt - nogal moeilijk ook aangezien het nog steeds niet gaat als ik webfiltering helemaal uit zet. Advanced Threat Protection en Intrusion Prevention zijn beide wel aktief. Ook daar kan ik ze als test eens uitschakelen, maar om welke reden zou een website die triggeren?

YellowOnline schreef op donderdag 14 april 2016 @ 20:24:
[...]
Nee, ook niet. Een reputation check komt er wel door, maar ik denk dat zoiets enkel naar de regels kijkt en niet effectief met de website in kwestie verbindt.

Dat gaat dus wel goed, hier achter een Sophos UTM even getest voor je met alle opties aan ook gewoon te benaderen dus zal niet aan deze regels liggen

[avdongen]

Ligt niet voor de hand met dit adres, maar heeft jouw klant misschien hetzelfde adres in de interne range in gebruik, in plaats van de bekende 10.*, 192.168.* of 172.16/20 reeksen? Je zult niet de eerste zijn... Maar ook daar moet traceroute uitsluitsel over kunnen geven. Eventueel als tcptraceroute variant.

[YellowOnline]

avdongen schreef op donderdag 14 april 2016 @ 22:10:
Ligt niet voor de hand met dit adres, maar heeft jouw klant misschien hetzelfde adres in de interne range in gebruik, in plaats van de bekende 10.*, 192.168.* of 172.16/20 reeksen? Je zult niet de eerste zijn... Maar ook daar moet traceroute uitsluitsel over kunnen geven. Eventueel als tcptraceroute variant.

192.168.200.0 in de oude range en 172.20.0.0 in de nieuwe range. Dus nee

[TommyboyNL]

YellowOnline schreef op donderdag 14 april 2016 @ 22:15:
[...]


192.168.200.0 in de oude range en 172.200.0.0 in de nieuwe range. Dus nee

172.200.0.0 is géén geldige private IP space, dat zijn gewoon publiek gerouteerde adressen.

[avdongen]

Maar 172.200.0.0 zit dus buiten de afgesproken reeksen voor interne netwerken. Alleen 172.16.0.0 t/m 172.31.255.255 vallen daaronder. Al is dat hier waarschijnlijk niet de oorzaak.

[ Voor 15% gewijzigd door avdongen op 14-04-2016 22:19 . Reden: toevoeging oorzaak/verband ]

[YellowOnline]

TommyboyNL schreef op donderdag 14 april 2016 @ 22:17:
[...]


172.200.0.0 is géén geldige private IP space, dat zijn gewoon publiek gerouteerde adressen.

avdongen schreef op donderdag 14 april 2016 @ 22:18:
Maar 172.200.0.0 zit dus buiten de afgesproken reeksen voor interne netwerken. Alleen 172.16.0.0 t/m 172.31.255.255 vallen daaronder.

Typfout - daar stond een 0 teveel (door het andere IP). Rustig! Rustig!

[ Voor 36% gewijzigd door YellowOnline op 14-04-2016 22:19 ]

[TommyboyNL]

In dat geval:

DukeBox schreef op donderdag 14 april 2016 @ 21:32:
Beging eens met de basics...
- nslookup
- traceroute

[avdongen]

Vanaf hier komt een gewone traceroute niet tot de laatste hop, maar tcptraceroute wel:

$ traceroute 46.252.157.38
traceroute to 46.252.157.38 (46.252.157.38), 30 hops max, 60 byte packets
 1  ams-cr1-sara.signet.nl (80.246.198.53)  3.404 ms  3.425 ms  3.507 ms
 2  ams-cr1-gls.tc.signet.nl (80.246.207.186)  4.325 ms  4.474 ms  4.525 ms
 3  be10-300.cr1.nkf.as49685.net (80.246.207.249)  5.227 ms  5.540 ms  5.656 ms
 4  8-2-5.ear2.Amsterdam1.Level3.net (213.19.196.201)  5.608 ms  5.649 ms  6.128 ms
 5  ae-120-3506.bar2.Milan1.Level3.net (4.69.159.118)  20.448 ms  20.476 ms  20.518 ms
 6  212.73.241.250 (212.73.241.250)  20.936 ms  19.155 ms  19.138 ms
 7  * * *
 8  94.198.103.6 (94.198.103.6)  19.534 ms  19.566 ms  19.565 ms
 9  * * *
(...)
17  * *^C
$ tcptraceroute 46.252.157.38
Selected device eth0, address 192.168.1.86, port 49068 for outgoing packets
Tracing the path to 46.252.157.38 on TCP port 80 (http), 30 hops max
 1  ams-cer1-sara.signet.nl (37.17.220.254)  4.021 ms  3.684 ms  3.518 ms
 2  ams-cr1-sara.signet.nl (80.246.198.53)  13.382 ms  33.099 ms  3.001 ms
 3  ams-cr1-gls.tc.signet.nl (80.246.207.186)  3.584 ms  4.820 ms  3.744 ms
 4  be10-300.cr1.nkf.as49685.net (80.246.207.249)  4.117 ms  3.920 ms  4.009 ms
 5  8-2-5.ear2.Amsterdam1.Level3.net (213.19.196.201)  4.197 ms  4.120 ms  4.279 ms
 6  ae-120-3506.bar2.Milan1.Level3.net (4.69.159.118)  18.833 ms  18.811 ms  18.776 ms
 7  212.73.241.250  19.104 ms  178.982 ms  204.803 ms
 8  * * *
 9  94.198.103.6  19.383 ms  41.520 ms  51.948 ms
10  srv-hf2.netsons.net (46.252.157.38) [open]  19.195 ms  19.216 ms  19.049 ms
$

[ Voor 2% gewijzigd door avdongen op 14-04-2016 22:30 . Reden: style ]

[TommyboyNL]

code:

C:\Users\Tom>tracert digitalmarketingturistico.it

Tracing route to digitalmarketingturistico.it [46.252.157.38]
over a maximum of 30 hops:

  1   273 ms     1 ms     1 ms  router.xxxxxx [192.168.1.1]
  2   195 ms     2 ms     2 ms  50709001.static.ziggozakelijk.nl [80.112.144.1]
  3    13 ms     1 ms     1 ms  D5225411.static.ziggozakelijk.nl [213.34.84.17]
  4     2 ms     2 ms     3 ms  gv-rc0011-cr101-ae40-0.core.as9143.net [213.51.160.56]
  5     3 ms     8 ms    28 ms  asd-tr0042-cr101-ae8-0.core.as9143.net [213.51.158.12]
  6     *        *        *     Request timed out.
  7     3 ms     3 ms     3 ms  nl-ams09b-ri1-ae6-0.aorta.net [84.116.134.109]
  8     7 ms     4 ms     4 ms  lag-11.ear3.Amsterdam1.Level3.net [4.68.71.21]
  9    19 ms    19 ms    20 ms  ae-119-3505.bar2.Milan1.Level3.net [4.69.159.114]
 10    26 ms    19 ms    20 ms  212.73.241.250
 11     *        *        *     Request timed out.
 12    19 ms    19 ms    19 ms  94.198.103.6
 13    19 ms    19 ms    19 ms  srv-hf2.netsons.net [46.252.157.38]

Trace complete.

[Nox]

Wat krijg je van de machine als je nslookup domein.xx doet?

En is in dat netwerk dat de enige machine die er niet op komt?

[DJSnels]

Probeer ook eens een telnet naar poort 80 een 443 op te zetten. Likt dat wel?

[Gadgeteer]

Ben eerst wel eens benieuwd wat de test met de Surface direct op de WAN poort oplevert. Beginnen bij het begin