TLDR: @
Bertjus Er is inderdaad momenteel geen (gemakkelijke en waterdichte oplossing), met behoud van de Fritz box, dat is ook niet volledig veranderd met het overnemen van fritz.box door AVM. Voor het omzeilen van één van de problemen (het aanroepen van de fritz.box webinterface), is het aanroepen via het IP voor nu het meest betrouwbaar.
Dit o.a. omdat browsers soms eigen DNS servers/varianten gebruiken los van je OS instellingen. Het technisch (correcte) antwoord is dus zoals gewoonlijk 'het ligt eraan'.
--
Hieronder heb ik het bos met bomen zo goed mogelijk op een rij gezet met daarbij de implicaties/impact. Dat is nog steeds een flinke lap met tekst en met de nodige mitsen/maren en daarom een complex verhaal.
--
DNS - lapmiddel
Het 'diagnostiseren' met wat commandline tools, zegt iets over de huidige (DNS) configuratie van je OS en niet van bijvoorbeeld je browser. Zo gebruikt bijvoorbeeld Firefox al lange tijd default andere DNS vormen en server (DoH, TRR & 1.1.1.1) dan wat je op OS niveau hebt ingesteld. Ook zegt het beperkt iets over dat specifieke device (een ander device kan een andere/eigen DNS configuratie hebben).
Wil je in elk geval diagnosticeren waar je huidige browser mee praat (als je de webGUI oproept), dan kan je bijvoorbeeld in chrome chrome://net-internals/ in de url balk tikken. Je hebt daar een aantal tools om in elk geval te zien wat/waarheen die specifieke browser terugkrijgt en uitstuurt.
Buiten dat software nu dus eigen DNS voorkeuren en calls doet los van de OS settings, hebben (embedded)devices vaak een firmware waar dit niet te configureren is. Daarin kunnen dus ook andere DNS (varianten e/o servers) geconfigureerd kunnen zijn dan de DNS welke je modem/DHCP server doorgeeft.
Wat ik heb gezien is dat met name devices welke je een cloud(service) proberen te verkopen een vastgebakken DNS setting hebben waarschijnlijk om 'user error' te omzeilen. Ook camera's willen nog wel eens unencrypted streams eruit gooien (ivm beperkte CPU of gewoon naïeve software).
Het truukje van fritzbox om bepaalde DNS request af te vangen is daarmee dus wat achterhaald maar werkt in sommige gevallen en sommige browsers (e.g. chrome met standaard settings), en mits en indien jij zelf of software niet elders nog een DNS setting hebt ingesteld. Je kan inderdaad ook iets met een eigen DNS server (o.a. Pi-Hole) om datzelfde fritz.box trucje na te bouwen, maar lost het niet volledig op en is wat off topic.
---
DHCP - intern verkeer (ook) naar buiten
Het is ook goed om te weten dat buiten het hele zichtbare symptoom (op welke webGUI je terechtkomt), veel spannender is dat ook dat devices verkeer (bedoeld voor intern), ineens traffic buiten je LAN kunnen gaan sturen (als ze inderdaad een andere DNS methode/server gebruikte-n). De fritz.box deelt namelijk de DHCP suffix .fritz.box uit aan elk device in de LAN wat een potentieel gevaar is en blijft (ook nu nog). Voordat het symptoom heel duidelijk werd, heeft o.a. de OP van deze thread (in 2021) al aan de bel gehangen bij AVM.
De werkelijkheid van deze zorg manifesteerde zich begin dit jaar aangezien de publieke (D)NS servers gingen antwoorden op *.fritz.box. Waar eerder bij een non-resolved er nog een broadcast in het subnet van het LAN werd gedaan (geconstateerd op o.a MacOS, Android, Arch), verliet met het antwoord van de publieke (D)NS nu het interne traffic ook echt het LAN netwerk.
Ondanks dat AVM nu eigenaar is van het domein (en voor intern bedoelde pakketjes dus waarschijnlijk en uiteindelijk bij een door hun beheerde machine uitkomt), gaat het verkeer (nu waarschijnlijk alleen lookup queries), natuurlijk eerst over allerlei andere routers/devices. Het probleem is mogelijk minder kritisch (dan voorheen waarbij verkeer als eindbestemming bij een tot dusver onbekende persoon uitkwam), maar het is daarmee nog steeds niet geheel ongevaarlijk.
De kans op unencrypted traffic is altijd het grootst bij traffic bedoeld voor een LAN, o.a. daarom hebben veel mensen ook vaak een password ingesteld voor de thuis WiFi

Als ik slechte intenties had is intern verkeer (*.fritz.box) dus ook het verkeer waar ik het op zou munten. Buiten dat traffic nu toch al een lookup naar buiten doet kan een DNS poison attack op fritz.box nog steeds heel goed want (.box) is een publiek TLD. Dat is helemaal goed mogelijk aangezien AVM ook nog geen DNSSEC heeft ingesteld op (*.)fritz.box.
Er zijn een aantal lapmiddelen (zelf een DHCP server bouwen of op alle devices DHCP suffixen handmatig instellen als dat op een device uberhaupt al kan). Het zal nog steeds inhouden dat je alle settings van alle software op alle devices welke in je LAN wonen, zal moeten na lopen en instellen.
---
Einde bijdrage
De echte oplossing lag bij AVM (zoals gepost in 2021) door het afstappen van (*.)fritz.box of in elk geval laten configureren van de DHCP suffix anders dan een publiek domain (TLD). Zelf vond ik het zonde afscheid te hebben moeten nemen van een product/router/modem welke ik in gebruik fijn en toereikend vond en ook ten volle heb benut.
Er zijn grenzen aan gebreken welke ik kan accepteren van een product ten faveure van gemak en leuke circus kleurtjes. Echt grensoverschrijdend en hoop beëindigd was de laksheid (zie ook vn1) en regelrechte onwaarheden vanuit AVM waarop ik het dan ook niet meer goed zie komen. Terugsturen en omruilen van de modem bij de provider was voor mij de enige oplossing en binnen een dag geregeld en zou ook mijn advies zijn.
Het had mooi geweest met wat ervaren en bekwame tweakers de krachten te bundelen en een front te vormen richting AVM. Helemaal gezien de gemakkelijk aanwijsbare en bewijsbare symptomen voor hen die (niet alleen een mening) maar met name ook een fritz.box hadden
---
Voetnoot
vn1) De voornaamste reden dat het bezwaar bij de WIPO over de domeinnaam door AVM is gehonoreerd, is dat het niet duidelijk was/is wie de domeinnaam had geregistreerd (was anoniem via register). Er kon dus ook geen contact gemaakt kon worden, ook niet via de cloudprovider van de (virtual)machine waar naar het record stond te wijzen.
Dus enerzijds zou je kunnen zeggen "wat een geluk voor AVM dat ze niet weten van wie het domein was en de traffic ving, nu hebben ze fritz.box", en anderzijds valt niet te verdedigen dat AVM het als groot security risico aanduidt (waaronder intern traffic naar buiten) in het bezwaar bij WIPO. Maar volgens zegt AVM in haar communicatie het tegenovergestelde en heeft ze ook tussentijds haar klanten niet actief gewaarschuwd, terwijl het bezwaar al maanden liep en traffic bij een (nog steeds) onbekende uitkwam.
Dit zegt heel veel en daarom kan ik niemand met goed geweten nu (en waarschijnlijk tot ver in de toekomst), fritz producten aanbevelen.
[
Voor 95% gewijzigd door
XeRoExEz op 30-05-2024 09:12
. Reden: Conclusie & einde bijdrage thread ]