Vraag


Acties:
  • +2 Henk 'm!

  • McOrmick
  • Registratie: Mei 2002
  • Niet online
Hi allen. Ik heb de providermodem van KPN glasvezel (Telfort via BudgetThuis) en mijn Asus router vervangen door de Fritz!Box 7590 zodat ik geen VLAN tagging meer hoef in te stellen wanneer ik over ga naar T-mobile Thuis. Zo'n beetje alles is nu ingesteld i.c.m. IGMP snooping op de verschillende switches.

Ik ben gewend de vaste apparaten een DHCP address reservation met een descriptieve hostname te geven zodat ik lokaal makkelijk bij interfaces van de apparaten kan. Nu geeft de 7590 alle apparaten een .fritz.box hostname suffix en daar kan ik maar niet aan wennen. Voorts is .box een proposed tld dat in de toekomst mogelijk security issues met zich meebrengt als een onverlaat 'fritz.box' gaat registreren.

Even had ik de ijdele hoop door de Fritz!Box name in 'Home Network' > 'FRITZ!Box Name' te veranderen naar 'local' dit het gewenste resultaat zou geven, maar dat verandert enkel de naam in een select aantal services.

Ik wil dus graag de dhcp hostname suffix op '.local' kunnen instellen, maar ik kan dat nergens in de (onlogisch geordende) interface vinden. Google geeft me veel omwegen, al dan niet in het Duits. Heeft een Tweaker het voor elkaar gekregen de hostname van de 7590 te veranderen?

Alle reacties


Acties:
  • 0 Henk 'm!

  • laurens0619
  • Registratie: Mei 2002
  • Laatst online: 11:33
Ik heb even meegegoogled en wat ik overal lees: nee, kan niet

Je zou dhcp uit kunnen zetten en dit door bv een pi laten verzorgen mrja...

CISSP! Drop your encryption keys!


Acties:
  • 0 Henk 'm!

  • McOrmick
  • Registratie: Mei 2002
  • Niet online
Heb zelf wat gevonden. Als je bij "Home Network" > "Network" > "Network Settings" in plaats van "Internet Router" nu "IP Client" kiest, dan kan je "via LAN" de "DHCP host name" opgeven. Helaas default hij terug naar 'fritz.box' bij het selecteren van "Internet Router" als Operating mode...

Het via de DOM aanpassen van de value resulteert wel in een POST met de 'local'-waarde, doch lijkt er een server-side validatie op te zitten en default hij terug naar 'fritz.box' bij de opvolgende XHR request...

Dan hoop ik maar dat AVM in de aankomende sunrise periode 'fritz.box' registreert. 🤪

Acties:
  • 0 Henk 'm!

  • tw_gotcha
  • Registratie: September 2007
  • Laatst online: 03-07 16:53
als je nog 1 kastje hebt waarop glasvelzel binnekomt is dat de router, die kan dan geen client zijn toch?

Ik heb net hetzelfde gedaan, experia 10 eruit en fritzbox erin. Als ik je vraag goed begrijp doe je volgens mij:

in het menu -> home network -> network -> klik op het apparaat(potlood icoontje rechts) -> het nieuwe menu kun je de naam van je apparaat geven en evt het dchp adres op vast zetten

is dat wat je bedoelt?

ik was wel een beetje verbaasd dat de default addressen 192.168.188 xxx zijn. Experia had 192.168.2.xxx Dat kun je geloof ik niet veranderen maar maakt mij ook niet uit. Ik heb nog steeds een TPLink router achter de fritzbox hangen momenteel om te kijken of ik die nog nodig heb (ivm wifi)

succes!

[ Voor 11% gewijzigd door tw_gotcha op 28-12-2021 11:31 ]


Acties:
  • +6 Henk 'm!

  • XeRoExEz
  • Registratie: Maart 2011
  • Laatst online: 28-08-2024
Tja en wat je toen schreef @McOrmick (dinsdag 14 december 2021 11:55):
Voorts is .box een proposed tld dat in de toekomst mogelijk security issues met zich meebrengt als een onverlaat 'fritz.box' gaat registreren.
...is gebeurd op 22 jan 2024, helemaal kak natuurlijk.

Kwam hier net achter toen ik wilde ssh'en naar m'n macbook (kreeg een key mismatch en uberhaupt vage issues):
code:
1
~#:ssh daans-macbook


Wat blijkt interne hostnames staan vrolijk naar buiten toe te wijzen
code:
1
2
~#:ping daans-macbook
PING daans-macbook.fritz.box (45.76.93.104): 56 data bytes << NOT MY local IP !!


TLDR; Met de toegewezen DHCP suffix (.fritz.box), en domein registratie (fritz.box) door een onbekende, resolven lokale host nu naar buiten toe (als andere DNS ingesteld of DNS over HTTPS enabled). Daarmee zijn interne apparaten data (ipv binnen het LAN), naar buiten aan het sturen.


In elk geval sinds gisteren twee maanden is er een DNS record welke *.fitz.box vangt naar een foreign IP. Door de mooie DHCP suffix ".fritz.box' die de router aan elk verboden device uitdeelt (bijvoorbeeld pc1 krijgt pc1.fritz.box toegewezen), hebben we LAN devices die (onderling) willen praten maar de data sturen naar een publiek IP.

Met de toegewezen DHCP suffix (.fritz.box), resolven lokale host nu naar buiten toe en staan data te sturen naar een onbekend IP. Het heeft uberhaupt wat bijwerkingen. Bijwerkingen die helemaal kloppen met hoe de netwerk protocollen al jaren functioneren en bedoelt zijn maar niet voor apparaten die in een LAN wonen.

Omdat fritz.box nu een publiek domein is zegt je netwerk "AH ik weet precies aan wie ik moet vragen wie dat IP heeft, namelijk deze publieke NS). Ipv dat hij gaat broadcasten op het locale netwerk "WHO HAS [hostname]".

De fritz.box truuk welke DNS request naar *.fritz.box probeert af te vangen, is achterhaald. Uiteraard helemaal niet effectief (meer) als je een custom DNS server hebt ingesteld. Maar ook al heb je lokaal geen custom DNS ingesteld (zoals 8.8.8.8, 1.1.1.1), met apparaten die DNS over TLS/HTTP enabled zijn werkt dit mechanisme sowieso niet.

.box toewijzen ipv .local is een onnodig risico (geweest) en aangezien de TLD .box al een tijd (4 - 8 jaar) geleden aangekondigd is bizar dat AVM heeft zitten slapen. En het is onbegrijpelijk dat de DHCP suffix niet in te stellen is, en daarmee niet in de hand hebben waar het (interne) verkeer heen gaat. Momenteel hebben we apparaten die credentials aan de verkeerde bestemming aan het sturen zijn.

Heb AVM gemaild en ik spoor je aan hetzelfde te doen. In elk geval door de default DHCP suffix aan te passen naar een hostname welke ze ook beheren of beter .local e/o ze door de gebruiker laten aanpassen.

Heb met de FritzBoxJS tool de hostname aangepast maar dat doet verder weinig voor de DHCP.

[ Voor 112% gewijzigd door XeRoExEz op 22-04-2024 14:41 . Reden: add TLDR; ]


Acties:
  • +1 Henk 'm!

  • franssie
  • Registratie: Februari 2000
  • Laatst online: 12:49

franssie

Save the albatross

yup - en een California US registratie

code:
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
Domain Name: fritz.box
Registry Domain ID: D426926400-CNIC
Registrar WHOIS Server: whois.namesilo.com
Registrar URL: https://www.namesilo.com
Updated Date: 2024-03-05T15:27:59+00:00
        2024-03-05
Creation Date: 2024-01-22T23:06:20+00:00
        2024-01-22
Registrar Registration Expiration Date: 2025-01-22T23:59:59+00:00
        2025-01-22
Registrar: NameSilo, LLC
Sponsoring Registrar IANA ID: 1479
Registrar Abuse Contact Email: 
Registrar Abuse Contact Phone: +1.6024928198
Status: 
        clientTransferProhibited
        serverDeleteProhibited
        serverRenewProhibited
        serverTransferProhibited
        serverUpdateProhibited
Registry Registrant ID: 
Registrant Name: 
Registrant Organization: 3DNS Privacy, LLC
Registrant Street: 
Registrant City: 
Registrant State/Province: CA
Registrant Postal Code: 
Registrant Country: US


Had nog even de hoop dat het AVM zou zijn maar dat lijkt dus niet het geval.

Lijkt me niet een registratie die is opgezet met puur zuivere doeleinden.

[ Voor 3% gewijzigd door franssie op 19-04-2024 17:25 ]

franssie.bsky.social | 🎸 Niets is zo permanent als een tijdelijke oplossing | Een goed probleem komt nooit alleen | Gibson guitar Fender Guitar God Damn Guitar


Acties:
  • +1 Henk 'm!

  • MarcoC
  • Registratie: September 2003
  • Laatst online: 10:56
Bizar dat AVM dit nog niet heeft opgelost. Ik heb ook een Fritz!Box 5530, en heb zojuist AVM gemaild met daarbij de vraag wanneer ze dit probleem gaan oplossen.

@FRITZ!webcare Kunnen jullie hier misschien ook een reactie plaatsen?

[ Voor 18% gewijzigd door MarcoC op 20-04-2024 11:43 ]


Acties:
  • +3 Henk 'm!

  • laurens0619
  • Registratie: Mei 2002
  • Laatst online: 11:33
The domain http://fritz.box is currently in the process of being sold, a process we are involved in. If http://fritz.box does not redirect to the FRITZ!Box user interface in the browser, it can still be reached via the FRITZ!Box's IP address.
https://twitter.com/AVM_DE/status/1779155999204552897

CISSP! Drop your encryption keys!


Acties:
  • 0 Henk 'm!

  • XeRoExEz
  • Registratie: Maart 2011
  • Laatst online: 28-08-2024
Goed gevonden! Had zitten zoeken naar zo'n (hoopvol), bericht maar niet gezien. Al is het wel een gevalletje kalf-verdronken enzo.

'Involved in' zal betekenen 'we bieden mee', maar het lijkt onzeker en wel bizar dat ze zo achter de feiten aanlopen. En het issue is natuurlijk niet alleen voor mensen die hun fritz.box GUI proberen te benaderen maar het heeft effect op alle devices in het LAN zoals het voorbeeld.

En daarmee is de impact wat groter als ze twitteren. Het geeft mij het gevoel van compleet onderschatten of (willen) downplayen van dit probleem en impact.

[ Voor 23% gewijzigd door XeRoExEz op 20-04-2024 14:06 ]


Acties:
  • 0 Henk 'm!

  • laurens0619
  • Registratie: Mei 2002
  • Laatst online: 11:33
@XeRoExEz
Hopelijk, en dat zou mij niet eens verbazen, is het een security researcher die dit domein heeft geregistreerd en hem nu overzet naar fritz.
Ik vind het nl best een nerd actie en niet het meest voor de hand liggend voor criminelen

CISSP! Drop your encryption keys!


Acties:
  • +1 Henk 'm!

  • MarcoC
  • Registratie: September 2003
  • Laatst online: 10:56
Dit is bij nader inzien een veel groter probleem dan ik dacht. De Fritz!Box geeft "fritz.box" als DNS suffix mee, waardoor dus elk DNS request herschreven wordt naar domein.<dns-suffix>. Dus een DNS-verzoek naar "tweakers.net" wordt herschreven naar "tweakers.net.fritz.box".

Voorbeeld:
code:
1
2
3
4
5
6
7
8
nslookup tweakers.net
Server:  UnKnown
Address:  192.168.0.1

Non-authoritative answer:
Name:    tweakers.net.fritz.box
Addresses:  2001:19f0:6c00:1b0e:5400:4ff:fecd:7828
          45.76.93.104


Ligt het aan mij of is dit een groot security risico? De eigenaar van dit IP-adres kan nu toch het internetverkeer van alle Fritz!Box gebruikers monitoren en analyseren of ben ik nou gek? Hier zou naar mijn mening een Tweakers-artikel over geschreven moeten worden want dit is echt te gek voor woorden.

Na wat verder onderzoek is bovenstaande waarschijnlijk voornamelijk een probleem op Windows, omdat Windows alle DNS requests herschrijft, en niet (zoals Linux/Mac) alleen DNS requests voor domeinen zonder een punt in het domein.

[ Voor 31% gewijzigd door MarcoC op 21-04-2024 16:08 ]


Acties:
  • 0 Henk 'm!

  • GertMenkel
  • Registratie: Februari 2010
  • Laatst online: 03-07 19:45
Ligt het aan mij of is dit een groot security risico? De eigenaar van dit IP-adres kan nu toch het internetverkeer van alle Fritz!Box gebruikers monitoren en analyseren of ben ik nou gek?
Niet al het verkeer; alleen DNS-verzoeken die hun DNS-server bereiken, en onversleuteld verkeer dat verstuurd wordt en eventueel doorgestuurd wordt door de serverkant.

Als je provider/DNS-server een gedeelde cache heeft (helemaal als die de door de fritz.box-server opgegeven TTL negeert), krijg je de gecachte waarde terug en wordt de DNS-lookup dus niet naar de fritz.box-servers opgestuurd.

De inhoud van versleuteld verkeer (zoals alles wat HTTPS doet) krijgt de fritz.box-server niet per se. Je krijgt een hoop certificaatfouten, maar daar zul je door heen moeten klikken eer er verdere informatie lekt. Onversleuteld verkeer (HTTP, verouderde SMTP/IMAP, IRC) kan wel worden ingezien, al betwijfel ik dat de server die opgezet is in staat is om de gigantische hoeveelheden verkeer aan te kunnen, laat staan daar analyse op te doen.

Het is echt uitermate triest dat AVM dit domein niet heeft geregistreerd toen het .box-TLD verkocht werd. Als AVM dit niet heeft kunnen voorzien, heb ik weinig vertrouwen in de rest van AVM's security-afdeling.

[ Voor 3% gewijzigd door GertMenkel op 21-04-2024 18:51 ]


Acties:
  • 0 Henk 'm!

  • XeRoExEz
  • Registratie: Maart 2011
  • Laatst online: 28-08-2024
MarcoC schreef op zondag 21 april 2024 @ 13:55:
.. De eigenaar van dit IP-adres kan nu toch het internetverkeer van alle Fritz!Box gebruikers monitoren en analyseren of ben ik nou gek?

Windows alle DNS requests herschrijft, en niet (zoals Linux/Mac) alleen DNS requests voor domeinen zonder een punt in het domein.
Op Linux varianten komt het verkeer dat voor locale devices bedoeld is uit bij fritz.box (45.76.93.104) zoals hier onder:

code:
1
2
~#:ping daans-macbook
PING daans-macbook.fritz.box (45.76.93.104): 56 data bytes << NOT MY local IP !!


Dat is natuurlijk net zo ernstig, want lokaal verkeer is niet perse het verkeer waar in de praktijk altijd SSL/TSL toegepast word. Bovenstaand geld trouwens als de (fritz)router het DNS request niet onderschept doordat 1: je een custom DNS hebt ingesteld, of het device DNS over TLS enabled is.
MarcoC schreef op zondag 21 april 2024 @ 13:55:
Hier zou naar mijn mening een Tweakers-artikel over geschreven moeten worden want dit is echt te gek voor woorden.
Mee eens, heb zaterdagochtend (20 april 2024), een mail naar de tweakers redactie geschreven. Daar alleen de eigenaar van fritz.box dit kan uitebaten heeft het geen zin dit stil te houden hoe meer tweaker het weten hoe beter.

Acties:
  • +3 Henk 'm!

  • MarcoC
  • Registratie: September 2003
  • Laatst online: 10:56
XeRoExEz schreef op maandag 22 april 2024 @ 09:37:
[...]


Op Linux varianten komt het verkeer dat voor locale devices bedoeld is uit bij fritz.box (45.76.93.104) zoals hier onder:

code:
1
2
~#:ping daans-macbook
PING daans-macbook.fritz.box (45.76.93.104): 56 data bytes << NOT MY local IP !!


Dat is natuurlijk net zo ernstig, want lokaal verkeer is niet perse het verkeer waar in de praktijk altijd SSL/TSL toegepast word. Bovenstaand geld trouwens als de (fritz)router het DNS request niet onderschept doordat 1: je een custom DNS hebt ingesteld, of het device DNS over TLS enabled is.


[...]


Mee eens, heb zaterdagochtend (20 april 2024), een mail naar de tweakers redactie geschreven. Daar alleen de eigenaar van fritz.box dit kan uitebaten heeft het geen zin dit stil te houden hoe meer tweaker het weten hoe beter.
toon volledige bericht
Voor zover ik kan zien is dit inderdaad alleen het teval als je een andere DNS server geconfigureerd hebt in de DHCP-instellingen.

Ik heb het zelf opgelost door in Adguard een DNS upstream specifiek voor fritz.box te configureren:
code:
1
[/fritz.box/]192.168.0.1

Met Pihole zal ongetwijfeld een soortgelijke workaround mogelijk zijn.

[ Voor 8% gewijzigd door MarcoC op 22-04-2024 10:24 ]


Acties:
  • 0 Henk 'm!

  • XeRoExEz
  • Registratie: Maart 2011
  • Laatst online: 28-08-2024
MarcoC schreef op maandag 22 april 2024 @ 10:19:
[...]
Voor zover ik kan zien is dit inderdaad alleen het geval als je een andere DNS server geconfigureerd hebt in de DHCP-instellingen.
en/of je devices hebt DNS over TLS enabled zijn.

Acties:
  • 0 Henk 'm!

  • MarcoC
  • Registratie: September 2003
  • Laatst online: 10:56
XeRoExEz schreef op maandag 22 april 2024 @ 10:35:
[...]


en/of je devices hebt DNS over TLS enabled zijn.
Kan je dit nader uitleggen?

Acties:
  • 0 Henk 'm!

  • hcQd
  • Registratie: September 2009
  • Laatst online: 12:39
Voor Windows kun je bij de geavanceerde tcp/ip-instellingen de dns-suffix op handmatig zetten, voor Linux zou je de domain-search optie uit dhcpclient.conf kunnen verwijderen.

Acties:
  • +1 Henk 'm!

  • XeRoExEz
  • Registratie: Maart 2011
  • Laatst online: 28-08-2024
MarcoC schreef op maandag 22 april 2024 @ 11:02:
[...]
Kan je dit nader uitleggen?
Waar ik op doel is dat DNS over HTTPS/TLS wordt vaker de default (setting) is, waarbij er ook default een externe DNS wordt gebruikt (e.g. 1.1.1.1). Dat staat dus los van de DNS server die met een DHCP antwoord meekomt. De soft/firmware houdt er daarmee dus ook een eigen DNS (laag/voorkeur) op na.

Er zijn naast browsers ook wat apparaten zoals TV en andere embedded devices, camera, deurbel waar die settings niet zo intuitief te overschrijven zijn en mee komen met firmware.

https://www.zdnet.com/art...ded-to-chrome-on-android/
review: Dns-over-https - Meningen verdeeld over encryptie dns-queriesAfbeeldingslocatie: https://tweakers.net/i/CZ87z31DuL_BD5-J2yi6ulMEOVI=/800x/filters:strip_exif()/f/image/vRpeNxHLkl8ILcgFrwtyITrv.png?f=fotoalbum_large

Afbeeldingslocatie: https://tweakers.net/i/lGKkra4HWOviblTaJnpK0KgV2ws=/800x/filters:strip_exif()/f/image/nhiVfl38cEK1f9rqNIPVPCxm.png?f=fotoalbum_large

Acties:
  • 0 Henk 'm!

  • MarcoC
  • Registratie: September 2003
  • Laatst online: 10:56
XeRoExEz schreef op maandag 22 april 2024 @ 13:32:
[...]


Waar ik op doel is dat DNS over HTTPS/TLS wordt vaak de default (setting) waarbij er ook default een externe DNS wordt gebruikt (e.g. 1.1.1.1). Dat staat dus los van de DNS server die met een DHCP antwoord meekomt.

Er zijn naast browsers ook wat apparaten zoals TV en andere embedded devices, camera, deurbel waar die settings niet zo intuitief te overschrijven zijn en mee komen met firmware.

https://www.zdnet.com/art...ded-to-chrome-on-android/
review: Dns-over-https - Meningen verdeeld over encryptie dns-queries[Afbeelding]

[Afbeelding]
Aha, ik snap wat je bedoelt inderdaad. Dat maakt het weer iets problematischer.

Acties:
  • 0 Henk 'm!

  • FRITZ!webcare
  • Registratie: Februari 2022
  • Laatst online: 12:46
Beste @MarcoC,
MarcoC schreef op zaterdag 20 april 2024 @ 11:36:
@FRITZ!webcare Kunnen jullie hier misschien ook een reactie plaatsen?
Het domein fritz.box bevindt zich momenteel in een verkoopproces waarbij wij betrokken zijn.

Als fritz.box in de browser niet doorverwijst naar de gebruikersinterface van de FRITZ!Box, is deze nog steeds toegankelijk via het IP-adres van de FRITZ!Box.

Vriendelijke groet uit Berlijn,
Je FRITZ!-Support Team

AVM GmbH


Acties:
  • 0 Henk 'm!

  • Room42
  • Registratie: September 2001
  • Niet online
FRITZ!webcare schreef op maandag 22 april 2024 @ 14:44:
[...]

Het domein fritz.box bevindt zich momenteel in een verkoopproces waarbij wij betrokken zijn.
Is dat het enige statement dat jullie naar buiten mogen brengen? Dat stond ook al letterlijk zo in de tweet.

"Technological advancements don't feel fun anymore because of the motivations behind so many of them." Bron


Acties:
  • +2 Henk 'm!

  • XeRoExEz
  • Registratie: Maart 2011
  • Laatst online: 28-08-2024
FRITZ!webcare schreef op maandag 22 april 2024 @ 14:44:
[...]
Het domein fritz.box bevindt zich momenteel in een verkoopproces waarbij wij betrokken zijn.
Wat houdt dat in? Zijn jullie één van de bieders op de domeinnaam ? En waarom nu actie dit zit er sinds 2016 al aan te komen.
FRITZ!webcare schreef op maandag 22 april 2024 @ 14:44:
Als fritz.box in de browser niet doorverwijst naar de gebruikersinterface van de FRITZ!Box, is deze nog steeds toegankelijk via het IP-adres van de FRITZ!Box.
Het probleem is VEEEEEEL groter dan alleen de webinterface niet kunnen open @FRITZ!webcare!

Nogmaals: Interne hostnames staan met de DHCP suffix (fritz.box) vrolijk naar buiten toe te wijzen.
code:
1
2
~#:ping daans-macbook
PING daans-macbook.fritz.box (45.76.93.104): 56 data bytes << NOT MY local IP !!

[ Voor 11% gewijzigd door XeRoExEz op 22-04-2024 15:00 ]


Acties:
  • 0 Henk 'm!

  • Groentjuh
  • Registratie: September 2011
  • Laatst online: 12:50
MarcoC schreef op zondag 21 april 2024 @ 13:55:
code:
1
2
3
4
5
6
7
8
nslookup tweakers.net
Server:  UnKnown
Address:  192.168.0.1

Non-authoritative answer:
Name:    tweakers.net.fritz.box
Addresses:  2001:19f0:6c00:1b0e:5400:4ff:fecd:7828
          45.76.93.104
Je mist een "." aan het einde.

code:
1
2
3
4
5
6
7
8
9
nslookup tweakers.net
Server:  OPNsense.<local domain>
Address:  10.10.0.1

Non-authoritative answer:
Name:    svr1.<local domain>
Addresses:  <ipv6 van eigen publieke server>
          <ipv4 van eigen publieke server>
Aliases:  tweakers.net.<local domain>

is heel anders dan:
code:
1
2
3
4
5
6
7
8
nslookup tweakers.net.
Server:  OPNsense.<local domain>
Address:  10.10.0.1

Non-authoritative answer:
Name:    tweakers.net
Addresses:  2001:9a8:0:e:1337:0:80:2
          213.239.154.30

[ Voor 5% gewijzigd door Groentjuh op 22-04-2024 15:03 ]


Acties:
  • +2 Henk 'm!

  • MsG
  • Registratie: November 2007
  • Laatst online: 13:02

MsG

Forumzwerver

XeRoExEz schreef op vrijdag 19 april 2024 @ 15:56:
Tja en wat je toen schreef @McOrmick (dinsdag 14 december 2021 11:55):

[...]

.box toewijzen ipv .local is een onnodig risico (geweest) en aangezien de TLD .box al een tijd (4 - 8 jaar) geleden aangekondigd is bizar dat AVM heeft zitten slapen. En het is onbegrijpelijk dat de DHCP suffix niet in te stellen is, en daarmee niet in de hand hebben waar het (interne) verkeer heen gaat. Momenteel hebben we apparaten die credentials aan de verkeerde bestemming aan het sturen zijn.

Heb AVM gemaild en ik spoor je aan hetzelfde te doen. In elk geval door de default DHCP suffix aan te passen naar een hostname welke ze ook beheren of beter .local e/o ze door de gebruiker laten aanpassen.

Heb met de FritzBoxJS tool de hostname aangepast maar dat doet verder weinig voor de DHCP.
.local moet je juist niet willen gebruiken voor dns, die is gereserveerd voor multicast dns, en dat gaat met elkaar botsen als je die ook voor dns gebruikt.

Denk om uw spatiegebruik. Dit scheelt Tweakers.net kostbare databaseruimte! | Groninger en geïnteresseerd in Domotica? Kom naar DomoticaGrunn


Acties:
  • 0 Henk 'm!

  • XeRoExEz
  • Registratie: Maart 2011
  • Laatst online: 28-08-2024
MsG schreef op maandag 22 april 2024 @ 19:06:
[...]


.local moet je juist niet willen gebruiken voor dns, die is gereserveerd voor multicast dns, en dat gaat met elkaar botsen als je die ook voor dns gebruikt.
Het gaat hier om het interne verkeer binnen te houden met de DHCP suffix .local ipv een publiek TLD. Tevens is mDNS precies wat je wil en hoe het hoort binnen kleine/locale netwerken voor apparaten die elkaar (binnen dit netwerk), willen/moeten vinden.

Als je het een interessant onderwerp vindt waar je meer over wil weten zijn er wel wat goeie bronnen met uitleg te vinden.

Acties:
  • +2 Henk 'm!

  • aawe mwan
  • Registratie: December 2002
  • Laatst online: 12-07 22:32

aawe mwan

Wat ook leuk is:

Bij zoeken naar "vultrusercontent.com malware fritz.box" vond ik dat er een paar maanden geleden al een topic op Tweakers gelopen heeft over dit onderwerp: Fritz.box verwijst soms naar externe site; niet gehackt.

„Ik kan ook ICT, want heel moeilijk is dit niet”


Acties:
  • +5 Henk 'm!

  • XeRoExEz
  • Registratie: Maart 2011
  • Laatst online: 28-08-2024
TLDR; Het gaat over het issue dat als je een custom DNS hebt ingesteld (zoals 8.8.8.8) op een apparaat*, of je HTTPS/TLS enabled devices hebt, je interne verkeer naar buiten vliegt omdat iemand fritz.box heeft geregistreerd. Het probleem is momenteel DERMATE GROOT dat ik niet begrijp dat AVM haar klanten hier willens en wetens aan bloot blijft stellen, liegt en doet alsof er niets aan de hand is.

*)Of zelfs dat de DNS is voorgedefinieerd in de firmware (camera's etc).

Ik heb een mail reactie ontvangen van AVM @FRITZ!webcare .
https://www.dropbox.com/s...brk0m2u7&st=jqoddffv&dl=0


---
1 Niks aan de hand hoor
Waarin allereerst gesteld wordt dat:
"None of our products have any security vulnerabilities that could lead to phishing attacks.".
Nogal een statement. Technisch ook niet waar want ondanks dat het domein (fritz.box) momenteel betwist is, staan de DNS records nog steeds te wijzen naar een ander IP. er is dus niets veranderd.

---
2 Je liegt
Ook van het aangetoonde gedrag van het netwerk (obv DHCP suffix), wordt gewoonweg gesteld dat het niet waar is/kan. De ping spreekt boekdelen en laat zien dat de pakketten voor een intern device zo naar buiten vliegen. Hoe simpel/duidelijk wil je het hebben.
"The claim that home network devices append the suffix "fritz.box" to all DNS requests because this suffix was distributed via DHCP option 15 is incorrect"
code:
1
2
~#:ping daans-macbook
PING daans-macbook.fritz.box (45.76.93.104): 56 data bytes << NOT MY local IP !!


Op Linux achtigen niet AL het verkeer, 'slechts' het verkeer bedoeld voor intern. Wat er op Windows gebeurd kan ik niet over mee praten ze hebben het over een setting oid.

---
3 Was altijd al zo
Ook wordt gelogen dat dit DNS probleem gekoppeld aan fritz.box, altijd al het geval was met een custom DNS (dus voordat het domein geregistreerd was), alsof we allemaal plots dement geworden zijn.
If the settings were changed from the default and alternative DNS servers were configured on a network device, it was never possible to answer name requests for home network devices successfully
Het issue manifesteerde zich pas op wanneer het TLD ook geregistreerd werd, (*)zie bijvoorbeeld eerste comment in deze thread hier.

Het zou waar kunnen zijn geweest dat bij een custom DNS er (ook) altijd al een DNS request naar buiten ging liep, voordat er terug gevallen werd op een mDNS/NetBIOS request over het interne netwerk. Des te kwalijker van AVM om in die fase niet al iets te gaan doen.


---
4 Onze achterhaalde truuk
If you use the standard settings for DNS resolution in the home network as well as name resolution via the FRITZ!Box, everything continues to work as desired.
Ze hebben het hier over hun "we-doen-DNS-request-afvangen-workaround" die uberhaupt niet werkt op DNS over HTTPS/TLS enabled devices.

---
Doei fritzie
Ik had geen zin om inhoudelijk op de mail reageren want of ze halen het niveau niet (welke je mag verlangen van een fabrikant van routers), of ze proberen het onder het tapijt te schuiven.

Wat schrijnend is, is dat dit probleem al jaren in de lucht hing en ze 1: er niet bovenop hebben gezeten om het domein fitz.box te krijgen. 2. nooit een functie ingebouwd hebben om de DHCP suffix en hostname (fritz.box) aan te passen.

In elk geval zegt het genoeg hoe dit bedrijf met security issues om gaat, helemaal daar het geen ingewikkeld te begrijpen ding is. Spaghetti behoede ons als er wel ingewikkeld issue gerapporteerd wordt.

Na het schrijven van deze comment loopt ik in elk geval naar de meterkast om de fritz eruit te trekken. De nieuwe modem is binnen.

Het is jammer dat dit probleem ook weinig aandacht krijgt en daarom denk ik dat AVM hier mee wegkomt en niet iets gaat veranderen.

[ Voor 87% gewijzigd door XeRoExEz op 26-04-2024 17:57 . Reden: Add quote from email, opmaak ]


Acties:
  • +3 Henk 'm!

  • Arjan A
  • Registratie: November 2000
  • Laatst online: 12-07 02:23

Arjan A

Cenosillicafoob

Tijd voor een frontpage artikel. Wat meer exposure zou de druk kunnen verhogen bij AVM.

Canon EOS | DJI M2P
Fotoblog · Mijn werk aan jouw muur


Acties:
  • +3 Henk 'm!

  • FRITZ!webcare
  • Registratie: Februari 2022
  • Laatst online: 12:46
Bedankt voor de vragen over dit onderwerp, wij hebben nu de Nederlandstalige antwoord van AVM.


Wij vinden het vervelend dat je bezorgd bent over fritz.box. Wij kunnen je verzekeren dat geen van onze apparaten een beveiligingslek heeft waardoor je te maken kunt krijgen met phishingaanvallen. In de onderstaande technische uitleg gaan we hier puntsgewijs nader op in.

1. Geen van onze apparaten heeft een beveiligingslek waardoor je te maken kunt krijgen met phishingaanvallen.

2. Als je de standaardinstellingen voor de DNS-omzetting in het thuisnetwerk gebruikt, naamomzetting via de FRITZ!Box, blijft alles naar behoren werken.

3. De domein fritz.box is momenteel geblokkeerd vanwege een URS-procedure die AVM met succes is gestart. De domein verwijst nu naar een server die de melding “URS takedown notice” toont. Deze server vormt geen (phishing)bedreiging.

4. De bewering dat thuisnetwerkapparaten bij alle DNS-aanvragen “fritz.box” als achtervoegsel toevoegen omdat dit achtervoegsel via DHCP-optie 15 werd uitgedeeld, is onjuist. Gangbare toepassingen, zoals bijvoorbeeld een browser of normale applicaties, voegen geen achtervoegsel toe aan DNS-aanvragen aan domeinnamen zoals google.com.

5. Een uitzondering vormt het hulpprogramma "nslookup" van Windows dat voor het testen van naamaanvragen bedoeld is. Het voert zelf de DNS-requests uit zonder de standaardfuncties van het besturingssysteem te gebruiken voor de naamomzetting en voegt, in tegenstelling tot de standaard naamomzetting van andere programma’s, altijd het toegewezen achtervoegsel toe – zelfs als de aangevraagde domeinnaam al het achtervoegsel bevat. We weten niet in hoeverre dit gedrag de bedoeling was van degenen die dit hulpprogramma geschreven hebben, danwel of dit gedrag een fout is. Uit het gedrag van het hulpprogramma kunnen echter geen conclusies worden getrokken over de standaard naamaanvragen. Bij toepassingen die de standaardfuncties van het besturingssysteem voor de naamomzetting gebruiken, is er bij de normale naamomzetting geen sprake van dergelijk gedrag, maar worden naamaanvragen aan bijvoorbeeld google.com zonder extra achtervoegsel uitgevoerd, wat juist gedrag is.

6. Als er bij het thuisnetwerkapparaat in plaats van de standaardinstelling alternative DNS-servers werden ingesteld, was het nooit mogelijk naamaanvragen voor thuisnetwerkapparaten te beantwoorden.
Voordat de domeinnaam fritz.box publiekelijk kon worden omgezet, zorgde deze configuratie ervoor dat de pogingen een apparaat in het thuisnetwerk te bereiken via een verkorte naam mislukten, omdat de naam niet publiekelijk kon worden omgezet.
Inmiddels kan fritz.box openbaar worden omgezet en de pogingen om apparaten in het thuisnetwerk via hun naam te bereiken mislukken nog steeds, maar nu om een andere reden, namelijk omdat er een verkeerd IP-adres wordt teruggegeven dat niet bij het thuisnetwerkapparaat hoort. Samenvattend: deze constellatie, het gebruik van een alternatieve DNS-server en naamomzetting voor thuisnetwerkapparaten, heeft nooit gewerkt.
In de huidige constellatie treden bij ongewenste naamomzettingen man-in-the-middle-beschermingsmaatregelen van afzonderlijke toepassingen in werking, zoals bijvoorbeeld een ssh-client die meldt dat de vingerafdruk van de server veranderd is en waarschuwt niet verder te gaan met inloggen, omdat de identiteit van de andere partij niet geverifieerd kan worden. En een browser toont een certificaatwaarschuwing en het dringende advies de verbinding nu te verbreken. Deze beveiligingswaarschuwingen moeten ongeacht de omstandigheden altijd serieus worden genomen.

7. Wie niet wil dat het besturingssysteem van een thuisnetwerkapparaat het (via DHCP-optie 15 uitgedeelde) DNS-achtervoegsel gebruikt, kan dit in de IP-instellingen van het thuisnetwerkapparaat instellen (bijvoorbeeld in Windows 11 via de optie “Primaire en verbindingsspecifieke DNS-achtervoegsels toevoegen”). Dit is alleen zinvol als er bij het thuisnetwerkapparaat afwijkende DNS-instellingen worden gebruikt. Bij DNS-omzetting via de DNS-resolver van de FRITZ!Box werkt dan het omzetten van de apparaatnaam alleen nog met de volledige naam, dus via bijvoorbeeld mijnmacbook.fritz.box in plaats van mijnmacbook.

Vriendelijke groeten uit Berlijn,
Je FRITZ! Supportteam

AVM GmbH


Acties:
  • +1 Henk 'm!

  • aawe mwan
  • Registratie: December 2002
  • Laatst online: 12-07 22:32

aawe mwan

Wat ook leuk is:

Privé onder Linux heb ik er geen last van, maar wel in Windows als ik via VPN verbinding heb met het werk:

Microsoft Windows [Version 10.0.19045.4291]
(c) Microsoft Corporation. All rights reserved.

C:\Users\ik>ping willekeurig

Pinging willekeurig.fritz.box [45.76.93.104] with 32 bytes of data:
Reply from 45.76.93.104: bytes=32 time=22ms TTL=52
Reply from 45.76.93.104: bytes=32 time=21ms TTL=52

Ping statistics for 45.76.93.104:
Packets: Sent = 2, Received = 2, Lost = 0 (0% loss),
Approximate round trip times in milli-seconds:
Minimum = 21ms, Maximum = 22ms, Average = 21ms

„Ik kan ook ICT, want heel moeilijk is dit niet”


Acties:
  • +6 Henk 'm!

  • CyBeR
  • Registratie: September 2001
  • Niet online

CyBeR

💩

FRITZ!webcare schreef op dinsdag 7 mei 2024 @ 13:42:
Bedankt voor de vragen over dit onderwerp, wij hebben nu de Nederlandstalige antwoord van AVM.

[…]

Vriendelijke groeten uit Berlijn,
Je FRITZ! Supportteam
Dit soort amateurisme is waarom ik al jaren weiger AVM-producten te gebruiken en anderen adviseer dat ook te doen.

Onvoorstelbaar.

All my posts are provided as-is. They come with NO WARRANTY at all.


Acties:
  • 0 Henk 'm!

  • deHakkelaar
  • Registratie: Februari 2015
  • Laatst online: 27-07-2024
aawe mwan schreef op dinsdag 7 mei 2024 @ 17:31:
Privé onder Linux heb ik er geen last van, maar wel in Windows als ik via VPN verbinding heb met het werk:

Microsoft Windows [Version 10.0.19045.4291]
(c) Microsoft Corporation. All rights reserved.

C:\Users\ik>ping willekeurig

Pinging willekeurig.fritz.box [45.76.93.104] with 32 bytes of data:
Reply from 45.76.93.104: bytes=32 time=22ms TTL=52
Reply from 45.76.93.104: bytes=32 time=21ms TTL=52

Ping statistics for 45.76.93.104:
Packets: Sent = 2, Received = 2, Lost = 0 (0% loss),
Approximate round trip times in milli-seconds:
Minimum = 21ms, Maximum = 22ms, Average = 21ms
toon volledige bericht
Linux doet precies hetzelfde:
dehakkelaar@hak01:~$ dnsdomainname
home.dehakkelaar.nl

dehakkelaar@hak01:~$ ping willekeurig
ping: willekeurig: Name or service not known

Onder zijn de logs van de Pi-hole DNS service:
pi@ph5a:~ $ pihole -t
[..]
May  7 23:20:48: query[A] willekeurig.home.dehakkelaar.nl from 10.0.0.145
May  7 23:20:48: config willekeurig.home.dehakkelaar.nl is NXDOMAIN
May  7 23:20:48: query[AAAA] willekeurig.home.dehakkelaar.nl from 10.0.0.145
May  7 23:20:48: config willekeurig.home.dehakkelaar.nl is NXDOMAIN
May  7 23:20:48: query[A] willekeurig from 10.0.0.145
May  7 23:20:48: config willekeurig is NXDOMAIN
May  7 23:20:48: query[AAAA] willekeurig from 10.0.0.145
May  7 23:20:48: config willekeurig is NXDOMAIN

Je kunt meerdere search/suffix domeinen configureren of laten adverteren via DHCP als je wilt:
$ man resolv.conf
[..]
       search Search list for host-name lookup.
              The search list is normally determined  from  the  local  domain
              name;  by default, it contains only the local domain name.  This
              may be changed by listing the desired domain search path follow‐
              ing the search keyword with spaces or tabs separating the names.
              Resolver queries having fewer than ndots dots (default is 1)  in
              them  will  be attempted using each component of the search path
              in turn until a match is found.  For environments with  multiple
              subdomains  please  read  options ndots:n below to avoid man-in-
              the-middle attacks and unnecessary  traffic  for  the  root-dns-
              servers.  Note that this process may be slow and will generate a
              lot of network traffic if the servers for the listed domains are
              not local, and that queries will time out if no server is avail‐
              able for one of the domains.

              The search list is currently limited to six domains with a total
              of 256 characters.

There are only 10 types of people in the world: those who understand binary, and those who don't


Acties:
  • +1 Henk 'm!

  • deHakkelaar
  • Registratie: Februari 2015
  • Laatst online: 27-07-2024
CyBeR schreef op dinsdag 7 mei 2024 @ 18:32:
[...]


Dit soort amateurisme is waarom ik al jaren weiger AVM-producten te gebruiken en anderen adviseer dat ook te doen.

Onvoorstelbaar.
Wat een lege opmerking.
Waarom dan precies?

There are only 10 types of people in the world: those who understand binary, and those who don't


Acties:
  • +1 Henk 'm!

  • deHakkelaar
  • Registratie: Februari 2015
  • Laatst online: 27-07-2024
XeRoExEz schreef op maandag 22 april 2024 @ 22:32:
[...]


Het gaat hier om het interne verkeer binnen te houden met de DHCP suffix .local ipv een publiek TLD. Tevens is mDNS precies wat je wil en hoe het hoort binnen kleine/locale netwerken voor apparaten die elkaar (binnen dit netwerk), willen/moeten vinden.

Als je het een interessant onderwerp vindt waar je meer over wil weten zijn er wel wat goeie bronnen met uitleg te vinden.
Niet alleen met de suffix.
De meeste routers, en ik vermoed ook Fritzbox, hebben zoiets als onder:
Afbeeldingslocatie: https://tweakers.net/i/PH2XB4vsjjH87mGopFl0ZSbc6Xk=/full-fit-in/4000x4000/filters:no_upscale():fill(white):strip_exif()/f/image/xtLpZTUJcOdSh71r9bV8ruWP.png?f=user_large

Een .local suffix configureren op je router voor normale DNS is af te raden omdat deze al is gereserveerd voor mDNS:
Wikipedia: .local

There are only 10 types of people in the world: those who understand binary, and those who don't


Acties:
  • +4 Henk 'm!

  • RobIII
  • Registratie: December 2001
  • Niet online

RobIII

Admin Devschuur®

^ Romeinse Ⅲ ja!

(overleden)
FRITZ!webcare schreef op dinsdag 7 mei 2024 @ 13:42:
5. Een uitzondering vormt het hulpprogramma "nslookup" van Windows dat voor het testen van naamaanvragen bedoeld is. Het voert zelf de DNS-requests uit zonder de standaardfuncties van het besturingssysteem te gebruiken voor de naamomzetting en voegt, in tegenstelling tot de standaard naamomzetting van andere programma’s, altijd het toegewezen achtervoegsel toe – zelfs als de aangevraagde domeinnaam al het achtervoegsel bevat. We weten niet in hoeverre dit gedrag de bedoeling was van degenen die dit hulpprogramma geschreven hebben, danwel of dit gedrag een fout is.
Het is in de DNS wereld niet ongebruikelijk een DNS naam te eindigen met een .
The topmost layer of every domain name is the DNS root zone, which is expressed as an empty label and can be represented in an FQDN with a trailing dot, such as somehost.example.com.. A trailing dot is generally implied and often omitted by most applications.
Generally implied and often omitted. NSlookup is gewoon niet bedoeld* voor de doorsnee thuisgebruiker, maar voor mensen die weten wat ze doen.

Ofwel: niet foo.bar.com maar foo.bar.com.

Ik heb geen Fritz!Box-dinges maar ik wed dat als je een punt achter je domein zet het met nslookup ook gewoon werkt. En dan snap ik dus de hele verbazing van ding punt 5 niet.

* Althans: Allicht initieel niet zo bedoeld en daarna aanpassen zou een breaking change zijn.

[ Voor 25% gewijzigd door RobIII op 08-05-2024 00:16 ]

There are only two hard problems in distributed systems: 2. Exactly-once delivery 1. Guaranteed order of messages 2. Exactly-once delivery.

Je eigen tweaker.me redirect

Over mij


Acties:
  • 0 Henk 'm!

  • deHakkelaar
  • Registratie: Februari 2015
  • Laatst online: 27-07-2024
Ik vermoed dat hier een boel onkunde de grondslag is voor de observaties.
Indien juist geconfigureerd zullen de lokale verzoekjes niet je LAN verlaten.
Zoals bv een client direct met 8.8.8.8 laten praten.

EDIT:
RobIII schreef op woensdag 8 mei 2024 @ 00:11:
Ik heb geen Fritz!Box-dinges maar ik wed dat als je een punt achter je domein zet het met nslookup ook gewoon werkt. En dan snap ik dus de hele verbazing van ding punt 5 niet.
Dat is juist:
dehakkelaar@hak01:~$ ping willekeurig.
ping: willekeurig.: Name or service not known

pi@ph5a:~ $ pihole -t
[..]
May  8 00:20:46: query[A] willekeurig from 10.0.0.145
May  8 00:20:46: config willekeurig is NXDOMAIN
May  8 00:20:46: query[AAAA] willekeurig from 10.0.0.145
May  8 00:20:46: config willekeurig is NXDOMAIN

[ Voor 60% gewijzigd door deHakkelaar op 08-05-2024 00:22 ]

There are only 10 types of people in the world: those who understand binary, and those who don't


Acties:
  • 0 Henk 'm!

  • deHakkelaar
  • Registratie: Februari 2015
  • Laatst online: 27-07-2024
Je kunt home.arpa. als search suffix domain configureren voor thuis.
Deze is speciaal bedoelt/gereserveerd voor dit doeleinde:
https://www.iana.org/assi...al-use-domain-names.xhtml
'home.arpa.' is designated for non-unique use in residential
home networks.
$ whois home.arpa.
[..]
organisation: Internet Architecture Board (IAB)
address:      c/o IETF Administration LLC
address:      1000 N. West St.
address:      Suite 1200
address:      Wilmington DE 19801
address:      United States
[..]
contact:      technical
name:         Internet Assigned Numbers Authority (IANA)
organisation: Internet Corporation for Assigned Names and Numbers (ICANN)
[..]
remarks:      This domain is administered as part of the .ARPA zone
remarks:      management, described at https://iana.org/domains/arpa

[ Voor 5% gewijzigd door deHakkelaar op 08-05-2024 00:37 ]

There are only 10 types of people in the world: those who understand binary, and those who don't


Acties:
  • +4 Henk 'm!

  • CodeCaster
  • Registratie: Juni 2003
  • Niet online

CodeCaster

Can I get uhm...

Het punt is: de DHCP van de Fritz!Box adverteert een niet uit te schakelen of wijzigen DHCP-optie 015 Domain Name met de waarde "fritz.box".

Dit zorgt ervoor dat ieder uitgaand niet-FQDN-DNS-verzoek (zoals naar de hosts "willekeurig", of "server", of "een-interne-host") altijd de suffix ".fritz.box" krijgt.

Dat is gevaarlijk, want als je dan niet óók de DNS-server van de Fritz!Box gebruikt (die die verzoeken níet naar buiten stuurt), dan stuurt jouw DNS die verzoeken doodleuk naar buiten, en gaat de client verkeer sturen naar het IP dat hij als antwoord krijgt.

Oók als je die FQDN-optie aanzet, want "willekeurig.fritz.box" ís een FQDN.

[ Voor 9% gewijzigd door CodeCaster op 08-05-2024 00:51 ]

https://oneerlijkewoz.nl
Het ergste moet nog komen / Het leven is een straf / Een uitgestrekte kwelling van de wieg tot aan het graf


Acties:
  • 0 Henk 'm!

  • HeleBoel
  • Registratie: September 2013
  • Laatst online: 11:33
CyBeR schreef op dinsdag 7 mei 2024 @ 18:32:
[...]


Dit soort amateurisme is waarom ik al jaren weiger AVM-producten te gebruiken en anderen adviseer dat ook te doen.

Onvoorstelbaar.
Welke producten adviseer je dan wel? Ik heb hier ook een AVM Fritz!box en ik ben best wel geschrokken van dit verhaal.
Volgend jaar ga ik verhuizen naar een nieuwbouwwoning en ik wilde al access points van AVM gaan aanschaffen, maar als ik dit lees kan ik beter TP Link of Ubiquiti spullen gaan kopen?

Acties:
  • 0 Henk 'm!

  • MarcoC
  • Registratie: September 2003
  • Laatst online: 10:56
deHakkelaar schreef op woensdag 8 mei 2024 @ 00:18:
Ik vermoed dat hier een boel onkunde de grondslag is voor de observaties.
Indien juist geconfigureerd zullen de lokale verzoekjes niet je LAN verlaten.
Zoals bv een client direct met 8.8.8.8 laten praten.

EDIT:

[...]

Dat is juist:
dehakkelaar@hak01:~$ ping willekeurig.
ping: willekeurig.: Name or service not known

pi@ph5a:~ $ pihole -t
[..]
May  8 00:20:46: query[A] willekeurig from 10.0.0.145
May  8 00:20:46: config willekeurig is NXDOMAIN
May  8 00:20:46: query[AAAA] willekeurig from 10.0.0.145
May  8 00:20:46: config willekeurig is NXDOMAIN
toon volledige bericht
Wat bedoel je met "juist geconfigureerd"? Er valt weinig te configureren aan een Fritz!Box. Het DHCP DNS suffix is niet aanpasbaar. Zie het voorbeeld in dit topic van iemand die een SSH-verbinding wilt opzetten naar een lokaal device en van de 1 op andere dag op een publiek IP-adres uitkomt.

Acties:
  • 0 Henk 'm!

  • CyBeR
  • Registratie: September 2001
  • Niet online

CyBeR

💩

HeleBoel schreef op woensdag 8 mei 2024 @ 09:01:
[...]


Welke producten adviseer je dan wel? Ik heb hier ook een AVM Fritz!box en ik ben best wel geschrokken van dit verhaal.
Volgend jaar ga ik verhuizen naar een nieuwbouwwoning en ik wilde al access points van AVM gaan aanschaffen, maar als ik dit lees kan ik beter TP Link of Ubiquiti spullen gaan kopen?
Ik gebruik meestal Ubiquiti tegenwoordig. Daar zijn allicht ook mensen geen fan van (dat kun je voor elk bedrijf wel zeggen) maar die nemen iig security vrij serieus, en ze zijn betaalbaar en hebben veel instelmogelijkheden zonder dat je meteen een diploma netwerken nodig hebt. Ik heb ook wel TP-link spullen maar alleen unmanaged. En ik gebruik graag Juniper maar dat is wel echt een andere categorie.

All my posts are provided as-is. They come with NO WARRANTY at all.


Acties:
  • 0 Henk 'm!

  • MarcoC
  • Registratie: September 2003
  • Laatst online: 10:56
CodeCaster schreef op woensdag 8 mei 2024 @ 00:43:
[...]


Het punt is: de DHCP van de Fritz!Box adverteert een niet uit te schakelen of wijzigen DHCP-optie 015 Domain Name met de waarde "fritz.box".

Dit zorgt ervoor dat ieder uitgaand niet-FQDN-DNS-verzoek (zoals naar de hosts "willekeurig", of "server", of "een-interne-host") altijd de suffix ".fritz.box" krijgt.

Dat is gevaarlijk, want als je dan niet óók de DNS-server van de Fritz!Box gebruikt (die die verzoeken níet naar buiten stuurt), dan stuurt jouw DNS die verzoeken doodleuk naar buiten, en gaat de client verkeer sturen naar het IP dat hij als antwoord krijgt.

Oók als je die FQDN-optie aanzet, want "willekeurig.fritz.box" ís een FQDN.
Dit is volgens mij (zoals ook eerder aangestipt in dit topic) mogelijk een risico bij DNS over HTTPS waarbij dus niet de DNS-server van de Fritz!Box gebruikt wordt.

Ik begrijp gewoon niet waarom AVM de gaten probeert dicht te praten ipv het DNS suffix aan te passen of uit te schakelen. Ja nslookup gebruikt een andere implemantie, so what? nsloolup is een veel gebruikte tool waardoor je tot verkeerde conclusies kan komen. En welke tools gebruiken nog meer een "andere implementatie"? Van nslookup kunnen we het toevallig zien, maar wat zien we niet? Het risico is gewoon te groot. Deze laksheid van AVM is m.i. ronduit gevaarlijk, ook al vinden zij van niet.

Acties:
  • +1 Henk 'm!

  • deHakkelaar
  • Registratie: Februari 2015
  • Laatst online: 27-07-2024
MarcoC schreef op woensdag 8 mei 2024 @ 09:24:
[...]
Wat bedoel je met "juist geconfigureerd"? Er valt weinig te configureren aan een Fritz!Box. Het DHCP DNS suffix is niet aanpasbaar. Zie het voorbeeld in dit topic van iemand die een SSH-verbinding wilt opzetten naar een lokaal device en van de 1 op andere dag op een publiek IP-adres uitkomt.
Bedoel je onder?
XeRoExEz in "'fritz.box' dhcp hostname veranderen"

Daar staat: "als andere DNS ingesteld of DNS over HTTPS enabled".
Wbt DoH weet ik onvoldoende af ofdat via deze weg lokale namen kunnen lekken ... is dit een aanname of heeft iemand dit al goed uitgezocht?
Als je DoH browser zelf geen rekening houdt met de via DHCP geadverteerde domein suffix zal deze dan toch ook gaan lekken ongeacht wat voor router merk je toepast?
EDIT: Ow een persoonlijke note, ik mijd DoH als de pest.

Maar wbt klassieke Do53 (DNS over port 53) is het logisch dat deze lekken als je een andere DNS server configureert die niet afweet van je suffix domein.
Als die DNS server je suffix niet weet kan hij ook niet verhinderen dat je lokale namen lekken/geforward worden naar publieke DNS servers.
Dat blokkeren doet je router DHCP + DNS stub resolver combi omdat deze de suffix wel kent (zie oa eerder geplaatste screenshot van mij).
Het zal dan ook niet uitmaken ofdat je een ander merk router toepast want daar zal precies hetzelfde gebeuren als je een andere DNS server configureert voor je clients.

Als je zo graag wilt dat je client DNS verzoekjes via een andere (externe) DNS server lopen, configureer dan deze DNS server in de WAN/Internet sectie vd Fritzbox router.
Dan gaan de verzoekjes eerst via Fritzbox welke ze dan kan filteren voordat ze geforward worden naar upstream.

Nog een algemene opmerking, ssh, ping, netcat etc is geen goede manier om Do53 te diagnotiseren.
Deze kunnen allen Do53 omzeilen via het hosts bestandje op de client zelf of via mDNS.
nslookup & dig zijn daar veel beter geschikt voor (met of zonder anker puntje op het einde van de naam).

There are only 10 types of people in the world: those who understand binary, and those who don't


Acties:
  • 0 Henk 'm!

  • Soldaatje
  • Registratie: Juni 2005
  • Niet online
Heb dus sinds kort een Fritzbox 7530 AX gekregen van Solcon internetprovider, en kom dit topic tegen en op reddit staat ook wat over dit probleem.
Ik vind het ook vreemd dat AVM het niet toestaat "fritz.box" te wijzigen in de webgui, sterker nog, eigenlijk zouden ze alle klanten moeten informeren hierover, en het in ieder geval standaard in de firmware wijzigen in iets anders, bijvoorbeeld "fritz.internal", "fritz-box.internal", of zo.
Ik heb ook geprobeerd met een website de backup config aan te passen, en te uploaden maar de gewijzigde instelling wordt genegeerd.
Toch maar een andere DHCP-server aanzetten in mijn netwerk dan.

Acties:
  • 0 Henk 'm!

  • aawe mwan
  • Registratie: December 2002
  • Laatst online: 12-07 22:32

aawe mwan

Wat ook leuk is:

deHakkelaar schreef op woensdag 8 mei 2024 @ 11:14:
[...]
Dat blokkeren doet je router DHCP + DNS stub resolver combi omdat deze de suffix wel kent
Dat kan mijn router toch per definitie niet, voor verkeer dat via VPN van mijn werk loopt?

Als ik een FQDN adres met een punt er achter (wat mogelijk een work-around is) gebruik in Windows 10 met mstsc, via VPN van het werk, naar een machine van het werk, dan geeft mstsc voor het inloggen een certificaat foutmelding: het certificaat geldt voor de naam zonder punt. Van wie is dat dan een fout?

„Ik kan ook ICT, want heel moeilijk is dit niet”


Acties:
  • +1 Henk 'm!

  • deHakkelaar
  • Registratie: Februari 2015
  • Laatst online: 27-07-2024
aawe mwan schreef op vrijdag 10 mei 2024 @ 16:00:
Dat kan mijn router toch per definitie niet, voor verkeer dat via VPN van mijn werk loopt?
Als goed is heeft je werk VPN server z'n eigen DNS server(s) en DNS suffix naar de VPN client geadverteerd.
Dus gaan de DNS verzoekjes niet meer via je router DNS en zal de VPN DNS server(s) de verzoekjes filteren naargelang suffix.
aawe mwan schreef op vrijdag 10 mei 2024 @ 16:00:
Als ik een FQDN adres met een punt er achter (wat mogelijk een work-around is) gebruik in Windows 10 met mstsc, via VPN van het werk, naar een machine van het werk, dan geeft mstsc voor het inloggen een certificaat foutmelding: het certificaat geldt voor de naam zonder punt. Van wie is dat dan een fout?
Voor normaal gebruik plaats je meestal geen root anker puntje.
Dat doe je meestal alleen voor diagnose.
Als je gewoon de korte naam gebruikt zonder puntje zal de client zelf de via VPN geadverteerde suffix erachter plakken zodat het geheel weer een FQDN wordt.

EDIT: Ik heb wel m'n twijfels ofdat een korte naam werkt met bv browsers.
Browsers doen eerst een DNS lookup met de suffix erachter om het IP vd web server te achterhalen.
Daarna verbind de browser met de web server via IP en volgens mij vraagt hij dan om de pagina weer te geven voor de korte naam dus zonder extra DNS suffix.

Eigenlijk onder dus alleen dan niet met -servername tweakers.net.
Maar daarvoor in de plaats: -servername tweakers:
deHakkelaar schreef op donderdag 7 maart 2024 @ 00:14:
$ dig +short tweakers.net a
213.239.154.30

$ openssl s_client -connect 213.239.154.30:443 -servername tweakers.net </dev/null 2>/dev/null | openssl x509 -noout -text | grep 'Subject:.* CN =\|Alternative Name\|DNS:'
        Subject: CN = *.tweakers.net
            X509v3 Subject Alternative Name:
                DNS:*.hardware.info, DNS:*.tweakblogs.net, DNS:*.tweakers.be, DNS:*.tweakers.mobi, DNS:*.tweakers.net, DNS:*.tweakers.nl, DNS:*.tweakers.tv, DNS:*.tweakimg.net, DNS:*.tweakzones.net, DNS:hardware.info, DNS:tweakblogs.net, DNS:tweakers.be, DNS:tweakers.mobi, DNS:tweakers.net, DNS:tweakers.nl, DNS:tweakers.tv, DNS:tweakimg.net, DNS:tweakzones.net
Dus gaat je cert weer de mist in ;)

EDIT2: Ja ff gecontroleerd.

Onder een client met browsen naar een korte naam ph5b.
Maar met curl ter vervanging van een browser en via HTTP ipv HTTPS want dit maakt voor dit punt toch niet uit:
dehakkelaar@hak01:~$ curl -I http://ph5b
[..]
Server: lighttpd/1.4.59

De Pi-hole DNS server logs:
dehakkelaar@ph6b:~$ pihole -t
[..]
03:28:33: query[A] ph5b.home.dehakkelaar.nl from 10.0.0.145
03:28:33: /etc/pihole/hosts/custom.list ph5b.home.dehakkelaar.nl is 10.0.0.4

Logs vd webserver:
pi@ph5b:~ $ sudo tail -F /var/log/lighttpd/access.log
[..]
10.0.0.145 ph5b - [11/May/2024:03:28:33 +0200] "HEAD / HTTP/1.1" 403 0 "-" "curl/7.88.1"

Van de laatste output is de tweede kolom/veldje de servernaam: "ph5b" die opgevraagd word.
Een korte dus ipv een FQDN.

Ter vergelijk:
dehakkelaar@hak01:~$ curl -I http://ph5b.home.dehakkelaar.nl
[..]
Server: lighttpd/1.4.59

pi@ph5b:~ $ sudo tail -F /var/log/lighttpd/access.log
[..]
10.0.0.145 ph5b.home.dehakkelaar.nl - [11/May/2024:03:58:00 +0200] "HEAD / HTTP/1.1" 403 0 "-" "curl/7.88.1"

[ Voor 58% gewijzigd door deHakkelaar op 11-05-2024 03:59 ]

There are only 10 types of people in the world: those who understand binary, and those who don't


Acties:
  • 0 Henk 'm!

  • aawe mwan
  • Registratie: December 2002
  • Laatst online: 12-07 22:32

aawe mwan

Wat ook leuk is:

deHakkelaar schreef op zaterdag 11 mei 2024 @ 02:10:
[...]
Als goed is heeft je werk VPN server z'n eigen DNS server(s) en DNS suffix naar de VPN client geadverteerd.
Dus gaan de DNS verzoekjes niet meer via je router DNS en zal de VPN DNS server(s) de verzoekjes filteren naargelang suffix.
[...]
Ik ben op zoek geweest naar instellingen en ik zie dat de VPN client (die onder Windows draait dus) een "DNS Suffix Search List" heeft, waar twee domains in staan: een .nl subdomain van mijn werk en fritz.box.

Soms gebeurt het dat de naam van een intern systeem, waarop ik eerder al ooit ingelogd was, tijdelijk niet bekend is in de DNS van het werk en dan gaat het netwerkverkeer dus zomaar ineens naar 45.76.93.104.

„Ik kan ook ICT, want heel moeilijk is dit niet”


Acties:
  • 0 Henk 'm!

  • deHakkelaar
  • Registratie: Februari 2015
  • Laatst online: 27-07-2024
aawe mwan schreef op maandag 13 mei 2024 @ 22:01:
Soms gebeurt het dat de naam van een intern systeem, waarop ik eerder al ooit ingelogd was, tijdelijk niet bekend is in de DNS van het werk en dan gaat het netwerkverkeer dus zomaar ineens naar 45.76.93.104.
Tijdelijk?
Je werk DNS servers weten toch helemaal niks af van je interne LAN namen?

Zie onder:
C:\>ipconfig /all

Windows IP Configuration

   Host Name . . . . . . . . . . . . : win01
   Primary Dns Suffix  . . . . . . . :
   Node Type . . . . . . . . . . . . : Hybrid
   IP Routing Enabled. . . . . . . . : No
   WINS Proxy Enabled. . . . . . . . : No
   DNS Suffix Search List. . . . . . : home.dehakkelaar.nl

Ethernet adapter Local Area Connection:

   Connection-specific DNS Suffix  . : home.dehakkelaar.nl
   Description . . . . . . . . . . . : Broadcom NetXtreme Gigabit Ethernet
   Physical Address. . . . . . . . . : 00-XXXX
   DHCP Enabled. . . . . . . . . . . : Yes
   Autoconfiguration Enabled . . . . : Yes
   IPv4 Address. . . . . . . . . . . : 10.0.0.23(Preferred)
   Subnet Mask . . . . . . . . . . . : 255.255.255.0
   Lease Obtained. . . . . . . . . . : maandag 13 mei 2024 21:06:30
   Lease Expires . . . . . . . . . . : dinsdag 14 mei 2024 21:06:29
   Default Gateway . . . . . . . . . : 10.0.0.1
   DHCP Server . . . . . . . . . . . : 10.0.0.2
   DNS Servers . . . . . . . . . . . : 10.0.0.5
   NetBIOS over Tcpip. . . . . . . . : Enabled

Ik heb op dit moment geen VPN ter beschikking maar als ik er 1tje zou hebben, dan zou in de output boven er dus een extra sectie bij komen voor de VPN netwerk interface met z'n eigen "Connection-specific DNS Suffix" en DNS server(s).
Met de nadruk op "Connection-specific"!
En de globale "DNS Suffix Search List" zou dan beide suffixes weergeven.
Maar mijn LAN suffix home.dehakkelaar.nl wordt alleen erachter geplakt voor verzoekjes naar m'n LAN DNS server 10.0.0.5.
En de VPN suffix wordt alleen toegevoed voor verzoekjes naar de VPN DNS server(s).
Niet beiden dus als goed is.

Hoe heb je dit dan geconstateerd?
En het helpt misschien om jouw situatie beter te begrijpen als je de ipconfig output hier plaats met wat nslookup's als je verbonden bent via VPN?
En je zou bv Wireshark op die Windows PC kunnen installeren om te zien wat voor DNS verzoekjes naar welke DNS server(s) worden geschoten?
Nu moet ik je constateringen aannemen op je woord zonder gecontroleerde feiten.

There are only 10 types of people in the world: those who understand binary, and those who don't


Acties:
  • +3 Henk 'm!

  • McOrmick
  • Registratie: Mei 2002
  • Niet online
https://www.heise.de/news...oert-nun-AVM-9717847.html

Fritz.box is nu van AVM. Blijft een achterlijke situatie, temeer ik in 2021 hiervoor al contact had opgenomen, maar het werd niet serieus genomen, of niet begrepen door onkundige support medewerkers. Dat zien we helaas wel vaker.

Acties:
  • +3 Henk 'm!

  • XeRoExEz
  • Registratie: Maart 2011
  • Laatst online: 28-08-2024
Dat er kwade opzet vanuit AVM is/was om dit de willen downplayen blijkt ook nog eens uit hun bezwaar bij WIPO en welke op sommige punten haaks staat op wat ze later naar klanten hebben trachten te beweren qua gevolgen.

Ook fijn om daarin te lezen dat AVM zelf al uitgingen van "Malicious intent", en "harmful consequences" voor gebruikers maar vervolgens zelf niet aan de bel hebben gehangen om hun klanten te waarschuwen. Tevens is nog steeds niet duidelijk bij wie die traffic is uitgekomen. Zo'n shitz.box komt hier nooit meer de deur door in elk geval.

@McOrmick goed dat je dit destijds al had geconcludeerd en voorzien. Frustrerend om onkunde aan te treffen wat gewoonweg gevaarlijk is maar het openlijk ontkennen/verdraaien van feiten door @FRITZ!webcare is daarboven op nog gevaarlijker/giftiger.

[ Voor 63% gewijzigd door XeRoExEz op 23-05-2024 16:41 . Reden: Volgorde tbv flow ]


Acties:
  • +4 Henk 'm!

  • deHakkelaar
  • Registratie: Februari 2015
  • Laatst online: 27-07-2024
@XeRoExEz , ik geloof dat je nog steeds niet begrijpt wat met onder wordt geprobeerd uit te leggen:
FRITZ!webcare in "'fritz.box' dhcp hostname veranderen"

Dat je niet weet hoe de zaken precies werken blijkt wel met jouw uitspraak onder:
XeRoExEz schreef op donderdag 23 mei 2024 @ 16:25:
Tevens is nog steeds niet duidelijk bij wie die traffic is uitgekomen.
$ dig +short fritz.box. @8.8.8.8
212.42.244.122

$ whois 212.42.244.122
[..]
netname:        AVM-NET
descr:          AVM GmbH
descr:          Alt-Moabit 95
descr:          D-10559 Berlin
country:        DE

$ dig +short dummy.hostnaam.fritz.box. @8.8.8.8
$

Voorheen was dat dus 45.76.93.104:
$ whois 45.76.93.104
[..]
OrgName:        Vultr Holdings, LLC
OrgId:          VHL-89
Address:        Hanauer Landstrasse 302
City:           Frankfurt am Main
StateProv:
PostalCode:     D-60314
Country:        DE

En onkunde toont ook omdat je ssh en ping gebruikt ipv nslookup of dig om DNS te diagnotiseren.

Frustrerend om te zien dat iemand een produkt afkraakt door eigen onkunde/onwetendheid.
Met gebruikers onkunde (niet die van AVM) kun je elk systeem wel slopen en onveilig maken.

There are only 10 types of people in the world: those who understand binary, and those who don't


Acties:
  • +1 Henk 'm!

  • franssie
  • Registratie: Februari 2000
  • Laatst online: 12:49

franssie

Save the albatross

Tsja, zou fritz.box aanpasbaar zijn, dan was deze discussie er niet...

franssie.bsky.social | 🎸 Niets is zo permanent als een tijdelijke oplossing | Een goed probleem komt nooit alleen | Gibson guitar Fender Guitar God Damn Guitar


Acties:
  • +1 Henk 'm!

  • deHakkelaar
  • Registratie: Februari 2015
  • Laatst online: 27-07-2024
@franssie , de meer opties, de meer de gebruikers kunnen verkl.ten.
Wie houdt die gebruikers tegen om een domein te configureren waarvan ze helemaal niet weten ofdat deze mogelijk al bestaat of is gereserveerd voor andere doeleinden?
Zelfs als je een ander domein configureert en je laat je DNS verzoekjes niet via Fritzbox lopen maar bv direct naar 8.8.8.8, dan lekken deze lokale verzoekjes nog steeds naar Google.

Het beste was gewoon als ze home.arpa. hadden toegepast.
Maarja ik weet niet wie eerst kwam, fritz.box of home.arpa. ;)

EDIT:
https://datatracker.ietf.org/doc/rfc8375/

[ Voor 4% gewijzigd door deHakkelaar op 24-05-2024 02:15 . Reden: typo ]

There are only 10 types of people in the world: those who understand binary, and those who don't


Acties:
  • +1 Henk 'm!

  • franssie
  • Registratie: Februari 2000
  • Laatst online: 12:49

franssie

Save the albatross

deHakkelaar schreef op vrijdag 24 mei 2024 @ 01:24:
@franssie , de meer opties, de meer de gebruikers kunnen verkl.ten.
Wie houdt die gebruikers tegen om een domein te configureren waarvan ze helemaal niet weten ofdat deze mogelijk al bestaat of is gereserveerd voor andere doeleinden?
Zelfs als je een ander domein configureert en je laat je DNS verzoekjes niet via Fritzbox lopen maar bv direct naar 8.8.8.8, dan lekken deze lokale verzoekjes nog steeds naar Google.

Het beste was gewoon als ze home.arpa. hadden toegepast.
Maarja ik weet niet wie eerst kwam, fritz.box of home.arpa. ;)

EDIT:
https://datatracker.ietf.org/doc/rfc8375/
Als je zo redeneert zou je internet toegang gewoon moeten verbieden ... Succes met je expertise box

franssie.bsky.social | 🎸 Niets is zo permanent als een tijdelijke oplossing | Een goed probleem komt nooit alleen | Gibson guitar Fender Guitar God Damn Guitar


Acties:
  • +1 Henk 'm!

  • CodeCaster
  • Registratie: Juni 2003
  • Niet online

CodeCaster

Can I get uhm...

deHakkelaar schreef op donderdag 23 mei 2024 @ 20:45:
[...]
ik geloof dat je nog steeds niet begrijpt wat met onder wordt geprobeerd uit te leggen

[...]
Dat je niet weet hoe de zaken precies werken blijkt wel met jouw uitspraak onder

[...]
Frustrerend om te zien dat iemand een [ander] afkraakt door eigen onkunde/onwetendheid.
Dit zijn onaardige opmerkingen, des te meer omdat ze net zo goed op de poster ervan zouden kunnen slaan.

https://oneerlijkewoz.nl
Het ergste moet nog komen / Het leven is een straf / Een uitgestrekte kwelling van de wieg tot aan het graf


Acties:
  • +1 Henk 'm!

  • MasterL
  • Registratie: Oktober 2003
  • Laatst online: 12:25

MasterL

Moderator Internet & Netwerken
Mensen zullen we het even vriendelijk houden?
Feitelijk heeft @deHakkelaar gewoon gelijk. Fr!tz moet gewoon geen TLD's gebruiken die (mogelijk) public gebruik worden of kunnen worden. Er zijn niet voor niks standaarden.
Elke afwijking hiervan veroorzaakt juist een security risk.

Acties:
  • +2 Henk 'm!

  • XeRoExEz
  • Registratie: Maart 2011
  • Laatst online: 28-08-2024
@deHakkelaar Het is in dit topic, op fora en in algemene brede zin belangrijk om dingen goed te lezen. Alleen zo blijft een uitwisseling constructief en (kan) je van elkaar leren. Ook voorkom je het verspillen van elkaars tijd en voorkom je kwalitatieve afbreuk en ruis in conversaties welke ook nuttig voor niet actieve deelnemers kunnen zijn. Lees even terug waar je op reageert en probeer te vinden welke onjuiste aannames/interpretatie je hebt gedaan over wat ik overbracht. Corrigeer het gerust, dan kan ik evt dit comment weer weggooien.

@MasterL Er is geen discussie over het wel/niet gebruiken van een TLD door AVM. Dit is letterlijk post #1 in dit topic aangeduid en nimmer weersproken.

[ Voor 15% gewijzigd door XeRoExEz op 24-05-2024 14:39 . Reden: 8)7 ]


Acties:
  • 0 Henk 'm!

  • Black Tiger 63
  • Registratie: December 2006
  • Laatst online: 16-06 15:07
Even half off-topic. Gezien het comment van enkelen nooit een Fritz te gaan gebruiken of niet meer.
Ik gebruik die dingen al vele jaren.

Maar welke alternatieve router in dezelfde prijsklasse zou dan het dichts bij de mogelijkheden komen die een Fritz heeft? Dan doel ik op de keuze opties achter kabel of dsl/glas maar met name op ingebouwde telefooncentrale met die mogelijkheden voor voip.

Het euvel is inmiddels gefixed, nslookup werkt weer zoals het hoort, maar dit was zeker een stomme fout van Fritz en die ontkenning dat het een probleem zou zijn werkt zeker niet in hun voordeel.

Greetings, Black Tiger


Acties:
  • 0 Henk 'm!

  • MasterL
  • Registratie: Oktober 2003
  • Laatst online: 12:25

MasterL

Moderator Internet & Netwerken
@XeRoExEz Ik snap het maar volgens mij is het toch voor iedereen duidelijk? Wat valt er inhoudelijk nog te bespreken? Dit is een topic uit 2021.. Voor ieder de keus of hij/zij nog voor AVM kiest of niet?

Acties:
  • +3 Henk 'm!

  • MarcoC
  • Registratie: September 2003
  • Laatst online: 10:56
MasterL schreef op vrijdag 24 mei 2024 @ 14:44:
@XeRoExEz Ik snap het maar volgens mij is het toch voor iedereen duidelijk? Wat valt er inhoudelijk nog te bespreken? Dit is een topic uit 2021.. Voor ieder de keus of hij/zij nog voor AVM kiest of niet?
Sinds begin dit jaar is het fritz.box-domein pas uitgegeven. Dus dat het topic uit 2021 komt geeft alleen maar aan dat AVM 3 jaar lang verzaakt heeft het probleem te voorkomen. En het probleem is nog steeds niet opgelost omdat interne DNS-verzoeken nog steeds ongevraagd het publieke internet over gaan als de niet-standaard DNS-server gebruikt wordt.

Acties:
  • 0 Henk 'm!

  • MasterL
  • Registratie: Oktober 2003
  • Laatst online: 12:25

MasterL

Moderator Internet & Netwerken
MarcoC schreef op vrijdag 24 mei 2024 @ 14:48:
[...]

Sinds begin dit jaar is het fritz.box-domein pas uitgegeven. Dus dat het topic uit 2021 komt geeft alleen maar aan dat AVM 3 jaar lang verzaakt heeft het probleem te voorkomen. En het probleem is nog steeds niet opgelost omdat interne DNS-verzoeken nog steeds ongevraagd het publieke internet over gaan als de niet-standaard DNS-server gebruikt wordt.
Oke de oorzaak blijft hetzelfde, AVM gebruikt een TLD wat ze niet zouden moeten doen. Dat het nu pas praktische implicaties heeft verandert niks aan dat feit.

Acties:
  • +1 Henk 'm!

  • XeRoExEz
  • Registratie: Maart 2011
  • Laatst online: 28-08-2024
@MarcoC geeft met zijn reactie antwoord op je eigen vraag @MasterL van enkele minuten daarvoor waarom dit topic (onlangs weer) relevant werd. Hij probeert niets "aan het feit te veranderen"...wel iets te helpen/verduidelijken
MasterL schreef op vrijdag 24 mei 2024 @ 14:44:
@XeRoExEz Ik snap het maar volgens mij is het toch voor iedereen duidelijk? Wat valt er inhoudelijk nog te bespreken? Dit is een topic uit 2021.. Voor ieder de keus of hij/zij nog voor AVM kiest of niet?
Wat nog steeds relevant en on-topic is, is de afhandeling van AVM en hoe ze omgaat met zulke issues om zo tweakers instaat te stellen goede keuzes te laten maken.

Welke andere partij ik zou adviseren blijft lastig @Black Tiger 63 . Zelf heb ik nu een los VOIP device gekocht en een dedicated modem device. Misschien is dat dan doorgaans een soort peiler: Dat je beter een dedicated/device/partij kan hebben welke in een specifiek ding goed is dan een partij die van alles een beetje probeert te zijn. Dat is zeker niet altijd waar maar specialisme blijkt doorgaans wel een indicator. Ook gevestigde merken welke ook in de grootzakelijke markt bekende namen zijn (geworden) lijken goede keuzes. Om niet een nieuw wespennest aan te prikken, noem ik even geen specifieke merken in dit topic ;) .

[ Voor 51% gewijzigd door XeRoExEz op 24-05-2024 15:26 ]


Acties:
  • 0 Henk 'm!

  • Black Tiger 63
  • Registratie: December 2006
  • Laatst online: 16-06 15:07
@XeRoExEz Heb ooit zo'n losse gehad, was ik niet zo van gecharmeerd. Doorgaans is dedicated wel beter maar in dit geval heb ik het liever bij elkaar, al teveel toestellen hier staan. Bijkomend voordeel was ook dat ik hier gewoon direct een dect mee kon koppelen, handig voor aparte fratsen.
Maar bedankt voor je antwoord.

Greetings, Black Tiger


Acties:
  • +1 Henk 'm!

  • deHakkelaar
  • Registratie: Februari 2015
  • Laatst online: 27-07-2024
XeRoExEz schreef op vrijdag 24 mei 2024 @ 14:25:
@deHakkelaar Het is in dit topic, op fora en in algemene brede zin belangrijk om dingen goed te lezen. Alleen zo blijft een uitwisseling constructief en (kan) je van elkaar leren. Ook voorkom je het verspillen van elkaars tijd en voorkom je kwalitatieve afbreuk en ruis in conversaties welke ook nuttig voor niet actieve deelnemers kunnen zijn. Lees even terug waar je op reageert en probeer te vinden welke onjuiste aannames/interpretatie je hebt gedaan over wat ik overbracht. Corrigeer het gerust, dan kan ik evt dit comment weer weggooien.
Dit klinkt al veel beschaafder en vriendelijker dan je eerdere rants.
Bedankt!

Waar jij al de mist in gaat is helemaal aan het begin met het diagnotiseren dat verzoekjes met het fritz.box domein bij publieke DNS servers terecht komen en dan oplossen naar een publiekelijk IP adres.
Met OOTB defaults voor Fritzbox en clients zal dat niet gebeuren omdat Fritzbox (en de meeste routers) deze verzoekjes met de eigen DNS suffix niet doorschieten naar upstream.
Dit gebeurd alleen als de gebruiker ergens iets fout heeft geconfigureerd waardoor dit filteren door Fritzbox wordt omzeild.
En zelfs als een andere suffix op de Fritzbox valt te configureren, dan zal die suffix ook gaan lekken naar publieke upstream servers als fouten worden gemaakt.
Het is daarom niet redelijk om dan alle schuld bij Fritzbox neer te leggen.

Ik ben het wel eens dat AVM dat fritz.box domein had moeten registreren toen deze ter beschikking kwam.
Dit om configuratie fouten door de gebruikers redelijkerwijze op te kunnen vangen.

Dan is er nog het punt dat als die fritz.box namen toch naar publieke IP adressen oplossen, dat er dan nog relatief weinig aan de hand is zoals eerder is geprobeerd uit te leggen in het berichtje onder:
FRITZ!webcare in "'fritz.box' dhcp hostname veranderen"

Maar als je toon met AVM support dezelfde is geweest als welke je hier vertoonde met je eerdere reacties (ze liegen, AVM onkunde en verkeerde aannames), dan kan ik me voorstellen dat je niet goed geholpen werdt.
Ik moest naast m'n normale werkzaamheden ook om de zes weken een weekje op de helpdesk draaien dus spreek uit ervaring (IBM X-server helpdesk).

En dan nog een puntje wbt het zelf configureren van de suffix door gebruikers:
McOrmick schreef op dinsdag 14 december 2021 @ 11:55:
Ik wil dus graag de dhcp hostname suffix op '.local' kunnen instellen, maar ik kan dat nergens in de (onlogisch geordende) interface vinden.
Dat .local domein is al gereserveerd voor andere doeleinden:
Using ".local" as a private top-level domain conflicts with Multicast DNS and may cause problems for users.
https://www.rfc-editor.org/rfc/rfc6762.html

There are only 10 types of people in the world: those who understand binary, and those who don't


Acties:
  • 0 Henk 'm!

  • deHakkelaar
  • Registratie: Februari 2015
  • Laatst online: 27-07-2024
franssie schreef op vrijdag 24 mei 2024 @ 05:40:
[...]

Als je zo redeneert zou je internet toegang gewoon moeten verbieden ... Succes met je expertise box
Zie onder:
deHakkelaar schreef op vrijdag 24 mei 2024 @ 20:21:
En dan nog een puntje wbt het zelf configureren van de suffix door gebruikers:

[...]

Dat .local domein is al gereserveerd voor andere doeleinden:

[...]


https://www.rfc-editor.org/rfc/rfc6762.html
EDIT: Nog een voorbeeldje van een verkeerde suffix, ik heb ook hier op GOT gebruikers zien proberen om hun publiekelijk geregistreerde domeinnaam als suffix op te voeren.
Bv dehakkelaar.nl als suffix.
Maar omdat de router deze suffix dan als lokaal beschouwt, zal deze dus ook niet de verzoekjes forwarden naar upstream voor dit domein en de subdomeinen.
Om dit dan op te lossen schakelen ze die "router suffix filter" dan uit ... indien dit een optie is op je router (zie eerder geplaatste screenshot van Pi-hole).
Met de consequentie dat als een client een verzoekje maakt met die lokale suffix waarvoor de router geen antwoord heeft, dat ze dan ook gaan lekken naar upstream en zelfs bij de root servers terecht komen (niet het volledige domein maar voor de .nl zone).

[ Voor 41% gewijzigd door deHakkelaar op 24-05-2024 22:00 ]

There are only 10 types of people in the world: those who understand binary, and those who don't


Acties:
  • 0 Henk 'm!

  • deHakkelaar
  • Registratie: Februari 2015
  • Laatst online: 27-07-2024
MarcoC schreef op vrijdag 24 mei 2024 @ 14:48:
En het probleem is nog steeds niet opgelost omdat interne DNS-verzoeken nog steeds ongevraagd het publieke internet over gaan als de niet-standaard DNS-server gebruikt wordt.
Ik miste boven in eerste instantie.
Dat is dan je eigen schuld want DNS en DHCP werken nouw samen voor je thuis netwerk.
Dit valt ook niet op te lossen omdat de client (niet de server) altijd de suffix achter een non FQDN verzoekje plakt ongeacht welke suffix domein je configureert.
En als deze verzoekjes niet worden gefilterd, zoals Fritzbox en de meeste routers dat doen, zullen je lokale verzoekjes incusief suffix bij die "niet-standaard DNS-server" terecht komen.

There are only 10 types of people in the world: those who understand binary, and those who don't


Acties:
  • 0 Henk 'm!

  • MarcoC
  • Registratie: September 2003
  • Laatst online: 10:56
deHakkelaar schreef op vrijdag 24 mei 2024 @ 23:10:
[...]

Ik miste boven in eerste instantie.
Dat is dan je eigen schuld want DNS en DHCP werken nouw samen voor je thuis netwerk.
Dit valt ook niet op te lossen omdat de client (niet de server) altijd de suffix achter een non FQDN verzoekje plakt ongeacht welke suffix domein je configureert.
En als deze verzoekjes niet worden gefilterd, zoals Fritzbox en de meeste routers dat doen, zullen je lokale verzoekjes incusief suffix bij die "niet-standaard DNS-server" terecht komen.
Dat is niet je eigen schuld want de DHCP-instellingen kun je niet aanpassen. Dat is dus het probleem.

Acties:
  • 0 Henk 'm!

  • deHakkelaar
  • Registratie: Februari 2015
  • Laatst online: 27-07-2024
MarcoC schreef op vrijdag 24 mei 2024 @ 23:12:
[...]

Dat is niet je eigen schuld want de DHCP-instellingen kun je niet aanpassen. Dat is dus het probleem.
Dus als je die DHCP server optie 15 kunt aanpassen, wie gaat dan je DNS verzoekjes filteren op die aangepaste suffix?

There are only 10 types of people in the world: those who understand binary, and those who don't


Acties:
  • +1 Henk 'm!

  • franssie
  • Registratie: Februari 2000
  • Laatst online: 12:49

franssie

Save the albatross

@deHakkelaar jij geeft iedereen en zijn moeder de schuld van enige vorm van misconfiguratie, dat is ondertussen best wel irritant en onnodig herhaaldelijk.
De meeste mensen hier in netwerken weten wel een beetje hoe het werkt en noobs zijn met jouw posts ook niet geholpen want ik bemerk geen enige constructieve feedback.
Dus, waarom post je hier? Werk je voor AVM of ga je met oplossingen en/of alternatieven komen?

franssie.bsky.social | 🎸 Niets is zo permanent als een tijdelijke oplossing | Een goed probleem komt nooit alleen | Gibson guitar Fender Guitar God Damn Guitar


Acties:
  • +1 Henk 'm!

  • deHakkelaar
  • Registratie: Februari 2015
  • Laatst online: 27-07-2024
Omdat hier toch een boel onjuiste informatie wordt gegeven en verkeerde aannames worden gedaan.
Nee.
franssie schreef op vrijdag 24 mei 2024 @ 23:15:
ga je met oplossingen en/of alternatieven komen?
deHakkelaar schreef op woensdag 8 mei 2024 @ 11:14:
Als je zo graag wilt dat je client DNS verzoekjes via een andere (externe) DNS server lopen, configureer dan deze DNS server in de WAN/Internet sectie vd Fritzbox router.
Dan gaan de verzoekjes eerst via Fritzbox welke ze dan kan filteren voordat ze geforward worden naar upstream.

There are only 10 types of people in the world: those who understand binary, and those who don't


Acties:
  • +3 Henk 'm!

  • MarcoC
  • Registratie: September 2003
  • Laatst online: 10:56
deHakkelaar schreef op vrijdag 24 mei 2024 @ 23:21:
[...]

Omdat hier toch een boel onjuiste informatie wordt gegeven en verkeerde aannames worden gedaan.

[...]

Nee.

[...]


[...]
Wat wij willen is dat er geen DNS suffix met publieke TLD niet-configureerbaar ingesteld wordt zodat er geen noodgrepen gedaan hoeven worden om te voorkomen dat DNS-verzoeken het publieke internet over gaan. Die verantwoordelijk ligt bij AVM en m.i. is het bijzonder nalatig dat ze a) de ernst van het probleem niet erkennen en het probleem downplayen en b) geen plan hebben om het DNS-suffix aan te passen of configureerbaar te maken.

Acties:
  • 0 Henk 'm!

  • deHakkelaar
  • Registratie: Februari 2015
  • Laatst online: 27-07-2024
Voor wat achtergrond info hoe mijn Pi-hole DHCP + DNS stub resolver combi die suffix filtert:
$ man dnsmasq
[..]
       -S,              --local,               --server=[/[<domain>]/[do-
       main/]][<server>[#<port>]][@<interface>][@<source-ip>[#<port>]]
[..]
              Also  permitted is a -S flag which gives a domain but no IP
              address; this tells dnsmasq that a domain is local  and  it
              may answer queries from /etc/hosts or DHCP but should never
              forward queries on that domain  to  any  upstream  servers.
              --local  is  a  synonym  for --server to make configuration
              files clearer in this case.

pi@ph5a:~ $ cat /etc/dnsmasq.d/02-pihole-dhcp.conf
[..]
local=/home.dehakkelaar.nl/

dnsmasq zit in een boel consumenten routers maar geloof niet in die van Fritzbox!

There are only 10 types of people in the world: those who understand binary, and those who don't


Acties:
  • +1 Henk 'm!

  • laurens0619
  • Registratie: Mei 2002
  • Laatst online: 11:33
franssie schreef op vrijdag 24 mei 2024 @ 23:15:
@deHakkelaar jij geeft iedereen en zijn moeder de schuld van enige vorm van misconfiguratie, dat is ondertussen best wel irritant en onnodig herhaaldelijk.
De meeste mensen hier in netwerken weten wel een beetje hoe het werkt en noobs zijn met jouw posts ook niet geholpen want ik bemerk geen enige constructieve feedback.
Dus, waarom post je hier? Werk je voor AVM of ga je met oplossingen en/of alternatieven komen?
Het is natuurlijk een populairdere mening dat fritzbix helemaal kut is en de fout van het domein zeer gevaarlijk is. Zover dat veel mensen niet meer open staan het te willen begrijpen lijkt het

de realiteit is dat wat @deHakkelaar post juist is. Haal even rustig adem en lees zijn posts rustig door :)

CISSP! Drop your encryption keys!


Acties:
  • 0 Henk 'm!

  • aawe mwan
  • Registratie: December 2002
  • Laatst online: 12-07 22:32

aawe mwan

Wat ook leuk is:

deHakkelaar schreef op dinsdag 14 mei 2024 @ 00:05:
[...]
Tijdelijk?
Je werk DNS servers weten toch helemaal niks af van je interne LAN namen?
Wat ik met „tijdelijk” bedoelde, was dat ik meestal (bijna altijd) als ik op de Windows 10 laptop van het werk (die vanwege de veiligheid helemaal dichtgetimmerd is) alleen de computernaam gebruik (dus niet een fqdn), ik gewoon verbinding kreeg met die interne server. Maar soms werkte dit niet: in die gevallen kwam mijn verbinding niet uit bij de interne server, maar op de VPS van de hackers bij Vultr.

Dit is super vervelend als het gaat om servers waar je credentials heen stuurt, zoals bijvoorbeeld RDP (wat ik voor mijn werk regelmatig gebruik).

„Ik kan ook ICT, want heel moeilijk is dit niet”


Acties:
  • 0 Henk 'm!

  • deHakkelaar
  • Registratie: Februari 2015
  • Laatst online: 27-07-2024
Knip, offtopic en zeker niet nodig gezien jouw andere berichten in dit topic

[ Voor 93% gewijzigd door MasterL op 27-05-2024 11:12 ]

There are only 10 types of people in the world: those who understand binary, and those who don't


Acties:
  • +1 Henk 'm!

  • deHakkelaar
  • Registratie: Februari 2015
  • Laatst online: 27-07-2024
Ik bedacht me nog een bezwaar om direct op een client een andere DNS server te configureren.
Apps willen ook wel eens reverse DNS lookups doen.
Dus niet van naam naar IP maar van IP naar naam.
Als die andere DNS server niet afweet van je eigen LAN subnet en deze verzoekjes ook niet filtert, dan lekken dit soort verzoekjes ook naar upstream.

Een reverse lookup is bv:
$ dig +short -x 10.0.0.1
router.home.dehakkelaar.nl.

$ dig +short 1.0.0.10.in-addr.arpa ptr
router.home.dehakkelaar.nl.

$ nslookup 10.0.0.1
1.0.0.10.in-addr.arpa   name = router.home.dehakkelaar.nl.

Wat dus ook ongewenst en onnodig netwerk verkeer genereerd naar upstream.

$ man dnsmasq
[..]
       -s, --domain=<domain>[[,<address range>[,local]]|<interface>]
[..]
              If the address range is given as ip-address/network-size, then a
              additional flag "local" may be supplied which has the effect  of
              adding --local declarations for forward and reverse DNS queries.

pi@ph5a:~ $ cat /etc/dnsmasq.d/02-pihole-dhcp.conf
[..]
dhcp-range=10.0.0.20,10.0.0.254,24h
domain=home.dehakkelaar.nl
local=/home.dehakkelaar.nl/

$ man unbound.conf
[..]
       private-address: <IP address or subnet>
              Give IPv4 of IPv6 addresses or classless subnets. These are  ad‐
              dresses  on  your private network, and are not allowed to be re‐
              turned for public internet names.  Any occurrence  of  such  ad‐
              dresses  are  removed from DNS answers
.
pi@ph5a:~ $ cat /etc/unbound/unbound.conf.d/pi-hole.conf
[..]
    # Ensure privacy of local IP ranges
    private-address: 192.168.0.0/16
    private-address: 169.254.0.0/16
    private-address: 172.16.0.0/12
    private-address: 10.0.0.0/8
    private-address: fd00::/8
    private-address: fe80::/10

Ik beloof dat dit het laatste is wat ik hierover heb te melden ;)
Behalve natuurlijk als er nog vragen zijn.

[ Voor 20% gewijzigd door deHakkelaar op 27-05-2024 04:59 . Reden: + unbound ]

There are only 10 types of people in the world: those who understand binary, and those who don't


Acties:
  • +1 Henk 'm!

  • Frogmen
  • Registratie: Januari 2004
  • Niet online
aawe mwan schreef op zaterdag 25 mei 2024 @ 08:23:
[...]


Wat ik met „tijdelijk” bedoelde, was dat ik meestal (bijna altijd) als ik op de Windows 10 laptop van het werk (die vanwege de veiligheid helemaal dichtgetimmerd is) alleen de computernaam gebruik (dus niet een fqdn), ik gewoon verbinding kreeg met die interne server. Maar soms werkte dit niet: in die gevallen kwam mijn verbinding niet uit bij de interne server, maar op de VPS van de hackers bij Vultr.

Dit is super vervelend als het gaat om servers waar je credentials heen stuurt, zoals bijvoorbeeld RDP (wat ik voor mijn werk regelmatig gebruik).
Volgens mij als ik dit zo lees heeft je werk dan nog meer security problemen, of ze gebruiken een consumenten router of je gebruikt VPN maar wordt niet alle verkeer door de VPN geleid. Beide niet het meest veilig.

Voor een Tweaker is de weg naar het resultaat net zo belangrijk als het resultaat.


Acties:
  • 0 Henk 'm!

  • Bertjus
  • Registratie: September 2015
  • Laatst online: 28-05-2024
Ik kan door alle bomen hier het bos niet meer zien.

Momenteel krijg ik op "http://fritz.box/" na heel lange wachttijd schijnbaar de normale web-interface.
Maar ik weet niet eens of ik die kan vertrouwen. Want ik weet niet hoe dit loopt, en waar die nu vandaan komt.
En het duurt in ieder geval veel te lang.

Alternatief gebruik ik al een tijdje een IP-adres dat ik blijkbaar ooit ingesteld heb.

Eigenlijk is de hamvraag: is hier nu een oplossing voor?
Ik zou het liefst het makkelijkere fritz.box gebruiken.

Het is idioot dat dit zomaar op begon te treden zonder dat AVM dit ooit naar de gebruikers verklaard heeft, en ik zelf een paar keer naar de oorzaak heb moeten zoeken.
Ik zou natuurlijk eigenlijk willen dat ze er een oplossing voor vinden, via een update of wat dan ook.

Acties:
  • 0 Henk 'm!

  • deHakkelaar
  • Registratie: Februari 2015
  • Laatst online: 27-07-2024
@Bertjus , het probleem waar dit draadje over gaat is al opgelost omdat AVM het publieke fritz.box domein onlangs heeft geregistreerd op eigen naam en DNS records heeft aangemaakt hiervoor:
McOrmick schreef op dinsdag 14 mei 2024 @ 20:17:
https://www.heise.de/news...oert-nun-AVM-9717847.html

Fritz.box is nu van AVM. Blijft een achterlijke situatie, temeer ik in 2021 hiervoor al contact had opgenomen, maar het werd niet serieus genomen, of niet begrepen door onkundige support medewerkers. Dat zien we helaas wel vaker.
deHakkelaar schreef op donderdag 23 mei 2024 @ 20:45:
$ dig +short fritz.box. @8.8.8.8
212.42.244.122

$ whois 212.42.244.122
[..]
netname:        AVM-NET
descr:          AVM GmbH
descr:          Alt-Moabit 95
descr:          D-10559 Berlin
country:        DE

$ dig +short dummy.hostnaam.fritz.box. @8.8.8.8
$

Voorheen was dat dus 45.76.93.104:
$ whois 45.76.93.104
[..]
OrgName:        Vultr Holdings, LLC
OrgId:          VHL-89
Address:        Hanauer Landstrasse 302
City:           Frankfurt am Main
StateProv:
PostalCode:     D-60314
Country:        DE
toon volledige bericht
$ whois fritz.box
[..]
Updated Date: 2024-05-19T17:38:29.0Z

Welliswaar niet helemaal een nette oplossing maar je kan niet meer bij kwaadwillende IP's terecht komen als je iets fout configureert.

Als onder op je client het private Fritzbox IP weergeeft als antwoord is alles snor wbt die domein registratie:
code:
1
nslookup fritz.box

Als je het publieke IP als antwoord krijgt zoals onder, dan is er nog iets niet goed kwa configuratie (ik heb geen Fritzbox dus vandaar het publieke IP als antwoord):
C:\>nslookup fritz.box
Server:  pi.hole
Address:  10.0.0.5

Non-authoritative answer:
Name:    fritz.box
Addresses:  2001:bf0:244:244::122
          212.42.244.122

Als je problemen ondervindt zoals lang moeten wachten, dan zul je dit zelf moeten diagnotiseren met de tools beschikbaar voor jouw OS.
Maar dan zou ik adviseren om daar een appart draadje voor te openen en je probleem daar voor te leggen met meer details zoals client OS, client netwerk instellingen (ipconfig /all etc), router wijzigingen, nslookup & ping output etc.

There are only 10 types of people in the world: those who understand binary, and those who don't


Acties:
  • 0 Henk 'm!

  • XeRoExEz
  • Registratie: Maart 2011
  • Laatst online: 28-08-2024
TLDR: @Bertjus Er is inderdaad momenteel geen (gemakkelijke en waterdichte oplossing), met behoud van de Fritz box, dat is ook niet volledig veranderd met het overnemen van fritz.box door AVM. Voor het omzeilen van één van de problemen (het aanroepen van de fritz.box webinterface), is het aanroepen via het IP voor nu het meest betrouwbaar.

Dit o.a. omdat browsers soms eigen DNS servers/varianten gebruiken los van je OS instellingen. Het technisch (correcte) antwoord is dus zoals gewoonlijk 'het ligt eraan'
.
--
Hieronder heb ik het bos met bomen zo goed mogelijk op een rij gezet met daarbij de implicaties/impact. Dat is nog steeds een flinke lap met tekst en met de nodige mitsen/maren en daarom een complex verhaal.
--
DNS - lapmiddel
Het 'diagnostiseren' met wat commandline tools, zegt iets over de huidige (DNS) configuratie van je OS en niet van bijvoorbeeld je browser. Zo gebruikt bijvoorbeeld Firefox al lange tijd default andere DNS vormen en server (DoH, TRR & 1.1.1.1) dan wat je op OS niveau hebt ingesteld. Ook zegt het beperkt iets over dat specifieke device (een ander device kan een andere/eigen DNS configuratie hebben).

Wil je in elk geval diagnosticeren waar je huidige browser mee praat (als je de webGUI oproept), dan kan je bijvoorbeeld in chrome chrome://net-internals/ in de url balk tikken. Je hebt daar een aantal tools om in elk geval te zien wat/waarheen die specifieke browser terugkrijgt en uitstuurt.

Buiten dat software nu dus eigen DNS voorkeuren en calls doet los van de OS settings, hebben (embedded)devices vaak een firmware waar dit niet te configureren is. Daarin kunnen dus ook andere DNS (varianten e/o servers) geconfigureerd kunnen zijn dan de DNS welke je modem/DHCP server doorgeeft.

Wat ik heb gezien is dat met name devices welke je een cloud(service) proberen te verkopen een vastgebakken DNS setting hebben waarschijnlijk om 'user error' te omzeilen. Ook camera's willen nog wel eens unencrypted streams eruit gooien (ivm beperkte CPU of gewoon naïeve software).

Het truukje van fritzbox om bepaalde DNS request af te vangen is daarmee dus wat achterhaald maar werkt in sommige gevallen en sommige browsers (e.g. chrome met standaard settings), en mits en indien jij zelf of software niet elders nog een DNS setting hebt ingesteld. Je kan inderdaad ook iets met een eigen DNS server (o.a. Pi-Hole) om datzelfde fritz.box trucje na te bouwen, maar lost het niet volledig op en is wat off topic.
---
DHCP - intern verkeer (ook) naar buiten
Het is ook goed om te weten dat buiten het hele zichtbare symptoom (op welke webGUI je terechtkomt), veel spannender is dat ook dat devices verkeer (bedoeld voor intern), ineens traffic buiten je LAN kunnen gaan sturen (als ze inderdaad een andere DNS methode/server gebruikte-n). De fritz.box deelt namelijk de DHCP suffix .fritz.box uit aan elk device in de LAN wat een potentieel gevaar is en blijft (ook nu nog). Voordat het symptoom heel duidelijk werd, heeft o.a. de OP van deze thread (in 2021) al aan de bel gehangen bij AVM.

De werkelijkheid van deze zorg manifesteerde zich begin dit jaar aangezien de publieke (D)NS servers gingen antwoorden op *.fritz.box. Waar eerder bij een non-resolved er nog een broadcast in het subnet van het LAN werd gedaan (geconstateerd op o.a MacOS, Android, Arch), verliet met het antwoord van de publieke (D)NS nu het interne traffic ook echt het LAN netwerk.

Ondanks dat AVM nu eigenaar is van het domein (en voor intern bedoelde pakketjes dus waarschijnlijk en uiteindelijk bij een door hun beheerde machine uitkomt), gaat het verkeer (nu waarschijnlijk alleen lookup queries), natuurlijk eerst over allerlei andere routers/devices. Het probleem is mogelijk minder kritisch (dan voorheen waarbij verkeer als eindbestemming bij een tot dusver onbekende persoon uitkwam), maar het is daarmee nog steeds niet geheel ongevaarlijk.

De kans op unencrypted traffic is altijd het grootst bij traffic bedoeld voor een LAN, o.a. daarom hebben veel mensen ook vaak een password ingesteld voor de thuis WiFi :+ Als ik slechte intenties had is intern verkeer (*.fritz.box) dus ook het verkeer waar ik het op zou munten. Buiten dat traffic nu toch al een lookup naar buiten doet kan een DNS poison attack op fritz.box nog steeds heel goed want (.box) is een publiek TLD. Dat is helemaal goed mogelijk aangezien AVM ook nog geen DNSSEC heeft ingesteld op (*.)fritz.box.

Er zijn een aantal lapmiddelen (zelf een DHCP server bouwen of op alle devices DHCP suffixen handmatig instellen als dat op een device uberhaupt al kan). Het zal nog steeds inhouden dat je alle settings van alle software op alle devices welke in je LAN wonen, zal moeten na lopen en instellen.
---
Einde bijdrage
De echte oplossing lag bij AVM (zoals gepost in 2021) door het afstappen van (*.)fritz.box of in elk geval laten configureren van de DHCP suffix anders dan een publiek domain (TLD). Zelf vond ik het zonde afscheid te hebben moeten nemen van een product/router/modem welke ik in gebruik fijn en toereikend vond en ook ten volle heb benut.

Er zijn grenzen aan gebreken welke ik kan accepteren van een product ten faveure van gemak en leuke circus kleurtjes. Echt grensoverschrijdend en hoop beëindigd was de laksheid (zie ook vn1) en regelrechte onwaarheden vanuit AVM waarop ik het dan ook niet meer goed zie komen. Terugsturen en omruilen van de modem bij de provider was voor mij de enige oplossing en binnen een dag geregeld en zou ook mijn advies zijn.

Het had mooi geweest met wat ervaren en bekwame tweakers de krachten te bundelen en een front te vormen richting AVM. Helemaal gezien de gemakkelijk aanwijsbare en bewijsbare symptomen voor hen die (niet alleen een mening) maar met name ook een fritz.box hadden 8)7
---
Voetnoot
vn1) De voornaamste reden dat het bezwaar bij de WIPO over de domeinnaam door AVM is gehonoreerd, is dat het niet duidelijk was/is wie de domeinnaam had geregistreerd (was anoniem via register). Er kon dus ook geen contact gemaakt kon worden, ook niet via de cloudprovider van de (virtual)machine waar naar het record stond te wijzen.

Dus enerzijds zou je kunnen zeggen "wat een geluk voor AVM dat ze niet weten van wie het domein was en de traffic ving, nu hebben ze fritz.box", en anderzijds valt niet te verdedigen dat AVM het als groot security risico aanduidt (waaronder intern traffic naar buiten) in het bezwaar bij WIPO. Maar volgens zegt AVM in haar communicatie het tegenovergestelde en heeft ze ook tussentijds haar klanten niet actief gewaarschuwd, terwijl het bezwaar al maanden liep en traffic bij een (nog steeds) onbekende uitkwam.

Dit zegt heel veel en daarom kan ik niemand met goed geweten nu (en waarschijnlijk tot ver in de toekomst), fritz producten aanbevelen.

[ Voor 95% gewijzigd door XeRoExEz op 30-05-2024 09:12 . Reden: Conclusie & einde bijdrage thread ]


Acties:
  • 0 Henk 'm!

  • Black Tiger 63
  • Registratie: December 2006
  • Laatst online: 16-06 15:07
Bij mij werkt het fritz.box gewoon weer als normaal. Ik ervaar hier geen lange wachttijden.

Maar ik gebruik dat normaliter sowieso nooit, altijd het interne ip.

Greetings, Black Tiger

Pagina: 1