Comcast Business: בעיה בחיבור לאתרים עם SSL

אני במשרד (פרינסטון, ניו ג'רזי) שיש לו בעיה גדולה מאז יום שלישי. Comcast Business מוגדר במצב גשר במודם שלהם (או מה שזה לא משנה שהם באמת עושים) ויש IP סטטי על חומת האש. כאשר ברשת יש קושי גדול להגיע לאתרים, כולל Youtube, Vimeo, Chase ו-Office, ולקבל אימייל דרך O365. זה קורה בכל המכונות במשרד, וכאשר עוזבים את המשרד או קשורים לטלפון הכל בסדר (כך שזה לא נראה שהמכונות).

בודדתי את חומת האש (Balance One עם קושחה עדכנית, לא סינון תוכן מופעל) במחשבה שהיא איכשהו מפשלת דברים, אבל הכנסת TP-Link מטומטמת הראתה את אותה התנהגות, ואז הנחתי את המחשב שלי ישירות על ה-IP הציבורי הסטטי ראיתי את אותו הדבר שוב. אז זו לא רשת ה-LAN.

אחר כך התקשר לקומקאסט (אוי שמחה) ובילה שעה עם טכנאי ברמה 1 שהחליט שלהתקלות זה לא הפתרון והוא רוצה לשלוח טכנאי. אז יש לנו תור ליום שני, אבל אני מאמין בזה מעט מאוד.

כשאני מנסה להיכנס לאתרים אני (והמשתמשים האחרים) מקבל שגיאות כמו:

---

YouTube, באמצעות Opera:

החיבור שלך אינו פרטי

ייתכן שתוקפים מנסים לגנוב את המידע שלך www.youtube.com (לדוגמה, סיסמאות, הודעות או כרטיסי אשראי).

NET:: ERR_CERT_COMMON_NAME_INVALID

נושא: pxy.prd.live.c2szps.spscld.net
מנפיק: R3
יפוג בתאריך: 5 בספטמבר 2023
תאריך נוכחי: 15 ביולי 2023

---

Vimeo, באמצעות Chrome:

החיבור שלך אינו פרטי

ייתכן שתוקפים מנסים לגנוב את המידע שלך vimeo.com (לדוגמה, סיסמאות, הודעות או כרטיסי אשראי). למד עוד
NET:: ERR_CERT_COMMON_NAME_INVALID

---

יוטיוב, עם פיירפוקס:

לא התחבר: בעיית אבטחה פוטנציאלית

Firefox זיהה איום אבטחה פוטנציאלי ולא המשיך ל-youtube.com מכיוון שאתר זה דורש חיבור מאובטח.

מה אתה יכול לעשות בנידון?

ל-youtube.com יש מדיניות אבטחה בשם HTTP Strict Transport Security (HSTS), מה שאומר ש-Firefox יכול להתחבר אליו בצורה מאובטחת בלבד. לא ניתן להוסיף חריג לביקור באתר זה.

ככל הנראה הבעיה היא באתר, ואין שום דבר שתוכל לעשות כדי לפתור אותה.

אם אתה נמצא ברשת ארגונית או משתמש בתוכנת אנטי-וירוס, תוכל לפנות לצוותי התמיכה לקבלת סיוע. אתה יכול גם להודיע ​​למנהל האתר על הבעיה.

---

וגם שירותים מאובטחים כמו זום והודעות לא עובדים. אז ברור שמשהו מתקלקל בתעודות, אבל אין לי מושג מה. הכל היה בסדר ביום שני, ואז ביום שלישי זה היה בלגן.

מישהו רואה משהו כזה? או שיש לך רעיונות איך לדחוף את זה למהנדסי רשת מתאימים ב- Comcast? או מה אני יכול לעשות כדי לגרום לטכנולוגיה המבקרת ביום שני לראות באמת שזה לא ה-LAN, אלא החיבור? יכול להיות שאבקש מהם להביא נקודה חמה של Tmobile או Verizon לשימוש בתקופת הניסיון כדי לפחות לספק אינטרנט עקבי.

1. ודא שאינך משתמש בשרתי DNS של Comcast ב-WAN של הנתב שלך.
2. הם הפעילו באופן אקראי וללא אזהרה את השטויות של "XFinity Advanced Security" שלהם בחיבורים שלנו ואז החליטו לחסום דברים. היכנס לחשבון Comcast וודא שהשטויות כבויות.
3. Comcast חוטפת בקביעות חיבורים בניסיון להראות לך הודעות בדפדפן שלך, כגון אם עברת מגבלת נתונים, יש לך בעיית חיוב, הודעת הפרת DMCA וכו'. נסה לחבר מחשב אישי ישירות לנתב שלהם (השתמש ב-DNS שלהם לבדיקה זו) ותראה אם ​​אתה מופנה לאיזשהו דף אזהרה או דף סטטוס.
4. חוויתי גם שהחשבון שלי "איפוס", נתקלתי בבעיות דומות שאתה רואה, והתברר שהייתי צריך להתחבר ישירות אל המודם, לחץ על דף הנחיתה של ספק שירותי האינטרנט ו"קבל את התנאים והשירותים" בחשבון כדי להפעיל אותו מחדש כדי לאפשר לדברים לעבוד שוב. אני לא זוכר עכשיו באיזה ספקית כבלים זה היה - יכול היה להיות ספקטרום, קומקאסט או קוקס.

התנהגות זו היא הסיבה לכך שהפסקנו כמעט לחלוטין להשתמש בכבלים עסקיים ובפתרונות "פס רחב עסקיים" אחרים, ועוברים ל-DIA בכל מקום שאנחנו יכולים עם כל חידוש או התקנה חדשה. כן, זה עולה הרבה יותר, אבל Comcast, Cox ו-AT&T כולן גרמו לבעיות גדולות באתרים שלנו על ידי התעסקות עם חיבורי "פס רחב עסקיים". קומקאסט היא הגרועה ביותר, ללא ספק, מכיוון שהם אוהבים לשחק משחקים עם ה-MITM השעשועים האלה, או שהם מאפשרים באופן אקראי "XFinity Security Suite" וחסימת תעבורה (וניסו לגבות מאיתנו עמלות חודשיות נוספות עבור "Security שירותים"). לפס רחב סיבים של AT&T אין מצב גשר אמיתי ומאלץ אותך לבצע NAT דרך הנתב שלהם. קוקס לא אוהב את MITM כמו Comcast, אבל הם אוהבים להיסגר באקראי באמצע היום לכמה שעות, ואז הם שלח הודעה לאחר מכן "תודה לך על סבלנותך" מכיוון שהם ביצעו כמה שדרוגי רשת "כדי לשפר את ניסיון".

נראה שאתה משתמש ב-Peplink Balance One. אני מכירה הרבה מהמוצרים שלהם, אבל לא את הדגם הזה. נראה שאין לו יכולות הרחבה או מודמים מובנים, אבל לרוב המכשירים של Pepwave יש היגיון טוב לזיהוי כשל. הייתי מקבל נתב 5G ייעודי (ה-Pepwave MAX, אם אתה רוצה להישאר בתוך משפחת המוצרים הזו, או CradlePoint מקביל) ומגדיר אותו כגיבוי ב-WAN2. הימנע ממכשירי "נקודה חמה". אתה יכול להתקין אנטנה מרוחקת על מודם סלולרי "אמיתי" או להשתמש באנטנה הרבה יותר גדולה (ראינו שיפורים דרמטיים מאוד בתפוקה ובאמינות ב- אתרים עם רמות אות נמוכות), ונתב סלולרי אמיתי נועד לטפל ברשתות עם יותר מקומץ משתמשים ולשמש לתקופות ארוכות יותר של זְמַן. נקודות חמות מיועדות לשימוש אישי/צרכני, ויכולות לעשות דברים מוזרים כמו להפסיק לעבוד אם הסוללה מזדקן (גם אם תמיד מחובר לחשמל), או שהם הולכים לישון, או שהם מחליטים לבצע עדכוני קושחה באופן אקראי, וכו ' אולי באמת יהיה הגיוני יותר, במקרה שלך, לקבל MAX או דומה במקום זאת של Balance One וחבר אותו למתג ליציאות נוספות (מתג מנוהל אם אתה רוצה רשתות VLAN), ולאחר מכן הגדר את החיבור הקווי שלך כראשי ב-WAN1 ואת הסלולר המובנה כגיבוי שלך. ל-Pepwaves יש גם פלטפורמת ניהול ענן (InControl) טובה מאוד ששווה את עלות המנוי השנתית, ואני חושב שהשנה הראשונה שלהם היא בחינם. זה יאפשר לך לנהל בצורה מאובטחת מרחוק את המכשיר שלך, להציג את מצבו בזמן אמת ולקבל התראות על טריגרים שונים (כגון אירוע כשל) כך שתוכל להיות יותר פרו-אקטיבי או לפחות להגיב הרבה יותר מהר למלא. ל-MAX יש 2 חריצי כרטיס SIM, כך שתוכל לעבור ביניהם כדי להחליף ספק, כדי לאזן את דמי השימוש בין 2 חשבונות, אתה יכול להגדיר מכסי שימוש לכל כרטיס SIM כדי למנוע חיובי יתר, והוא יעבור אוטומטית, וכו '

אנחנו מפעילים כמה אתרים מרוחקים קטנים בדרך זו - Pepwave, Meraki switch, מנוהלים דרך הענן. עובד טוב מאוד, היה מאוד אמין, ואנחנו יכולים לטפל בבעיות באופן מיידי מבלי שנצטרך לשלוח אנשים כל עוד יש חשמל, אות סלולרי עובד ותוכנית נתונים פעילה.

עריכה: זה נשמע כאילו אני שילינג עבור Pepwave. אנחנו לא מוכרים Peplinks או שירותים. יש לנו רק כ-500 מהם פרוסים, אנחנו משתמשים בהם כבר כמה שנים, והם היו אמינים וקלים לניהול.

כן, זה היה Security Edge. עכשיו כשהתקשרתי הם כאבו זה היה כבוי, אז הם רצו לבוא להחליף את המודם. אבל אחרי צרור של בדיקות על ידי הטכנאי הם חזרו עם "הופ, אבטחת אדג' היה פועל".

החלק המתסכל הוא כמה מאמץ היינו צריכים לעבור כדי להוכיח שזה לא ה-LAN, ושזה בקצה שלהם. לקח 7 ימים כדי לפתור את זה.

ואין שם שום דבר אחר- זה בניין משרדים באמצע שום מקום (תרתי משמע, הצבאים עולים מיד). גם ל-Verizon וגם ל-Tmobile יש שירות מחורבן שם. יא מונופולים חוקיים! Fits נמצא באזור, אבל מאז שהפסיקו לגלגל אותו אין תקווה לכך.

ה-Balance One כן מאפשר לחבר מתאם USB, אבל אני בטוח שהקליטה תהיה חשודה. וכמו רוב הבניינים, מדובר בשיעור פנויות גבוה, כך שהבניין מנסה לא לבצע שיפורים עד שהם מתקרבים למלא (המשרד הזה ניהל משא ומתן על חוזה שכירות של חצי שכירות כדי להישאר, בעל הבית הוא נוֹאָשׁ).

Drizzt321 אמר:

האם תוכל לפרוץ אותו ולהריץ VPN שאתה מעביר רק תעבורת יציאה 53 עבור חיפושי DNS מקומיים -> מרוחקים? למרות שאולי DOH יכול להיות פשוט יותר...

לחץ להרחבה...

אתה יכול לעשות VPN למופע קטן הפועל על התשתית של ספק ה-IAAS המועדף עליך ולהפעיל את Bind או מה שלא יהיה עליו ופשוט לשלוח את חיפושי ה-DNS שלך למטה ב-VPN לשרת ה-DNS יפה בְּקַלוּת.

זה למעשה תיקון ששקלנו להציע ללקוחות שנתקעו עם Clowncast. קבל כמה דברים זולים של USSF המריצים לינוקס ובקש מהם להריץ את Bind9 כמתפר רקורסיבי מקומי ולהחזיר את המנהרה לקומץ שרתים במרכז הנתונים שלנו כדי לבצע חיפושים משם.