Newsgroup: it.comp.sicurezza.varie
Titolo: Strano comportamento su determinati siti

Salve
Ho notato una cosa molto strana
Premetto che mi collego con ADSL infostrada.
Se provo a collegarmi a determinati siti, tipo Televideo o Facebook,
noto che si aprono molte connessioni su nodi infostrada, di solito
151.93.2.x
151.93.3.x
Di solito sulla porta 80 di internet
La cosa mi infastidiva un po' non riuscendo a capire il perché così ho
bloccato tutto questo traffico dal router. Vedo perché che bloccando
il traffico in uscita su questi IP, mi risulta poi praticamente
impossibile accedere ad alcuni siti, tipo Televideo RAI o Facebook.
Sul log del router vedo, esempio
Fri, 2011-10-28 15:03:03 - TCP Packet - Source:192.168.X.X,52040
Destination:151.93.2.X,80 - [Any(ALL) rule match]
Viene bloccata dalla regola di firewall impostata
 
Qualcuno ha un'idea del perché accade questo?
Controllando con netstat vedevo svariate connessioni stabilite da
diversi IP provenienti da quei nodi indicati.

 che infostrada usi un proxy trasparente?
 
non saprei, come faccio a saperlo?

 fuori e se è diverso dal tuo.
 
L'IP che vedo è quello che mi viene assegnato dinamicamente da
infostrada e che vedo nello status del router o con ipconfig
151.21.X.X
 
La cosa capita da ieri, prima non lo avevo mai notato.
Nel log del router vedo sempre una caterva di tentativi bloccati di
accedere dal mio IP della LAN a questi IP di infostrada, che non sono
né l'IP a me assegnato e nè quello del gateway di infostrada
 
Gli IP che vedo ad esempio sono
151.93.3.14
151.93.3.16
151.93.3.22
151.93.3.23
151.93.3.31
 
Se provo ad accedere a facebook... mi spara un centinaio di
connessioni con porte aperte dal mio IP di LAN, immagino dalle porte
aperte dal webguard di AVIRA... e fa fatica a caricare la pagina se
non ci riesce proprio.
Questo perché da firewall ho bloccato in uscita il traffico su quegli
IP, che sinceramente non capisco che diavolo c'entrino.

 fuori e se è diverso dal tuo.
 
Scusate se ripeto, ma non so se Google Gruppi lo ha fatto passare
 
Dicevo l'IP che viene fuori è quello che mi è stato assegnato
dinamicamente da infostrada alla connessione e che risulta nello stato
del router
151.21.X.X
Non risulta un ip diverso da questo.
 
Quando vado su alcuni siti, dal log del router, e questo capita da un
paio di giorni, mi vedo una lunga serie di tentativi di connessione
dal mio IP di LAN ad alcuni IP infostrada, sulla porta 80 e da
svariate porte aperte dal webguard del mio AVIRA
esempio
151.93.3.9
151.93.3.14
151.93.3.16
151.93.3.22
151.93.3.23 (questo soprattutto quando tento di collegarmi a Facebook)
e diversi altri
sempre nel nodo 151.93.2 o 151.93.3
Dato che li ho bloccati con il firewall se tento di accedere ad alcuni
siti, tipo facebook mi ritrovo con centinaia di tentativi di
connessione da centinaia di porte aperte ... cosa che rende lentissimo
se non impossibile il caricamento delle pagine.
 
Che cosa può essere?

 Gli ip che hai scritto sono quelli veri?
 
Sì, e se non ho capito male è tutta roba interna di Infostrada.
Con il blocco che ho attivato sul firewall su alcuni (pochi) siti non
riesco a navigare, e uno di questi è Facebook.
Se rimuovo il blocco, riesco a navigare, ma vedo che si attiva questa
connessione a loro e non a facebook.
Da ignorante in materia sembrerebbe quasi uno sniffamento
sull'attività che parte dal mio client... è possibile? Ho provato a
collegarmi da un altro PC, ma il problema persiste, quindi non è
dovuto a qualcosa installato sul mio PC, ma a una configurazione a
monte della rete... penso.
 
Che ne pensi?
E' una cosa normale?

 riesco a navigare, e uno di questi è Facebook.
 
Interessante... 151.93.3.23 sembra un proxy 'per facebook',
bisognerebbe capire perché mai infostrada abbia avuto un'idea
del genere o se si tratta di macchine controllate da facebook
stesso.
 
-- 
ValeRyo
XT600 "Katoki Pajama" - 
http://www.slimmit.com/go.asp?7Y9
 
GamerTag: 
http://card.mygamercard.net/IT/nxe/ValeRyo76.png
 
 
 

 stesso.
 
comunque non è sempre quello l'IP, ora ad esempio ricevo questo
 
Sat, 2011-10-29 15:29:04 - Site Allowed: 
www.facebook.com
, from source
192.168.X.X [SITE ALLOW]
Sat, 2011-10-29 15:29:06 - TCP Packet - Source:192.168.X.X,50639
Destination:151.93.2.15,80 - [Any(ALL) rule match]
Sat, 2011-10-29 15:29:06 - TCP Packet - Source:192.168.X.X,50641
Destination:151.93.2.15,80 - [Any(ALL) rule match]
Sat, 2011-10-29 15:29:06 - TCP Packet - Source:192.168.X.X,50643
Destination:151.93.2.15,80 - [Any(ALL) rule match]
Sat, 2011-10-29 15:29:06 - TCP Packet - Source:192.168.X.X,50645
Destination:151.93.2.15,80 - [Any(ALL) rule match]
Sat, 2011-10-29 15:29:06 - TCP Packet - Source:192.168.X.X,50647
Destination:151.93.2.15,80 - [Any(ALL) rule match]
Sat, 2011-10-29 15:29:06 - TCP Packet - Source:192.168.X.X,50649
Destination:151.93.2.15,80 - [Any(ALL) rule match]
etc...
Una sfilza così ogni volta, sembra che tenti di aprire una connessione
con qualsiasi porta aperta
 
Noto che non lo fa con tutti i siti-domini (almeno che non usino IP in
altri range... io ho bloccato praticamente tutto il 151.93 e altro),
alcuni che ho visto sono
 
Ma è un comportamento normale?
Non è che mi fidi molto a navigare in questo modo

 alcuni che ho visto sono
 
Non ha senso bloccare pezzi di rete senza sapere cosa fai.
Prova piuttosto a fare ping 
www.facebook.com
 e vedi cosa ti
esce.


 esce.
 
Lo so che non ha molto senso, ma volevo capire il perché di tutto
questo. Non mi va di avere a volte anche decine di connessioni aperte
(ESTABLISHED) a decine di IP diversi senza sapere che diavolo sta
accadendo.
 
Nessuno di voi ha una ADSL infostrada per potere fare un test?
 
 

 qualcosa sulla 80 e lui ti risponde.
 
Preciso che l'esempio che hai visto ora... il "match" nel log era
riferito al blocco ottenuto con la regola di firewall che ho inserito,
non all'avvenuta connessione, ma al rifiuto.

 accadendo.
 
 
Un ping a 
www.facebook.com
 proprio non puoi farlo?


 Un ping awww.facebook.comproprio non puoi farlo?
Mi sembrava di avertelo già scritto, comunque ripeto qui, l'IP è del
ping è di facebook, la chiamata con nslookup, e quindi con i DNS di
infostrada punta a facebook
 
comunque
Esecuzione di ping 
facebook.com
 [66.220.149.11] con 32 byte di dati:
Risposta da 
66.220.149.11
: byte=32 durata=288ms TTL=244
etc...
 
Esecuzione di ping 
www.facebook.com
 [69.63.189.16] con 32 byte di
dati:
Risposta da 
69.63.189.16
: byte=32 durata=169ms TTL=244
etc...
 
Qualche idea?

 Qualche idea?
 
IMHO Infostrada che fa transparent proxying.
Imposta 151.93.3.23 come proxy e vedrai che riesci a navigare
solo su facebook.


 IP, che sinceramente non capisco che diavolo c'entrino.
 
 
C'entrano eccome, sono IP di Wind per un link di Akamai e se li
blocchi vanifichi lo scopo per cui esistono sistemi distribuiti su
internet!
Per la precisione le reti sono : 
151.93.2.0/24
 e 
151.93.3.0/24
 
La stessa cosa la fanno anche altri ISP, anche MC-link ad es. ha dei
mirror Akamai e di vari altri grossi content provider.
 
ciao
Gabriele

 monte della rete... penso.
 
NOOOOOO  :)
come ho scritto poco fa, è normale e lo fanno anche altri gestori,
sono semplicemente delle subnet con mirror o link dedicati a CDN o
siti molto visitati.
 
Gabriele


Grazie Gabriele... comincio a capirci qualcosa.
Hai qualche link per approfondire questa cosa? Infatti avevo bloccato
proprio quelle reti e su alcuni siti, non molti, risultava difficile
navigare. Avevo notato però che non veniva impedito il caricamento
della pagina, spesso la pagina veniva caricata dal client-browser, ma
poi non riusciva il caricamento completo e la visualizzazione,
probabilmente di alcune librerie esterne (su facebook ad esempio
risultavano bloccati almeno gli stili CSS).
Se mi riesci a dare qualche dritta (link) mi piacerebbe un po'
approfondire.