KPN modem port 443 geblokkeerd?

[wouser]

Tweakers!

Heden ben ik bezig om mijn eigen owncloud te hosten en dat wil ik, uiteraard, wel met SSL doen. Zodoende was ik bezig op mijn pfsense port 443 te forwarden, echter zonder succes. Port 80 gaat echter zonder problemen...

Mijn situatie:
- KPN xperiabox V8 in bridge naar mijn server met pfsense als router (in VM)
- VM met nextcloud erop waarnaar de ports 80 en 443 geforward dienen te worden

Middels yougetsignal.com getest of de poorten doorgegeven worden en voor 80 is dit geen enkel probleem, en exact dezelfde rules in pfsense gezet voor port 443 echter volgens de poort checker blijft deze dicht. Zelfs als ik schuif in de volgorde van de rules.

Mijn inziens staan de regels in pfsense correct, poort 80 is immers open. Echter 443 blijft het probleem. Weet iemand of de xperiabox v8 deze port native blokkeert? En of dit ook in bridge mode persisteerd? Zijn er manieren om deze open te zetten?

Dank voor de hulp!

[RobinF]

Hoi,

443 wordt niet geblokkeerd door KPN (zij blokkeren namelijk geen poorten). En ik heb zelf met succes 443 geforwarded.

Ik denk dat je of de poort niet geforward heeft of dat 443 wel "open" is maar er geen TCP service achter draait die reageert op de SYN van YouGetSignal.

[ Voor 7% gewijzigd door RobinF op 21-12-2017 22:01 ]

[wouser]

Interessant! dank voor het antwoord.

Echter als ik met mijn nextcloud snap op mijn geforwarde regels test geeft hij aan dat de service niet gevonden kan worden. Mijn idee is dat de poort dan niet open is? Of zie ik iets fout?

Ben slechts een hobbyist maar ben benieuwd of ik hier iets nieuws kan leren

[Weezer-DC]

RobinF schreef op donderdag 21 december 2017 @ 22:01:
Hoi,

443 wordt niet geblokkeerd door KPN (zij blokkeren namelijk geen poorten). En ik heb zelf met succes 443 geforwarded.

Ik denk dat je of de poort niet geforward heeft of dat 443 wel "open" is maar er geen TCP service achter draait die reageert op de SYN van YouGetSignal.

Poort 25 is wel geblokkeerd lijkt me..

[Thralas]

Weezer-DC schreef op donderdag 21 december 2017 @ 22:23:
[...]

Poort 25 is wel geblokkeerd lijkt me..

Nee.

Daarmee is z'n statement nog niet juist, want 445 is dat wel.

[RGAT]

Thralas schreef op donderdag 21 december 2017 @ 22:25:
[...]


Nee.

Daarmee is z'n statement nog niet juist, want 445 is dat wel.

Uitgaand poort 25 (SMTP) zal bij elke consumenten provider geblokkeerd zijn, degene die het niet hebben staan op de blacklists waardoor je wel leuk daarop mail kan verzenden maar niemand het wil ontvangen

[eric.1]

wouser schreef op donderdag 21 december 2017 @ 22:20:
Interessant! dank voor het antwoord.

Echter als ik met mijn nextcloud snap op mijn geforwarde regels test geeft hij aan dat de service niet gevonden kan worden. Mijn idee is dat de poort dan niet open is? Of zie ik iets fout?

Ben slechts een hobbyist maar ben benieuwd of ik hier iets nieuws kan leren

Weet je trouwens zeker dat je owncloud wel luistert/draait op port 443?

[Thralas]

RGAT schreef op donderdag 21 december 2017 @ 22:33:
Uitgaand poort 25 (SMTP) zal bij elke consumenten provider geblokkeerd zijn,

offtopic:
Niet bij KPN.

[ Voor 3% gewijzigd door Thralas op 21-12-2017 23:54 ]

[RGAT]

Thralas schreef op donderdag 21 december 2017 @ 23:54:
[...]

offtopic:
Niet bij KPN.

Sinds wanneer?... Dat was (en vziw is het nog steeds) niet zo namelijk...

[wouser]

@eric.1 Dank voor je antwoord! Ja voor zover ik weet wel. Ik probeer namelijk in mijn nextcloud snap een ssl certificaat te verkrijgen via letsencrypt. De poorten 80 en 443 moeten dan open staan. Het forwarden van 80 is gelukt, echter van 443 lijkt niet te lukken...

Ik begin er bijna wanhopig van te raken aangezien ik niet snap waarom ik met exact dezelfde regels in pfsense geen toegang krijg op poort 443 ik kan me niet voorstellen dat het aan pfsense of nextcloud ligt en uiteraard wil ik mijn bestanden wel over ssl kunnen benaderen..

Edit: Als ik in pfsense andere poorten open zet (eg 5353) lijkt die ook niet open te zijn met een portchecker. Als ik de rule voor poort 80 enable/disable is hiermee de poort direct open/gesloten. Oftrewel de pfsense regel doet wat hij moet doen, echter niet voor andere poorten dan 80..

Iemand een suggestie of workaround?

[ Voor 28% gewijzigd door wouser op 22-12-2017 09:10 ]

[vj_slof]

kun je via Letsencrypt wel een certificaat krijgen op ip-adres? Moet er niet eerst een domeinnaam gemaakt worden.

anders de poort van own/nextcloud veranderen: https://help.nextcloud.com/t/change-port-443-and-80/13742

[ Voor 32% gewijzigd door vj_slof op 22-12-2017 09:32 ]

[Anoniem: 262853]

wouser schreef op vrijdag 22 december 2017 @ 09:00:
@eric.1
Edit: Als ik in pfsense andere poorten open zet (eg 5353) lijkt die ook niet open te zijn met een portchecker.

Er moet ook wel iets staan te luisteren op de open poort zodat de portchecker response terug krijgt, anders zal die inderdaad als dicht gezien worden,

[RobinF]

Thralas schreef op donderdag 21 december 2017 @ 22:25:
[...]


Nee.

Daarmee is z'n statement nog niet juist, want 445 is dat wel.

445 is tegenwoordig ook niet meer geblokkeerd (sinds begin 2017) en 25 ook niet (meer sinds 2015/2016)

Maar volgensmij draait de hele 443 service gewoon niet.
Kan je intern wel via 443 verbinden?

[ Voor 5% gewijzigd door RobinF op 22-12-2017 10:41 ]

[wouser]

@vj_slof Ik heb een .nl domein geregistreerd. Bij het aanmaken in de snap zegt hij dat poort 80 en 443 open moeten staan (in mijn optiek met succes) Echter in het proces zegt hij dat de verbinding geweigerd wordt. Mogeljk komt dit doordat hostnet (waar mijn domein vandaan komt) ssl niet toestaat/ondersteund zonder extra pakket?

@Anoniem: 262853 Op dit moment heb ik inderdaad niet iets draaien op 443 vrees ik. Wat is een makkelijke methode om alsnog te checken of die poort open is of moet ik dan eerst een hele service opzetten die daar luisterd?

@RobinF Hoe check ik of ik intern wel met 443 kan verbinden?

Dank allen!

[jeroen3]

Kun je lokaal wel via HTTPS bij NextCloud komen?

[ Voor 20% gewijzigd door jeroen3 op 22-12-2017 11:34 ]

[wouser]

Ben een stap verder: Realiseerde dat mijn pfsense benaderbaar is via https, en zodoende gechecked als ik portforward naar mijn pfsense ipv mijn nextcloud geeft hij aan dat poort 443 open is. Ergo mijn poort doet het dus.

Zit waarschijnlijk het probleem bij hostnet dat mijn domein niet lekker doorgeeft..

[TommieW]

wouser schreef op vrijdag 22 december 2017 @ 11:36:
[...]
Zit waarschijnlijk het probleem bij hostnet dat mijn domein niet lekker doorgeeft..

Hoe trek je deze conclusie? Krijg je met een nslookup het goede IP door? Werkt het wel als je Nextcloud via een IP adres i.p.v. een domein benadert?

[eric.1]

wouser schreef op vrijdag 22 december 2017 @ 11:36:
Ben een stap verder: Realiseerde dat mijn pfsense benaderbaar is via https, en zodoende gechecked als ik portforward naar mijn pfsense ipv mijn nextcloud geeft hij aan dat poort 443 open is. Ergo mijn poort doet het dus.

Ergo er draait/reageert niets op je owncloud-server:443.

Controleer eerst eens je vhost op die machine, luistert dat ding naar 443? En verwijst dat naar je Owncloud dir?

Kan die server zijn eigen pagina opvragen? Wget/curl naar de 443 pagina?

[wouser]

Thanks voor alle goede responses! Heb zojuist geprobeerd om de snap via een self-signed certificate op SSL te krijgen en dat werkte direct feilloos. Oftewel: mijn domain naam staat goed + mijn router/modem doen wat ze moeten doen.

Het vervelende is dat je dan een pop-up krijgt dat je SSL certificaat niet betrouwbaar is, nu kan je hier wel doorheen klikken maar had liever een lets-enctypt certificaat had.

Heb op de git pagina van de snap deze kwestie gepost om te kijken of die een oplossing hebben zodat ik het alsnog via letsencrypt kan doen.

Dank voor alle antwoorden en leerzame dingen!

[Thralas]

wouser schreef op vrijdag 22 december 2017 @ 12:12:
Heb op de git pagina van de snap deze kwestie gepost om te kijken of die een oplossing hebben zodat ik het alsnog via letsencrypt kan doen.

Je probleem was toch de pfSense GUI, en nu werkt alles op 80/443? Dan moet de LetsEncrypt-verificatie ook gewoon werken lijkt me?

RobinF schreef op vrijdag 22 december 2017 @ 10:37:
[...]
445 is tegenwoordig ook niet meer geblokkeerd (sinds begin 2017) en 25 ook niet (meer sinds 2015/2016)

offtopic:
Dit is niet op basis van horen zeggen, dit heb ik net getest. 445 is geblokkeerd.

EDIT: Getest vanaf een locatie met 445/tcp outbound geblokkeerd

RobinF heeft dus helemaal gelijk. Niets wordt er geblokkeerd. Netjes.

[ Voor 10% gewijzigd door Thralas op 22-12-2017 16:40 ]

[wouser]

@Thralas Ja dat zou ik ook zeggen. Echter heb ik het idee dat mijn domein/domein hoster dat niet toestaat. Er ontstaat namelijk een timeout. Is het mogelijk dat sommige hosters dat niet toestaan ?

[eric.1]

wouser schreef op vrijdag 22 december 2017 @ 14:41:
@Thralas Ja dat zou ik ook zeggen. Echter heb ik het idee dat mijn domein/domein hoster dat niet toestaat. Er ontstaat namelijk een timeout. Is het mogelijk dat sommige hosters dat niet toestaan ?

Nee, je domeinhoster heeft verder weinig met timeouts te maken. (Indien je wel gewoon het juiste ip-adres terug krijgt bij een ping of nslookup).

Het enige wat die doen is het koppelen van een IP-adres aan jouwdomein[.]nl. Timeout-problemen zitten hoe dan ook aan jouw kant.

Wanneer ontstaat die timeout trouwens? Tijdens die Let's Encrypt configuratie?

[ Voor 6% gewijzigd door eric.1 op 22-12-2017 15:07 ]

[wouser]

Ja bij het ophalen van de configs. Krijg het volgende ::

Domain: XXXXX.XX
Type: unauthorized
Detail: Invalid response from http://XXXXX.XX/.well-kno...zq4y9KOEqDL6g5R0U6fTb880: "

<title>404 Not Found</title>
Not Found
To fix these errors, please make sure that your domain name was entered correctly and the DNS A record(s) for that domain contain(s) the right IP address.
2017-12-22 11:02:07,050:INFO:certbot.auth_handler:Cleaning up challenges
2017-12-22 11:02:07,050:DEBUG:certbot_nextcloud_plugin.webroot:Removing /var/snap/nextcloud/current/certs/certbot/.well-known/acme-challenge/n5Zvks9jITd_ubiZea4zq4y9KOEqDL6g5R0U6fTb880
2017-12-22 11:02:07,051:DEBUG:certbot_nextcloud_plugin.webroot:All challenges cleaned up, removing /var/snap/nextcloud/current/certs/certbot/.well-known/acme-challenge
2017-12-22 11:02:07,051:DEBUG:certbot.log:Exiting abnormally:
Traceback (most recent call last):
File "/snap/nextcloud/4371/bin/certbot", line 11, in
sys.exit(main())
File "/snap/nextcloud/4371/lib/python2.7/site-packages/certbot/main.py", line 742, in main
return config.func(config, plugins)
File "/snap/nextcloud/4371/lib/python2.7/site-packages/certbot/main.py", line 682, in certonly
lineage = _get_and_save_cert(le_client, config, domains, certname, lineage)
File "/snap/nextcloud/4371/lib/python2.7/site-packages/certbot/main.py", line 82, in _get_and_save_cert
lineage = le_client.obtain_and_enroll_certificate(domains, certname)
File "/snap/nextcloud/4371/lib/python2.7/site-packages/certbot/client.py", line 344, in obtain_and_enroll_certificate
certr, chain, key, _ = self.obtain_certificate(domains)
File "/snap/nextcloud/4371/lib/python2.7/site-packages/certbot/client.py", line 313, in obtain_certificate
self.config.allow_subset_of_names)
File "/snap/nextcloud/4371/lib/python2.7/site-packages/certbot/auth_handler.py", line 81, in get_authorizations
self._respond(resp, best_effort)
File "/snap/nextcloud/4371/lib/python2.7/site-packages/certbot/auth_handler.py", line 138, in _respond
self._poll_challenges(chall_update, best_effort)
File "/snap/nextcloud/4371/lib/python2.7/site-packages/certbot/auth_handler.py", line 202, in _poll_challenges
raise errors.FailedChallenges(all_failed_achalls)
FailedChallenges: Failed authorization procedure. XXXXX.XX (http-01): urn:acme:error:unauthorized :: The client lacks sufficient authorization :: Invalid response from http://XXXXX.XX/.well-known/acme-challenge/n5Zvks9$
<title>404 Not Found</title>

[RobinF]

@wouser , volgensmij serveert die webserver de ACME challenge niet.

Als je naar XXXXX.XX gaat, opent ie dan direct nextcloud of moet je daarvoor XXXXX.XX/nextcloud gebruiken?

@Thralas , Ik heb 0 problemen met het bereiken van 445. Alleen het testen daarvan is wat lastig omdat enkele services daarvoor poort 445 niet ondersteunen (e.g. portquiz)