Bestimmte Internetseiten können nicht aufgerufen werden

[Josh16 10]

Hi all,

 

seit heute früh kämpfe ich mit folgendem Problem:

Ein Mitarbeiter wollte über http://www.telefonbuch.de eine Telefonnumer herausfinden. Er ruft die seite über den Browser auf, bekommt aber nen timout. Jetzt hab ich festgestellt, dass es nicht nur bei einer Seite zu Problemen kommt.

 

ping [url]www.telefonbuch.de[/url]
Ping [url]www.telefonbuch.de[/url] [82.212.218.17] mit 32 Bytes Daten:
Zeitüberschreitung der Anforderung.

 

-> Die Namensauflösung funktioniert

 

tracert [url]www.telefonbuch.de[/url]

Routenverfolgung zu [url]www.telefonbuch.de[/url] [82.212.218.17]  über maximal 30 Abschnitte:

 1     *        *        *     Zeitüberschreitung der Anforderung.
 2   <10 ms   <10 ms   <10 ms  172.0.0.2
 3   <10 ms    20 ms   <10 ms  217.5.98.7
 4   <10 ms    10 ms    10 ms  217.237.152.46
 5    10 ms    10 ms    20 ms  62.154.68.86
 6    10 ms    10 ms   100 ms  62.159.61.6
 7   120 ms   120 ms   130 ms  access8.eib.iwelt-ag.net [82.212.223.38]
 8     *        *        *     Zeitüberschreitung der Anforderung.
 9     *        *        *     Zeitüberschreitung der Anforderung.
...

 

bei http://www.ebay.de sieht der trace so aus

tracert [url]www.ebay.de[/url]

Routenverfolgung zu pages.ebay.de [66.135.208.85]  über maximal 30 Abschnitte:

 1     *        *        *     Zeitüberschreitung der Anforderung.
 2   <10 ms   <10 ms   <10 ms  172.0.0.2
 3   <10 ms    20 ms    10 ms  217.5.98.7
 4   <10 ms    10 ms   <10 ms  217.237.152.46
 5   180 ms   180 ms   180 ms  paix-gw12.SFO.US.net.DTAG.DE [62.154.5.245]
 6     *        *        *     Zeitüberschreitung der Anforderung.
 7     *        *        *     Zeitüberschreitung der Anforderung.
...

 

Irgendwie werde ich daraus nicht schlau. Ich hoffe von euch kann mir dabei jemand helfen.

 

Danke schonmal

 

 

PS: Bei der Verbindung handelt es sich um SDSL von t-online-com

[zuschauer 10]

Hi !

Beides sind Seiten, bei denen die Betreiber das ICMP-Protokoll gesperrt haben. D.h. unter anderem, Host und Client können nicht aushandeln, wieviele Byte pro Paket maximal möglich sind.

 

Sehr wahrscheinlich ist der MTU-Wert (das ist der Wert für die maximale Anzahl Bytes/Paket) zu groß.

 

Normal für Ethernet liegt der Wert bei 1500, bei DSL bei 1492, bei verschiedenen Providern und eingesetzten NAT-Routern noch geringer.

 

Such mal im Board nach Dr.TCP, damit kannst Du an dem Client den MTU-Wert verringern.

[Josh16 10]

Schonmal danke für deine Hilfe.

Bei unserem Router handelt es sich um einen Debian Server. Die MTU auf dem Device ppp0 ist auf 1412 eingestellt.

 

Was mich am tracert zu den nicht verfügbaren Seiten so stört ist, dass er nie bei den entsprechenden WWW-Servern ankommt.

 

M:\>tracert [url]www.google.de[/url]

Routenverfolgung zu [url]www.google.akadns.net[/url] [66.102.11.99]  über maximal 30 Abschnitte:

 1     *        *        *     Zeitüberschreitung der Anforderung.
 2   <10 ms   <10 ms   <10 ms  172.0.0.2
 3    10 ms    10 ms    20 ms  217.5.98.7
 4   <10 ms    10 ms   <10 ms  217.237.152.46
 5   <10 ms    10 ms    10 ms  62.154.27.238
 6   <10 ms    10 ms    10 ms  ge-0-1-0-0-zcr1.muc.cw.net [194.59.190.1]
 7   <10 ms    10 ms    10 ms  ge-2-0-0-100-zcr2.muc.cw.net [62.208.245.2]
 8    10 ms    10 ms    10 ms  so-0-2-0-bcr2.fra.cw.net [166.63.195.205]
 9    30 ms    30 ms    30 ms  zcr1.lnt.cw.net [166.63.210.18]
10    60 ms    60 ms    40 ms  so-7-0-0-zcr2.lnt.cw.net [166.63.222.42]
11    30 ms    30 ms    40 ms  aer1-ge-3-5.lnt.cw.net [166.63.222.90]
12    30 ms    30 ms    30 ms  google1.lnt.cw.net [208.175.240.22]
13    40 ms    40 ms    60 ms  216.239.49.254
14    60 ms    60 ms    60 ms  216.239.48.50
15    40 ms    40 ms    70 ms  216.239.49.62
16    50 ms    51 ms    40 ms  66.102.11.99

Ablaufverfolgung beendet.

Beim tracert http://www.google.de'>http://www.google.de ist der letzte Hop die IP-Adresse von http://www.google.de und anschliesend kommt die Meldung: "Ablaufverfolgung beendet."

 

Bei den Seiten die sich nicht öffnen lassen kommt es garnicht so weit (wie im 1. Beitrag zu sehen)

[thorgood 10]

Hallo Josh16,

 

wie der zuschauer schon sagt ist dein Ergebnis am Ende des Trace normal (auch bei mir).

Wo ich die Suche beginnen würde ist im internen Netz da du

am Anfang des Trace eine Zeitüberschreitung hast.

 

Wie hast du die MTU 1412 ermittelt ?

 

thorgood

[Josh16 10]

Danke auch dir für deine Hilfe.

 

Die erste Zeitüberschreitung im trace entsteht an unserer Firewall, da sie auf die Pakete nicht antwortet.

Die MTU hab ich mittels "ifconfig ppp0" ermittelt. Ich hab jetzt auch schon eine MTU von 1480 ausprobiert aber trotzdem tut sich nichts.

[Josh16 10]

Also, jetzt habe ich auf unserem Router lynx (Text Browser) gestartet und von dort aus die Seiten angesurft, die auf den Internen Rechnern nicht funktionieren.

Oh wunder von dort aus geht alles einwandfrei.

Es handelt sich also um ein problem zwischen Client, Firewall und Router aber ich komme immer noch nicht dahinter wo das Problem liegt, denn einige Seiten funktionieren und andere nicht.

 

 

Achja, bei der Seite http://www.dasoertliche.de bekomm ich auf einen ping zwar nen Reply, aber die Seite wird im Browser trotzdem nicht aufgerufen.

[zuschauer 10]

Hi !

Wenn Dein Router mit einer MTU von 1412 arbeitet, bringt eine MTU-Einstellung von 1480 am Client nicht viel, es sei denn der Router kann die Pakete selber "zerlegen" (MSS-Clamping).

Wenn er das kann, ist Dein Problem mit Sicherheit kein MTU-Problem.

 

Mach doch einfach mal einen

 

ping -f -l 1465 http://www.dasoertliche.de'>http://www.dasoertliche.de

 

und geh in 10ner Schritten bei dem Wert 1465 abwärts, bis eine Antwort kommt und keine Fehlermeldung.

 

Dein Probem mit dasoertliche.de ist allerdings wirklich kein MTU-Problem.

 

Bekommst Du denn http://www.dasoertliche.de mit nslookup aufgelöst ?

[Josh16 10]

Original geschrieben von zuschauer

Wenn Dein Router mit einer MTU von 1412 arbeitet, bringt eine MTU-Einstellung von 1480 am Client nicht viel

[/Quote]

Die MTU hab ich nur am ppp0 interface des Routers umgestellt.

 

Original geschrieben von zuschauer

Bekommst Du denn http://www.dasoertliche.de'>http://www.dasoertliche.de'>http://www.dasoertliche.de mit nslookup aufgelöst ?

Die Namensauflösung klappt an jedem x-beliebigen Rechner (egal ob M$ oder Linux, Router oder Server oder Client).

 

Ich konnte ja mittlerweile schon eingrenzen das es sich um ein Problem bei der Kommunikation zwischen Router und Firewall handelt.

ein "wget http://www.dasoertliche.de" lädt auf dem Router die index.html, auf der Firewall nicht.

Auf der Firewall bekomme ich zwar die Meldung "Connecting to http://www.dasoertliche.de[82.212.218.31]:80... connected.",

aber dann bleibt er nach "HTTP request sent, awaiting response..." hängen.

[zuschauer 10]

Hast Du denn inzwischen das Problem ebay.de und telefonbuch.de lösen können ?

 

Bei dem Problem mit dasoertliche.de kann man aus der Ferne wohl nicht viel helfen. Es gab schon mal einen ähnlichen Thread, da kam auch einer nicht auf eine öffentliche Seite, weil in der Seite von Port 80 auf Port 8080 gesprungen wurde, und die FW dies nicht akzeptierte.

[Josh16 10]

Vielen Dank für eure Hilfe.

 

Ich hab das Problem eben gelöst. Es lag an einer kleinen Einstellung in der DNAT-Konfiguration der Shorewall auf dem Router.