Kann keine HTTPS-Seiten öffnen

[mmm3]

Hallo Zusammen,

Ich habe das Problem dass ich auf meinem Debian Rechner seit dem Neustart keine HTTPS-Seiten mehr öffnen kann.Es endet immer im Timeout. HTTP geht dagegen ohne Probleme.
Mein Rechner befindet sich im einem Firmennetzwerk und ich benutze einen lokalen CNTLM Proxy um auf das Internet zuzugreifen. Jemand vorschläge wonach ich schauen muss? Giebt es eine spezielle https envionment Variable die gesetzt sein muss?

Danke euch!

[Cae]

Externe Seiten? Firewall: 443/TCP nach draußen, SYN gesetzt und folgende. Das muss freigeschaltet sein. Nachprüfen mit

Code: Alles auswählen

# iptables-save

Willkommen im Forum!

Gruß Cae

[uname]

Welchen Browser nutzt du? Bei Chromium hatte ich mal ein ähnliches Verhalten. Ich wollte eigentlich nur Intranetseiten aufrufen. Da Chromium aber über Internet irgendwelche SSL-Sperrlisten lädt und diese nicht erreichen konnte, konnte ich nicht einmal interne SSL-Webseiten aufgerufen. Solltest du Chromium nutzen so probiere mal einen alternativen Browser.

[mmm3]

Externe Seiten? Firewall: 443/TCP nach draußen, SYN gesetzt und folgende. Das muss freigeschaltet sein. Nachprüfen

Ja, alles externe Seiten. Ich kann keine Webseite öffnen welche über HTTPS läuft.

iptables-save sagt folgendes:
"iptables-save v1.4.2: Unable to open /proc/net/ip_tables_names: No such file or directory"

Und nu?

[mmm3]

Welchen Browser nutzt du? Bei Chromium hatte ich mal ein ähnliches Verhalten. Ich wollte eigentlich nur Intranetseiten aufrufen. Da Chromium aber über Internet irgendwelche SSL-Sperrlisten lädt und diese nicht erreichen konnte, konnte ich nicht einmal interne SSL-Webseiten aufgerufen. Solltest du Chromium nutzen so probiere mal einen alternativen Browser.

Es liegt nicht am Browser. Hauptsächlich möchte ich auf Subversion zugreifen und das läuft über Konsolenbefehle. Als ich das dan nicht funktioniert hat, habe ich mit dem Icewiesel versucht https Seiten aufzurufen und gemerkt das die alle nicht gehen.

[Cae]

iptables-save sagt folgendes:
"iptables-save v1.4.2: Unable to open /proc/net/ip_tables_names: No such file or directory"

Und nu?

Dann bohren wir doch mal weiter:

Code: Alles auswählen

$ uname -a
$ apt-cache policy iptables
$ dpkg -l | grep netfilter
$ mount
$ ls -l /proc/net/

Sieht so aus, als würde netfilter/iptables nicht (korrekt) laufen. Oder vllt ist /proc/ auch gar nicht gemountet?

Gruß Cae

[unitra]

mach doch mal

Code: Alles auswählen

telnet deineHTTPSseite.org 443

und schau mal ob es damit geht, wenn ja liegt es an der Applikation die du benutzt. Wenn nicht, dann geht generell kein HTTPS Zugriff von Dir aus.

[mmm3]

# uname -a
Linux xxx 2.6.26.xxx #2 SMP PREEMPT Mon May 18 09:12:34 CEST 2009 i686 GNU/Linux

apt-cache policy iptables
iptables:
Installed: 1.4.2-6
Candidate: 1.4.2-6
Version table:
*** 1.4.2-6 0
500 http://ftp.de.debian.org lenny/main Packages
100 /var/lib/dpkg/status

# dpkg -l | grep netfilter
- kein Ergebniss -

#mount
/dev/sda2 on / type ext3 (rw,noatime,commit=30)
tmpfs on /lib/init/rw type tmpfs (rw,nosuid,mode=0755)
proc on /proc type proc (rw,noexec,nosuid,nodev)
sysfs on /sys type sysfs (rw,noexec,nosuid,nodev)
procbususb on /proc/bus/usb type usbfs (rw)
udev on /dev type tmpfs (rw,mode=0755)
tmpfs on /dev/shm type tmpfs (rw,nosuid,nodev)
devpts on /dev/pts type devpts (rw,noexec,nosuid,gid=5,mode=620)
fusectl on /sys/fs/fuse/connections type fusectl (rw)
/dev/sda6 on /home type ext3 (rw)
/dev/sda7 on /data type ext2 (rw,noatime)

# ls -l /proc/net
lrwxrwxrwx 1 root root 8 Dec 22 13:31 /proc/net -> self/net


Danke für eure Hilfe!

[Cae]

Code: Alles auswählen

$ dpkg -l | grep netfilter 
- kein Ergebniss -

Da hab ich:

Code: Alles auswählen

$ dpkg -l | grep -i netfilter
ii  libnfnetlink0                        1.0.0-1                        Netfilter netlink library

Unter Wheezy; beim grep-Aufruf hab' ich oben -i (ignoriere Groß/Kleinschreibung) vergessen.

Probier' mal, ob du lokal an Port 443 gehindert wirst:

Code: Alles auswählen

# nc -l 0.0.0.0 443
$ echo 'test' | nc $IP 443 # in einem anderen Terminal

$IP steht für deine IP-Adresse, bestimmbar durch /sbin/ifconfig, dort nicht gerade 127.0.0.1, sondern eine Alternative. Für den ersten Aufruf brauchst du root-Rechte, für den zweiten nicht.

Gruß Cae

[mmm3]

Hi, ich hoffe soeben alles richtig gemacht zu haben. Den ersten Befehl im einen Terminal ausgeführt, kommt nix, vermutlich ok so? Den zweiten Befehl im andern Fenster kommt das hier:
xxx:~$ echo 'test' | nc 53.69.45.33 443
(UNKNOWN) [53.69.45.33] 443 (https) : Connection refused
xxx:~$ echo 'test' | nc 53.69.45.33 443
(UNKNOWN) [53.69.45.33] 443 (https) : Connection refused
bash: echo: write error: Broken pipe



hab mehrfach versucht, geht also nicht?
Was nun?

Danke!!

[unitra]

nur Port 80 offen, kein Port 443
Liegt vermutlich also nicht an Dir
#############

Code: Alles auswählen

Starting Nmap 5.51 ( http://nmap.org ) at 2011-12-22 16:31 CET
Nmap scan report for 53.69.45.33
Host is up (0.00087s latency).
Not shown: 999 filtered ports
PORT   STATE SERVICE
80/tcp open  http

Nmap done: 1 IP address (1 host up) scanned in 6.24 seconds

[mmm3]

nur Port 80 offen, kein Port 443
Liegt vermutlich also nicht an Dir
[/code]

Da sich mein Rechner sich hier im Firmennetzwerk befindet und sich über einen Proxy ins Internet verbindet hast du vermutlich nicht meinen Rechner gescannt. Dennoch glaube ich schon das das Problem an meinem Rechner liegt denn vor dem Rechner reboot tat noch alles. Ich weis nur nicht wo genau das Problem ist und somit auch nicht wie ich es beseitigen kann. Jemand noch Vorschläge? Danke euch!!

[Cae]

$IP steht für deine IP-Adresse, bestimmbar durch /sbin/ifconfig

Da sich mein Rechner sich hier im Firmennetzwerk befindet und sich über einen Proxy ins Internet verbindet hast du vermutlich nicht meinen Rechner gescannt.

Die genannte IP ist doch eine öffentliche Adresse, es ging aber um die interne deiner Maschine! Wie bestimmst du lokal mit ifconfig deine externe IP?! Wenn eure Firma keinen HTTPS-Host hat, ist es nicht weiter verwunderlich, über den HTTPS-Port an der Verbindung zu scheitern. Das sollte alles auf deinem eigenen System ablaufen, bloß nicht am Gateway, der auch von außen erreichbar ist!
Du sollst zum Verbinden nicht die 127.0.0.1 nehmen, sondern die "echte" IP, bspw. 10.5.6.7; die Firewallregeln für's Loopback-Interface unterscheiden sich in der Regel davon.

Gruß Cae

[mmm3]

$IP steht für deine IP-Adresse, bestimmbar durch /sbin/ifconfig

Da sich mein Rechner sich hier im Firmennetzwerk befindet und sich über einen Proxy ins Internet verbindet hast du vermutlich nicht meinen Rechner gescannt.

Die genannte IP ist doch eine öffentliche Adresse, es ging aber um die interne deiner Maschine! Wie bestimmst du lokal mit ifconfig deine externe IP?! Wenn eure Firma keinen HTTPS-Host hat, ist es nicht weiter verwunderlich, über den HTTPS-Port an der Verbindung zu scheitern. Das sollte alles auf deinem eigenen System ablaufen, bloß nicht am Gateway, der auch von außen erreichbar ist!
Du sollst zum Verbinden nicht die 127.0.0.1 nehmen, sondern die "echte" IP, bspw. 10.5.6.7; die Firewallregeln für's Loopback-Interface unterscheiden sich in der Regel davon.

Gruß Cae

Hi Cae, die genannte IP is serwohl die meines Rechners hier im Firmennetz:
Auszug aus ifconfig:

Code: Alles auswählen

eth2      Link encap:Ethernet  HWaddr 00:18:37:02:2c:9b
          inet addr:53.69.45.33  Bcast:53.69.45.255  Mask:255.255.255.0
          inet6 addr: fe80::218:37ff:fe02:2c9b/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:7866 errors:0 dropped:0 overruns:0 frame:0
          TX packets:1973 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:1097882 (1.0 MiB)  TX bytes:180110 (175.8 KiB)
          Interrupt:20 Base address:0xe400

Und unsere Firma hat mit sicherheit einen HTTPS Host. Ich habe hier auser der Linux Kiste noch einen Windows Rechner welcher über den gleichen Proxy ans Internet geht und bei dem gehen alle HTTPS Seiten.

Ich bin bei dem Problem noch nicht weiter, bitte um weitere Unterstützung!
Danke euch!

[Cae]

die genannte IP is serwohl die meines Rechners hier im Firmennetz

Darf ich fragen, warum du einen Proxy verwenden musst, wenn du direkt im Netz hängst? Oooder, habt ihr im Netz einfach öffentliche Addressen verwendet, weil sie schöner aussehen?
Oder Version drei: Das komplette Klasse-A-Netz 53.0.0.0/8 gehört lt. arin.net "c/o Mercedes Benz AG". Demnach hättest zwar nicht eine private Addresse, aber sie ist auch im Internet eindeutig. Dann gibt das Ganze auch Sinn.

Unten steht's nochmal angepasst für deine IP. Ersten Befehl in's root-Terminal, zweiten in ein nomales. Was passieren sollte: Fenster eins spuckt etwas mit "Connection … accepted" und "test" aus und kehrt zum Prompt zurück, Fenster zwei berichtet stolz von "Connection … succeeded" und tut dasselbe. Alternativ gibt's aufschlussreiche Fehlermeldungen.
Los geht's:

Code: Alles auswählen

# nc -v -l 53.69.45.33 443
$ echo 'test' | nc -v 53.69.45.33 443 # in einem anderen Terminal

Im übrigen ist es irrelevant, ob ihr einen Webserver habt, der über HTTP oder HTTPS erreichbar ist, du willst ja auf fremde HTTPS-Server zugreifen.

Gruß Cae

[mmm3]

die genannte IP is serwohl die meines Rechners hier im Firmennetz

Darf ich fragen, warum du einen Proxy verwenden musst, wenn du direkt im Netz hängst? Oooder, habt ihr im Netz einfach öffentliche Addressen verwendet, weil sie schöner aussehen?
Oder Version drei: Das komplette Klasse-A-Netz 53.0.0.0/8 gehört lt. arin.net "c/o Mercedes Benz AG". Demnach hättest zwar nicht eine private Addresse, aber sie ist auch im Internet eindeutig. Dann gibt das Ganze auch Sinn.

Ich denke die Version 3 passt am besten. Wobei ich das mit der "nicht eine private Adresse" nicht verstehe. Unsere Rchner hier müssen sich alle über einen Proxy ins Inet verbinden. Ich hab hier deswegen auch einen ntlm eingerichtet.

Unten steht's nochmal angepasst für deine IP. Ersten Befehl in's root-Terminal, zweiten in ein nomales. Was passieren sollte: Fenster eins spuckt etwas mit "Connection … accepted" und "test" aus und kehrt zum Prompt zurück, Fenster zwei berichtet stolz von "Connection … succeeded" und tut dasselbe. Alternativ gibt's aufschlussreiche Fehlermeldungen.
Los geht's:

Code: Alles auswählen

# nc -v -l 53.69.45.33 443
$ echo 'test' | nc -v 53.69.45.33 443 # in einem anderen Terminal

Im übrigen ist es irrelevant, ob ihr einen Webserver habt, der über HTTP oder HTTPS erreichbar ist, du willst ja auf fremde HTTPS-Server zugreifen.
Gruß Cae

So, hir die Ausgaben, hoffentlich aufschlusreich zum vorrankommen:

Code: Alles auswählen

# nc -v -l 53.69.45.33 443
listening on [any] 52986 ...

Und im anderen Terminal Fenster:

Code: Alles auswählen

echo 'test' | nc -v 53.69.45.33 443
xxx.local [53.69.45.33] 443 (https) : Connection refused

Gruß

[Cae]

Wobei ich das mit der "nicht eine private Adresse" nicht verstehe.

Es gibt drei (vier) Bereiche im IPv4-Adressraum, die als "privat" spezifiziert sind [1] und im öffentlichen Netz nicht vorkommen (dürfen). In der Regel hat man als Firma kein gigantisch großes Klasse-A-Netz, sondern nutzt intern diese Adressen.

So, hir die Ausgaben, hoffentlich aufschlusreich zum vorrankommen:

Code: Alles auswählen

# nc -v -l 53.69.45.33 443
listening on [any] 52986 ...

Und im anderen Terminal Fenster:

Code: Alles auswählen

echo 'test' | nc -v 53.69.45.33 443
xxx.local [53.69.45.33] 443 (https) : Connection refused

Okay, das heißt, du könntest nicht auf einen HTTPS-Server zugreifen, der lokal läuft. Könnte also an der Firewall liegen, insb. der dport-Teil der Outgoing-Regel. Genug verwirrt? Folgendes mal ausprobieren:

Code: Alles auswählen

# iptables-save

Das schreibt die Firewallkonfiguration aus.

Gruß Cae

[1] https://de.wikipedia.org/wiki/Private_I ... ssbereiche

[mmm3]

So, Also wenn ich nach einem neustart "iptables-save" ausführe bekomm ich folgendes:

Code: Alles auswählen

# iptables-save
iptables-save v1.4.2: Unable to open /proc/net/ip_tables_names: No such file or
directory

Ich mach dann folgendes:

Code: Alles auswählen

# iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
target     prot opt source   

Danach giebt es dan auch die "ip_tables_names" und die Ausgabe zu "iptables-save" sieht dann so aus:

Code: Alles auswählen

iptables-save
# Generated by iptables-save v1.4.2 on Mon Jan  2 07:27:22 2012
*filter
:INPUT ACCEPT [20:12794]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [20:12794]
COMMIT
# Completed on Mon Jan  2 07:27:22 2012

Das sagt mir ich habe keine Firewall-Filter aktiv, oder? So, und nun?

Gruß!

[schorsch_76]

Denke dass det netcat Test nicht richtig gelaufen ist. Vsersuch mal

So, hir die Ausgaben, hoffentlich aufschlusreich zum vorrankommen:

Code: Alles auswählen

nc -v -l 443

Dies lässt nc auf jeder IP Adresse inkl. localhost lauschen.

Und im anderen Terminal Fenster:

Code: Alles auswählen

echo 'test' | nc -v localhost 443

Das schickt an localhost:443 "test".

zu einem weiteren Test würde ich dann "localhost" durch deine IP ersetzen.

Sollte das erfolgreich sein, könnte bei HTTPS auch noch das kontaktieren der Zertifikatsserver ein Problem sein. Siehe [1] Wie funktioniert HTTPS?

Gruß
schorsch

[1] http://www.softed.de/fachthema/https.aspx

[mmm3]

Hallo schorsch_76,
Ich habs versucht und hier das Ergebniss:
Konsole 1:

Code: Alles auswählen

# nc -v -l 443
443: inverse host lookup failed: Unknown host
listening on [any] 46230 ...

Konsole 2:

Code: Alles auswählen

# echo 'test' | nc -v localhost 443
localhost [127.0.0.1] 443 (https) : Connection refused

.. Ich will euch ja nicht noch mehr verwirren, aber ich hab das ganze auch mal mit Port 80 versucht, der müsste ja gehen oder?
Aber Pistekuchen:
Konosole 1:

Code: Alles auswählen

# nc -v -l 80
80: inverse host lookup failed: Unknown host
listening on [any] 57068 ...

Konsole 2:

Code: Alles auswählen

# echo 'test' | nc -v localhost 80
localhost [127.0.0.1] 80 (www) : Connection refused

[schorsch_76]

Oh sorry .... (RTFM to myself )

Code: Alles auswählen

nc -v -l -p 443

Gruß
schorsch

[mmm3]

Oh sorry .... (RTFM to myself )

Code: Alles auswählen

nc -v -l -p 443

Gruß
schorsch

Aha, gut, Prima. Danke das hat geklappt:
Konsole 1:

Code: Alles auswählen

# netcat -l -p 443
test

Konsole 2:

Code: Alles auswählen

# echo 'test' | nc -v 53.69.45.33 443
xxx.local [53.69.45.33] 443 (https) open

Deinen Link hab ich mir angeschaut. nun weis ich zwar wie https funzt, aber nicht wieso nicht bei mir. Ich hab noch immer den Verdacht das es vielleicht daran liegt das mein ntlm Proxy falsch kofiguriert sein könnte.

Bitte um weitere Hilfe! Danke!

[schorsch_76]

Naja, die nächsten Schritte wären:
a) Ping auf den Zielserver: Geht das?
b) wenn der Ping funktioniert. Telnet auf den Zielserver und Port 80/443. Geht das?

Code: Alles auswählen

telnet zielserver 443

Hier sollte dann was von ESC Prompt stehen und eine Verbindung aufgebaut werden. Kann dann einfach per Ctrl+C beendet werden.

Gruß
schorsch

[mmm3]

Naja, die nächsten Schritte wären:
a) Ping auf den Zielserver: Geht das?
b) wenn der Ping funktioniert. Telnet auf den Zielserver und Port 80/443. Geht das?

Code: Alles auswählen

telnet zielserver 443

Hier sollte dann was von ESC Prompt stehen und eine Verbindung aufgebaut werden. Kann dann einfach per Ctrl+C beendet werden.

Gruß
schorsch

Also zu a) In userem Firmennetzwerk werden leider alle Pings geblockt, es ist auch kein ping zu nornalen http Seiten oder anderen Rechnern im Netzwerk möglich.

zu b) ist es daselbe in grün wie zu a) denke ich. Ein telnet zu http://www.google.de 80 geht auch nicht.

Gruß!

[schorsch_76]

Ok, da du in einem Firmennetz sitzt, ist das Internet sicher über einen Proxy mit Authentifizierung möglich. Hier gehen die Standard Netzwerktools nicht drüber, da hier ja ein Handshake mit dem Proxyserver gemacht werden muss.

Du sagtest, dass du subversion nutzen willst via https. Bei mir in meinem Firmennetz sieht der Configeintrag in der svn server config so aus:

Code: Alles auswählen

[groups]
# group1 = *.collab.net
# othergroup = repository.blarggitywhoomph.com
# thirdgroup = *.example.com
group1 = *.boost.org

[group1]
http-proxy-host = MyProxyIp
http-proxy-port = MyProxyPort
http-proxy-username = MyUser
http-proxy-password = MyPasswd
http-timeout = 60
# neon-debug-mask = 130

Gruß
schorsch