Ping ok, aber kein Internet über den Browser

[mickdotcloud]

Hallo,

ich habe gerade einen Debian 9.4.0 installiert. Meine Netzwerkkonfiguration funktioniert soweit, ich kann meine anderen Server im LAN anpingen, diese können den neuen Debian-Server anpingen. Auch kann ich via DNS-Namen Adressen im Internet anpingen (z.B. ping debianforum.de).

Was nicht geht, ist über den Browser (Firefox) auf Internetseiten zuzugreifen sowie der Zugriff auf Paketquellen in der Paketverwaltung. Die Anfragen bei den Paketquellen laufen nach einiger Zeit auf einen Timeout.

In der /etc/network/interfaces habe ich folgendes eingetragen:

Code: Alles auswählen

# The primary network interface
auto ens6
iface ens6 inet static up
address 10.15.52.30
netmask 255.255.255.0
gateway 10.15.52.14

Das Gateway 10.15.52.14 leitet DNS-Anfragen an einen DNS-Resolver weiter, scheint auch zu klappen, sonst würde ja ein Ping debianforum.de nicht klappen.
Das Gateway ist eine pfSense und alle anderen Server (Windows) im gleichen LAN kommen ohne Probleme ins Internet. In den Logs der pfSense wir von LAN-Seite auch nichts geblockt.

Wo kann ich noch suchen, was sind die klassischen Fehler?

Danke für eure Hilfe.

Mick

[uname]

Du musst die Struktur deines Netzes genauer erklären. Leider ist es nicht wirklich erkennbar.

Was stimmt:
a.) 10.15.52.14 ist Internet-Gateway mit zwei Schnittstellen (weltweite und interne IP-Adresse)
b.) 10.15.52.14 ist interner Router zu einen anderen internen Netz wo ein Internet-Gateway angeschlossen ist
c.) 10.15.52.14 ist gar kein echtes Gateway, das Internet-Gateway gehört nicht wie in b.) beschrieben einen anderen Netz an, sondern existiert auch in 10.15.52.0/24

Am besten du malst ein Bild. Verwendest du das identische Gateway 10.15.52.14, Subnetz und Subnetzmaske auf allen Rechnern? Poste ein paar Konfigurationen.
Insgesamt scheint es ein Routing-Problem zu sein. DNS-Anfragen werden nur aufgelöst, da 10.15.52.14 direkt erreichbar ist und 10.15.52.14 selbst DNS auflösen kann.

[eggy]

Das Gateway 10.15.52.14 leitet DNS-Anfragen an einen DNS-Resolver weiter, scheint auch zu klappen, sonst würde ja ein Ping debianforum.de nicht klappen.

Das klingt irgendwie falsch, was steht denn in der /etc/resolv.conf ?
Da trägt man in der Regel den DNS ein. Damit sollteTM das Gateway (ausser da läuft auch DNS-Server oder was das Anfragen weiterleitet) so erstmal nicht unbedingt was zu tun haben.

Wenn ICMP (ping) funktioniert, http aber nicht, liegt es meist daran, dass ne Firewall nen Protokoll (hier z.B. TCP) nicht durchlässt.

Allgemein hätte ich auf fehlende Routen (bzw Rückrouten) getippt, das beisst sich aber etwas mit "ping geht".

[mickdotcloud]

Hallo,

richtig ist a.), das Gateway hat 2 Interfaces, eines im WAN und eines im LAN.

Alle Server im LAN haben die gleiche Netzwerkkonfiguration:

- feste IP v4 10.15.52.x
- Subnetmask 255.255.255.0
- Gateway 10.15.52.14
- Die Windows-Server nutzen den Domaincontroller als DNS-Server: 10.15.52.11

1. Screenshot: ifconfig auf dem Debian-Server, 2. Screenshot /etc/network/interfaces des Debian-Servers, 3. Screenshot: IP-Konfiguration eines Windows-Servers im selben LAN.

http://public.mick.cloud

[mickdotcloud]

Das Gateway 10.15.52.14 leitet DNS-Anfragen an einen DNS-Resolver weiter, scheint auch zu klappen, sonst würde ja ein Ping debianforum.de nicht klappen.

Das klingt irgendwie falsch, was steht denn in der /etc/resolv.conf ?
Da trägt man in der Regel den DNS ein. Damit sollteTM das Gateway (ausser da läuft auch DNS-Server oder was das Anfragen weiterleitet) so erstmal nicht unbedingt was zu tun haben.

Wenn ICMP (ping) funktioniert, http aber nicht, liegt es meist daran, dass ne Firewall nen Protokoll (hier z.B. TCP) nicht durchlässt.

Allgemein hätte ich auf fehlende Routen (bzw Rückrouten) getippt, das beisst sich aber etwas mit "ping geht".

in der /etc/resolv.conf steht folgendes:

Code: Alles auswählen

nameserver 10.15.52.14

-> das ist das Gateway

[eggy]

Bilder von Zeug, das man wunderbar copy&pasten kann, wird hier von vielen als unhöflich eingestuft (nicht jeder hat die grosse Bandbreite, der ein oder andere liest das Forum übers Mobiltelefon). Beim nächsten Mal bitte einfach nach pastebin/ tun.

Ich würde nach den Infos aus den Screenies (Windows nur IPv4?) mal davon ausgehen, dass es am IPv6 liegt. Schau Dir die Routen an.

[mickdotcloud]

Bilder von Zeug, das man wunderbar copy&pasten kann, wird hier von vielen als unhöflich eingestuft (nicht jeder hat die grosse Bandbreite, der ein oder andere liest das Forum übers Mobiltelefon). Beim nächsten Mal bitte einfach nach pastebin/ tun.

Ich würde nach den Infos aus den Screenies (Windows nur IPv4?) mal davon ausgehen, dass es am IPv6 liegt. Schau Dir die Routen an.

copy&paste kann ich in diesem Fall nicht nutzen, da ich das System über einen Konsolen-Zugang steuere, da funktioniert copy&paste nicht.

[mat6937]

copy&paste kann ich in diesem Fall nicht nutzen, ...

Poste mal die Ausgaben von:

Code: Alles auswählen

mtr -4nr -T -i 2 -c 2 -a 10.15.52.30 -P 443 debianforum.de
nc -zv debianforum.de 443
mtr -4nr -i 2 -c 2 debianforum.de

[uname]

Ich würde erst mal IPv6 deaktivieren. Ich denke mal die abweichenden DNS-Einstellungen haben keine Auswirkungen. Auch wirst du wohl keine Proxy-Einstellung verwenden. Vielleicht kannst du noch ein traceroute Richtung 8.8.8.8 von Linux (traceroute) und von Windows (tracert) durchführen. Poste sicherheitshalber noch mal route (Linux) und netstat -r (Windows) bzw. dort relevante Unterschiede.

[mickdotcloud]

mtr ist auf meinem System scheinbar nicht vorhanden.

nc -zv debianforum.de 443 liefert folgende Ausgabe:

Code: Alles auswählen

DNS fwd/rev mismatch: debianforum.de != zoidberg.debianforum.de
debianforum.de [144.76.154.165] 443 (https) : Connection timed out

[uname]

Der Fehler im nc-Befehl liegt am DNS:

Code: Alles auswählen

nc -zv 144.76.154.165 443

wird aber auch zum Timeout führen. Irgendwas ist mit dem Routing oder einer evtl. Firewall.

mtr ist auf meinem System scheinbar nicht vorhanden.

mtr kannst du bei Interesse nachinstallieren.

[mat6937]

nc -zv debianforum.de 443 liefert folgende Ausgabe:

Code: Alles auswählen

DNS fwd/rev mismatch: debianforum.de != zoidberg.debianforum.de
debianforum.de [144.76.154.165] 443 (https) : Connection timed out

Poste die Ausgaben von:

Code: Alles auswählen

nc -zv debianforum.de 80
nc -zv 1.1.1.1 53
host -t A -T debianforum.de 1.1.1.1
host -t A debianforum.de 1.1.1.1
host -t A debianforum.de

EDIT:

BTW: Wenn traceroute installiert ist:

Code: Alles auswählen

which traceroute

, dann poste die Ausgabe von:

Code: Alles auswählen

traceroute -4 -n -q 2 -w 4 -z 1 -F debianforum.de

[mat6937]

Der Fehler im nc-Befehl liegt am DNS:

Eigentlich nicht, denn das sollte nur ein Hinweis auf das reverse DNS sein. Z. B.:

Code: Alles auswählen

:~ $ dig -x $(dig +short debianforum.de) +short
zoidberg.debianforum.de.

[mickdotcloud]

nc -zv debianforum.de 443 liefert folgende Ausgabe:

Code: Alles auswählen

DNS fwd/rev mismatch: debianforum.de != zoidberg.debianforum.de
debianforum.de [144.76.154.165] 443 (https) : Connection timed out

Poste die Ausgaben von:

Code: Alles auswählen

nc -zv debianforum.de 80
nc -zv 1.1.1.1 53
host -t A -T debianforum.de 1.1.1.1
host -t A debianforum.de 1.1.1.1
host -t A debianforum.de

EDIT:

BTW: Wenn traceroute installiert ist:

Code: Alles auswählen

which traceroute

, dann poste die Ausgabe von:

Code: Alles auswählen

traceroute -4 -n -q 2 -w 4 -z 1 -F debianforum.de

so, jetzt kann ich auch copy&paste...

Code: Alles auswählen

michael@web-001:~$ nc -zv debianforum.de 80
DNS fwd/rev mismatch: debianforum.de != zoidberg.debianforum.de
debianforum.de [144.76.154.165] 80 (http) : Connection timed out

Code: Alles auswählen

michael@web-001:~$ nc -zv 1.1.1.1 53
1dot1dot1dot1.cloudflare-dns.com [1.1.1.1] 53 (domain) : Connection timed out

Code: Alles auswählen

michael@web-001:~$ host -t A -T debianforum.de 1.1.1.1
;; connection timed out; no servers could be reached

Code: Alles auswählen

michael@web-001:~$ host -t A debianforum.de 1.1.1.1
;; connection timed out; no servers could be reached

Code: Alles auswählen

michael@web-001:~$ host -t A debianforum.de
debianforum.de has address 144.76.154.165

Code: Alles auswählen

michael@web-001:~$ traceroute -4 -n -q 2 -w 4 -z 1 -F debianforum.de
traceroute to debianforum.de (144.76.154.165), 30 hops max, 60 byte packets
 1  10.15.52.14  0.246 ms  0.290 ms
 2  * *
 3  172.23.6.1  0.882 ms  0.912 ms
 4  10.3.9.2  1.176 ms  0.847 ms
 5  213.239.203.150  6.173 ms 80.81.193.164  1.763 ms
 6  213.239.203.146  6.414 ms 213.239.203.142  8.169 ms

[mat6937]

Code: Alles auswählen

michael@web-001:~$ traceroute -4 -n -q 2 -w 4 -z 1 -F debianforum.de
traceroute to debianforum.de (144.76.154.165), 30 hops max, 60 byte packets
 1  10.15.52.14  0.246 ms  0.290 ms
 2  * *
 3  172.23.6.1  0.882 ms  0.912 ms
 4  10.3.9.2  1.176 ms  0.847 ms
 5  213.239.203.150  6.173 ms 80.81.193.164  1.763 ms
 6  213.239.203.146  6.414 ms 213.239.203.142  8.169 ms

Was für einen Internetanschluss/Provider hast Du? Wo steht dein Server?

[mickdotcloud]

Der Server steht in einem RZ in Frankfurt bei einem Cloud-Provider.

[mat6937]

Der Server steht in einem RZ in Frankfurt bei einem Cloud-Provider.

OK, dann frage mal den Cloud-Provider, warum Du von deinem Server aus, z. B. die TCP-Ports 53, 80, 443 im Internet nicht erreichen kannst.

[mickdotcloud]

Kann ich ja von allen anderen (Windows) -Servern im gleichen LAN. Nur der Linux-Server hat das "Problem". Die müssen alle durch die selbe Firewall. Dort gibt es auch keine Regeln für einzelne Server.

[mat6937]

Nur der Linux-Server hat das "Problem".

Wie ist die Ausgabe von:

Code: Alles auswählen

iptables -nvx -L

?

Du hast den Server doch installiert bzw. konfiguriert? Oder hat der Cloud-Provider sich da auch beteiligt?

[mickdotcloud]

Der Provider liefert nur Infrastruktur. Ich habe den Server installiert.

Code: Alles auswählen

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
    pkts      bytes target     prot opt in     out     source               destination

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
    pkts      bytes target     prot opt in     out     source               destination

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
    pkts      bytes target     prot opt in     out     source               destination

[mat6937]

Der Provider liefert nur Infrastruktur. Ich habe den Server installiert.

Mach mal das traceroute auf einem _nicht Linux_-Server (aus dem RZ) und poste die Ausgabe.

EDIT:

Teste mal auf dem Linux-Server, wie weit (hops) Du mit einem tcp-traceroute kommst:

Code: Alles auswählen

traceroute -4 -n -q 2 -w 4 -z 1 -F -T -p 80 144.76.154.165

Starte vor dem tcp-traceroute:

Code: Alles auswählen

tcpdump -vvveni ens6 port 80

Wie ist nach dem tcp-traceroute, auch die Ausgabe von tcpdump?

[eggy]

Interessant wäre evtl noch ein Versuch ping4/ping6 - wenns am ipv6 liegt, dürfte einer durchkommen und der andere nicht.

[mat6937]

Interessant wäre evtl noch ein Versuch ping4/ping6 -...

Wenn der TE, IPv6 auf seinem Server aktiviert bzw. konfiguriert hat:

Code: Alles auswählen

ip -6 a
ip -6 r
ip -6 n s

Dann könnte er die Ausgaben von:

Code: Alles auswählen

nc -zv -6 debianforum.de 443
traceroute -6 -n -q 2 -w 4 -z 1 -F debianforum.de
ping6 -c 2 debianforum.de
nc -zv -6 2606:4700:4700::1111 53
dig -6 aaaa +tcp +short debianforum.de @2606:4700:4700::1111

posten.