Geen internet in de auto. DNS geblokkeerd?

[BasilFX]

Een half jaar geleden wist ik nog niet wat de oorzaak was, inmiddels wel. Mijn auto heeft een bepaalde internetdienst die gebruik moet maken van een hotspot. De auto zelf heeft (hardcoded) de DNS servers van Google geprogrammeerd, 8.8.8.8.

Het probleem is dat mijn mobiele internetprovider, Telfort, deze DNS-server(s) lijkt te blokkeren: als ik namelijk een hotspotverbinding opzet tussen mijn iPhone en MacBook, dan krijg ik ook geen response als ik dezelfde DNS-server gebruik. De requests worden verstuurd, maar er komen geen responses. Om mijn telefoon uit te sluiten, heb ik inmiddels ook de S4 Mini van mijn vriendin geprobeerd: zelfde provider, zelfde verhaal. Ik gebruik het commando 'host nu.nl 8.8.8.8' onder OS X om dit te testen. Overigens werkt OpenDNS (208.67.222.222) ook niet.

Natuurlijk heb ik deze vraag ook bij Telfort op het forum en via de helpdesk gesteld. Op het forum geen reactie, via de helpdesk 'zou alles moeten werken, want we blokkeren niets'. Mijn APN instellingen zijn zoals hier voorgeschreven. Ik ben inmiddels wel toe aan technisch advies.

Dat het aan de auto, toestel of laptop ligt kan ik inmiddels uitsluiten. Zijn er nog dingen die ik over het hoofd zie? Mocht het zo zijn dat Telfort daadwerkelijk dit blokkeert, schendt dit dan de netneutraliteit?

Offtopic: als ik mijn auto via mijn thuisnetwerk (Ziggo) verbind, dan werkt het perfect. Maar dat is natuurlijk zo lastig op de weg. Voor onderweg los ik het nu op met een Raspberry Pi die DNS requests rewrite. Praktisch: nee .

[ Voor 3% gewijzigd door BasilFX op 26-07-2016 23:21 ]

[ThinkPad]

Eigenaardig probleem.

Aan de ene kant omdat je niet zou verwachten dat een provider dit blokkeert, inderdaad vanwege netneutraliteit. Aan de andere kant is het ook vreemd dat de auto zich niet aan de DNS uitgegeven door de DHCP-lease houdt, maar stug bij 8.8.8.8 blijft.

Ben wel benieuwd wat hieruit komt.

[Bi00]

Het kan ook zijn dat Google adressen van Telfort blokkeert.
Tijd terug bij het bedrijf waar ik werk ook zo'n blokkade gehad. Omdat we simpelweg teveel verzoeken verstuurde. We hadden voor onze wifi geen eigen DNS server en gaven met dhcp 8.8.8.8 mee (duizenden mobiele apparaten).
Ondertussen toch maar een eigen dns server ertussen gezet. Nu mogen we ook weer naar de Google DNS.

[BasilFX]

ThinkPadd schreef op dinsdag 26 juli 2016 @ 23:26:
Aan de ene kant omdat je niet zou verwachten dat een provider dit blokkeert, inderdaad vanwege netneutraliteit. Aan de andere kant is het ook vreemd dat de auto zich niet aan de DNS uitgegeven door de DHCP-lease houdt, maar stug bij 8.8.8.8 blijft.

Dit probleem ook bij de autodealer neergelegd. Dat hier iets mee gebeurd acht ik nóg kleiner

Bi00 schreef op dinsdag 26 juli 2016 @ 23:34:
Het kan ook zijn dat Google adressen van Telfort blokkeert.
Tijd terug bij het bedrijf waar ik werk ook zo'n blokkade gehad. Omdat we simpelweg teveel verzoeken verstuurde. We hadden voor onze wifi geen eigen DNS server en gaven met dhcp 8.8.8.8 mee (duizenden mobiele apparaten).
Ondertussen toch maar een eigen dns server ertussen gezet. Nu mogen we ook weer naar de Google DNS.

Daarom ook OpenDNS en DNS.Watch geprobeerd:



Alleen de laatste twee werken, maar dat is dus de default DNS server die mijn iPhone doorgeeft.

[ Voor 25% gewijzigd door BasilFX op 26-07-2016 23:47 ]

[johnkeates]

Het is best goed mogelijk dat alleen de provider DNS werkt. Er wordt ook e.e.a. aan proxy'ing gedaan door de meeste mobiele providers.

[BasilFX]

johnkeates schreef op dinsdag 26 juli 2016 @ 23:46:
Het is best goed mogelijk dat alleen de provider DNS werkt. Er wordt ook e.e.a. aan proxy'ing gedaan door de meeste mobiele providers.

In dat geval lijkt mij dus dat er sprake is van schending van de netneutraliteit. Voor zover ik het begrijp mag een provider dat alleen doen bij gerechtelijk bevel/wettelijke basis of een zwaarwegend belang (bijvoorbeeld netwerkstabiliteit).

Overigens kan ik genoemde DNS-servers netjes pingen (100-200ms RTT).

[RGAT]

Dat is gewoon normaal met Carrier grade NAT, de provider heeft een router staan waar alles door gaat, kan me best voorstellen dat ze e.a. aan verkeer willen beperken door bijv. DNS requests in hun eigen netwerk te houden met een relay.
Hoe je er nu langs komt, tja... Autofabrikant is lekker bezig met hardcoded IP's terwijl dit gewoon via DHCP hoort te gaan, daar is een reden voor, blijft gedoe met die software van ze
Denk ook niet dat de provider hier veel aan gaat doen...

[hcQd]

Misschien vereist de software DNSSEC, wat Google wel levert maar veel DNS-servers bij ISPs niet.

[jeroen3]

Dan neem je toch een mobiel internet abonnement zonder cgn? KPN heeft dit. Het gebruikt de advancedinternet portal en heeft een vast ip adres direct op internet.

[BasilFX]

RGAT schreef op woensdag 27 juli 2016 @ 08:27:
Dat is gewoon normaal met Carrier grade NAT, de provider heeft een router staan waar alles door gaat, kan me best voorstellen dat ze e.a. aan verkeer willen beperken door bijv. DNS requests in hun eigen netwerk te houden met een relay.

Ik kende het begrip CGN niet, maar dat lijkt dus gewoon op een NAT zoals ik die thuis ook in de router heb, toch?

hcQd schreef op woensdag 27 juli 2016 @ 08:32:
Misschien vereist de software DNSSEC, wat Google wel levert maar veel DNS-servers bij ISPs niet.

Bedoel je dat de laptop of de auto DNSSEC vereist? Nou, de auto maakt gebruik van HTTPS via RC4 (deprecated) met een self-signed certificaat om applicatiegegevens uit te wisselen. Lijkt mij sterk dat de auto dit dan vereist .

jeroen3 schreef op woensdag 27 juli 2016 @ 08:49:
Dan neem je toch een mobiel internet abonnement zonder cgn? KPN heeft dit. Het gebruikt de advancedinternet portal en heeft een vast ip adres direct op internet.

Ik zie DNS als gewoon een service, net zoals HTTP of welk ander protocol. Dat zou Telfort dus ook moeten doen, en dus netjes het verkeer van mij naar buiten sturen, en weer terug. Als ik een HTTP-pakketje de deur uit doe om Tweakers.net op te vragen, dan werkt dit wel, ondanks de CGN.

Daarnaast zit ik nog even vast aan Telfort. Een extra abonnement is geen optie: de auto accepteert geen SIM-kaart en de enige USB-poort gebruik voor CarPlay (een dongle is dus geen optie).

[ Voor 3% gewijzigd door BasilFX op 27-07-2016 10:00 ]

[laurens0619]

Hele smerige oplossing: Zet er een android telefoon als hotspot tussen en voeg een firewall route toe dat al het verkeer naar 8.8.8.8 herschreven wordt naar het DNS adres wat je via dhcp krijgt.

[BasilFX]

laurens0619 schreef op woensdag 27 juli 2016 @ 09:56:
Hele smerige oplossing: Zet er een android telefoon als hotspot tussen en voeg een firewall route toe dat al het verkeer naar 8.8.8.8 herschreven wordt naar het DNS adres wat je via dhcp krijgt.

Dit doe ik nu al, met een Raspberry Pi (zie eerste post). Maar het is niet praktisch: de bootvolgorde moet correct zijn, anders snapt de auto er helemaal niets van, heb ik gemerkt.

[laurens0619]

BasilFX schreef op woensdag 27 juli 2016 @ 09:57:
[...]


Dit doe ik nu al, met een Raspberry Pi (zie eerste post). Maar het is niet praktisch: de bootvolgorde moet correct zijn, anders snapt de auto er helemaal niets van, heb ik gemerkt.

lol daar heb ik even goed overheen gelezen

[TommyboyNL]

Heb je al een traceroute naar 8.8.8.8 geprobeerd? Waar stokt die?

[johnkeates]

BasilFX schreef op woensdag 27 juli 2016 @ 08:09:
[...]


In dat geval lijkt mij dus dat er sprake is van schending van de netneutraliteit. Voor zover ik het begrijp mag een provider dat alleen doen bij gerechtelijk bevel/wettelijke basis of een zwaarwegend belang (bijvoorbeeld netwerkstabiliteit).

Overigens kan ik genoemde DNS-servers netjes pingen (100-200ms RTT).

"netwerkstabiliteit" en ook de algemene architectuur van de mobiele netwerken is waarom je verbinding met de buitenwereld niet 'rechtstreeks' is. Dus dat mogen ze doen en doen ze ook.

Wat het pingen betreft: dat zijn ICMP echo requests, DNS is weer een ander protocol en dat komt er niet door. Het kan dus prima zijn dat je kan pingen, dat SSH werkt, dat HTTPS, HTTP enz. werken, maar alleen DNS niet.

TommyboyNL schreef op woensdag 27 juli 2016 @ 14:13:
Heb je al een traceroute naar 8.8.8.8 geprobeerd? Waar stokt die?

Hij kan pingen naar 8.8.8.8, het stokt nergens. DNS wordt gewoon gefilterd door de provider.

[ Voor 14% gewijzigd door johnkeates op 27-07-2016 14:14 ]

[Anoniem: 423815]

BasilFX schreef op woensdag 27 juli 2016 @ 08:09:
[...]
In dat geval lijkt mij dus dat er sprake is van schending van de netneutraliteit. Voor zover ik het begrijp mag een provider dat alleen doen bij gerechtelijk bevel/wettelijke basis of een zwaarwegend belang (bijvoorbeeld netwerkstabiliteit).

Dat lijkt mij ook eerlijk gezegd

johnkeates schreef op woensdag 27 juli 2016 @ 14:14:
[...]
DNS wordt gewoon gefilterd door de provider.

En dat mag zomaar?

[ Voor 27% gewijzigd door Anoniem: 423815 op 27-07-2016 20:45 ]

[johnkeates]

Anoniem: 423815 schreef op woensdag 27 juli 2016 @ 20:40:
[...]


En dat mag zomaar?

Ja. QoS mag bijv. ook. Er zijn zelfs dingen die verplicht zijn als het bijv. met basisfunctionaliteit conflicteert. Stel dat voice (wat intern ongetwijfeld ook IP-based is) bandbreedte nodig heeft om 112 aan te bieden, dan is het niet gek als de overheid verplicht die bandbreedte te reserveren.

Nu kan ik niet wat verzinnen waarom dat voor DNS zou moeten gelden, misschien dat er ook een verplichting is om DNS aan te bieden, en dat ze het alleen willen garanderen als ze het zelf 100% beheersen.

Er zijn in elk geval genoeg vragen geweest over de proxies, CGN, en IP QoS, en er het was eigenlijk elke keer wel duidelijk dat mobiele providers dat mogen. Het gaat niet over specifieke bedrijven voortrekken of IP-diensen los van elkaar factureren, dat mag niet, maar complete netwerkservices beheersen mag wel.

[BasilFX]

johnkeates schreef op woensdag 27 juli 2016 @ 21:06:
Ja. QoS mag bijv. ook. Er zijn zelfs dingen die verplicht zijn als het bijv. met basisfunctionaliteit conflicteert. Stel dat voice (wat intern ongetwijfeld ook IP-based is) bandbreedte nodig heeft om 112 aan te bieden, dan is het niet gek als de overheid verplicht die bandbreedte te reserveren.

...

Er zijn in elk geval genoeg vragen geweest over de proxies, CGN, en IP QoS, en er het was eigenlijk elke keer wel duidelijk dat mobiele providers dat mogen. Het gaat niet over specifieke bedrijven voortrekken of IP-diensen los van elkaar factureren, dat mag niet, maar complete netwerkservices beheersen mag wel.

Er is inderdaad een wettelijke basis voor QoS. Maar nergens lees ik dat blokkeren van 'gewoon' verkeer mag. Dat mag dus alleen als het 'gevaarlijk' verkeer is, maar om DNS nu gevaarlijk te bestempelen? Hier en daar lees ik over het blokkeren van poort 25 om spam tegen te gaan, wat providers als potentieel 'gevaarlijk' bestempelen.

[johnkeates]

BasilFX schreef op woensdag 27 juli 2016 @ 21:45:
[...]


Er is inderdaad een wettelijke basis voor QoS. Maar nergens lees ik dat blokkeren van 'gewoon' verkeer mag. Dat mag dus alleen als het 'gevaarlijk' verkeer is, maar om DNS nu gevaarlijk te bestempelen? Hier en daar lees ik over het blokkeren van poort 25 om spam tegen te gaan, wat providers als potentieel 'gevaarlijk' bestempelen.

En daarom dus:

johnkeates schreef op woensdag 27 juli 2016 @ 21:06:
[...]Nu kan ik niet wat verzinnen waarom dat voor DNS zou moeten gelden[...]

Feit blijft dat DNS actief geblokkeerd wordt.

[mgizmo]

BasilFX schreef op woensdag 27 juli 2016 @ 21:45:
[...]


Er is inderdaad een wettelijke basis voor QoS. Maar nergens lees ik dat blokkeren van 'gewoon' verkeer mag. Dat mag dus alleen als het 'gevaarlijk' verkeer is, maar om DNS nu gevaarlijk te bestempelen? Hier en daar lees ik over het blokkeren van poort 25 om spam tegen te gaan, wat providers als potentieel 'gevaarlijk' bestempelen.

Wel degelijk:
Wikipedia: DNS spoofing
https://technet.microsoft.com/en-us/security/hh972393.aspx

Daarnaast kunnen DNS providers hele reeksen gaan blokkeren als er teveel queries vandaan komen, net als met SMTP. Dan wil je als provider niet daar calls over gaan krijgen en forceer je dus dat alleen je eigen DNS servers gebruik mogen worden. Scheelt ook weer traffic naar buiten, net zo dat ze web pagina's comprimeren en cachen.

[BasilFX]

mgizmo schreef op woensdag 27 juli 2016 @ 23:03:
Daarnaast kunnen DNS providers hele reeksen gaan blokkeren als er teveel queries vandaan komen, net als met SMTP.

In 99% van de gevallen is de DNS-server die je provider je aanbiedt voldoende. Ik vind het ook prima dat mijn telefoon een Telfort DNS-server aangerijkt krijgt die mij een betere internetervaring geeft. 99% van de mobiele internetgebruikers zullen deze settings niet eens kennen of aanpassen, dus ik vermoed dat een Google DNS nu niet extreem veel last hebben van die 1%. Ik sluit het niet uit, maar ben nog niet overtuigd .

Overigens heb ik ook een aantal DNS-servers geprobeerd van OpenNIC Project, die juist adverteren met "Are you looking for an alternative DNS provider that is open and democratic, are you concerned about censorship?"

Ik heb mijn probleem ook bij ConsuWijzer aangekaart. Die nemen het mee, maar doen er verder niets actiefs op uit. In de tussentijd wacht ik af tot de technische dienst van Telfort mij benadert.

To be continued.

[mgizmo]

BasilFX schreef op donderdag 28 juli 2016 @ 13:37:
To be continued.

Leg het probleem bij PON neer. Mij lijkt het vreemd (en ik vind het zelf onacceptabel) dat ze een vast geconfigureerde DNS server gebruiken.

[BasilFX]

mgizmo schreef op donderdag 28 juli 2016 @ 23:39:
[...]


Leg het probleem bij PON neer. Mij lijkt het vreemd (en ik vind het zelf onacceptabel) dat ze een vast geconfigureerde DNS server gebruiken.

Het probleem ligt al bijna een jaar bij de leverende dealer. Ze (of in ieder geval VW) verkopen wel connected systemen, maar kunnen die niet diagnostiseren door gebrek aan kennis. Ik heb zelf de diagnose pas een maand geleden gesteld, en die inmiddels al meerdere malen geprobeerd uit te leggen. Zonder succes. Sterker nog, die dealer verwijt het mij dat mijn probleem hun geld kost, omdat ze de kosten niet kunnen verhalen...

Gelukkig heb ik inmiddels wel goed contact met een onderhoudende dealer, en die heeft aangeboden om er naar de vakantie eens samen naar te kijken.

[ Voor 21% gewijzigd door BasilFX op 29-07-2016 07:35 ]

[mgizmo]

BasilFX schreef op vrijdag 29 juli 2016 @ 07:28:
[...]


Het probleem ligt al bijna een jaar bij de leverende dealer. Ze (of in ieder geval VW) verkopen wel connected systemen, maar kunnen die niet diagnostiseren door gebrek aan kennis. Ik heb zelf de diagnose pas een maand geleden gesteld, en die inmiddels al meerdere malen geprobeerd uit te leggen. Zonder succes. Sterker nog, die dealer verwijt het mij dat mijn probleem hun geld kost, omdat ze de kosten niet kunnen verhalen...

Gelukkig heb ik inmiddels wel goed contact met een onderhoudende dealer, en die heeft aangeboden om er naar de vakantie eens samen naar te kijken.

Ja begrijp ik, maar heb je het de importeur (PON) al voorgelegd?

[BasilFX]

Er heeft even een vakantie tussen gezeten, maar een oplossing is er helaas nog niet.

Ik heb contact gehad met iemand van de technische dienst KPN/Telfort. Deze gaf aan dat bij Telfort voor een bepaalde netwerkstructuur gekozen is (?!?!) waardoor DNS gefilterd wordt. Wil ik dat het werkt, dan moet ik maar een KPN-abonnement nemen.

Mijn abonnement loopt over niet al te lange tijd af. Ik ga dan wel overstappen omdat ik geen zin heb om het contract eerder te laten ontbinden (dan moet ik aantonen dat Telfort nalatig is enzovoorts).

Overigens is workaround V2 ook best OK: nu met een Raspberry Pi 3 tether ik via Bluetooth om een WiFi AP op te zetten (waar ik dus DNS queries rewrite). Dat werkt nog beter omdat ik nu niet eerst elke keer WiFi tethering aan moet zetten in iOS