Казахстанцы, нужна ваша помощь (протестировать сеть)

[Хакер]

Не так уж много на форуме людей с Казахстана, но я знаю, что есть.

Необходимые условия:
1) Вашим провайдером должен быть Казахтелеком.
2) Тип подключения — Megaline (крайне желательно) или в худшем случае ID Net.


Что требуется проверить?
Складывается впечатление, что провайдер тотально заблокировал доступ по TCP-портам 22 и 23. Порт 22 нужен для работы такой важной вещи, как протокол SSH. Соответственно вам нужно, удаётся ли вам подключить к этому TCP-порту.

Как это сделать?
В идеале вам нужен какой-то SSH-клиент, например Putty (ссылка на загрузку). Запускаете клиент и в поле «Hostname» вписываете любой публично доступный SSH-сервер, а поле «Port» не трогаете (пусть там остаётся значение 22).
Если вам не известен ни один SSH-сервер, можете поставить туда vbstreets.ru.

Далее после нажатия кнопки «OK» (или «Connect») вы увидите большое длинное сообщение, и если нажмёте в нём «Да», то так или иначе вы должны увидеть приглашение ввести username/login, а затем и пароль. Вводить ничего не нужно — тест пройден.

Альтернативный вариант событий — это если после нажатия кнопки OK/Connect вы увидите сообщение вроде «Connection timed out» или что-то в таком духе.

Кроме того, использовать можно не SSH-клиент, а любой клиент, способный подключаться по произвольным TCP-портам. Например в Windows штатно присутствует командно-строчная утилита telnet.

Запускаете (через Пуск→Выполнить) команду telnet vbstreets.ru 22.

Должно появится консольное окно со следующим текстом:

Код: Выделить всё

SSH-2.0-OpenSSH_6.1_hpn13v11 FreeBSD-20120901

(если вы использовали какой-то другой SSH-сервер, то текст может быть немного другим).

Альтернативный вариант развития событий — в консольном окне Telnet будет долго написна «Подключение к vbstreets.ru...», а telnet закроется и окно исчезнет. Либо, если telnet запускался не из Пуск→Выполнить, а из сmd.exe, то через некоторое время будет выдано такое сообщение:

Подключение к vbstreets.ru...Не удалось открыть подключение к этому узлу, на порт 22: Сбой подключения

Вместо telnet можно использовать Hyper Terminal или что-то подобное.

[Jack Ferre]

Tele2 Kazakhstan - ok (хотя с одного "прекрасного" дня стал блочить анологично мегалайну)
Megaline - не подключается


UPD:

Складывается впечатление, что провайдер тотально заблокировал доступ по TCP-портам

Какой смысл?

[Хакер]

Megaline - не подключается

А трассировку до vbstreets.ru выложи, плиз.

[Jack Ferre]

Megaline

Код: Выделить всё

  1     3 ms     5 ms     2 ms  192.168.1.1
  2     *        *        *     Превышен интервал ожидания для запроса.
  3     *       33 ms    33 ms  95.57.217.24
  4    90 ms    79 ms    89 ms  95.59.172.80
  5    93 ms    96 ms   112 ms  95.59.172.41
  6    59 ms    52 ms    59 ms  95.59.172.33
  7    79 ms    79 ms    83 ms  mosc-mx-1.online.kz [92.47.145.110]
  8    84 ms    86 ms    92 ms  m9.webdc.ru [193.232.245.87]
  9   117 ms    80 ms    87 ms  core.webdc.ru [92.63.108.98]
10    86 ms    87 ms    87 ms  fire-lines.ru [92.63.107.100]

Tele2

Код: Выделить всё

  1     1 ms    <1 мс    <1 мс  192.168.1.1
  2     *        *        *     Превышен интервал ожидания для запроса.
  3     *      984 ms    57 ms  m212-96-67-33.cust.tele2.kz [212.96.67.33]
  4    65 ms    56 ms    48 ms  m212-96-67-61.cust.tele2.kz [212.96.67.61]
  5    46 ms    47 ms    47 ms  92.46.126.153
  6   179 ms   147 ms   117 ms  asta-core-l2-1-2.online.kz [95.59.170.54]
  7   184 ms   187 ms   157 ms  akto-core-l1-1-2.online.kz [92.47.145.54]
  8    75 ms    77 ms    67 ms  akto-gate-1.online.kz [92.47.151.57]
  9   116 ms   107 ms   107 ms  mosc-mx-1.online.kz [92.47.145.110]
10   124 ms    97 ms    97 ms  m9.webdc.ru [193.232.245.87]
11   105 ms   108 ms   106 ms  core.webdc.ru [92.63.108.98]
12   124 ms   117 ms   147 ms  fire-lines.ru [92.63.107.100]

[Хакер]

Похоже, что найти какой-то общий для разных городов узел в маршруте, который фильтрует трафик, не удастся.

Я если передаю пакеты с одной машины на другую (обе в одном городе, обе получают интернет через Мегалайн, но они имеют разные IP-адреса), то между ними обмен TCP-пакетами с портами 22 и 23 не происходит.

Хотя между ними, если смотреть маршрут, только один хоп: 95.58.70.8.megaline.telecom.kz [95.58.70.8]

[Хакер]

Какой смысл?

Смысл я могу найти только один: через SSH очень легко (по сути — в пару кликов) делается проброс порта, который позволяет обойти все их телекомовские цензурные блокировки.

Утром были заблокированы не толко 23 и 24 порты, но и порты 24 и 25 (25 используется для SMTP). Пока я выяснил точный диапзаон заблокированных TCP-портов, порты 24 и 25 перестали блокироваться. А 22 и 23 так и блокируются.

[y2k]

У меня такая же проблема с мегалайном из "почти Алма-Аты" (поселок рядом с городом).

[Joo]

Хм... Аналогичная проблема (Костанай), а я даже и не заметил, последние два дня работал только с SSH на нестандартном порту

[Хакер]

Хм... Аналогичная проблема (Костанай), а я даже и не заметил, последние два дня работал только с SSH на нестандартном порту

Корпоративный или домашний?

Тут на другому форуме алматинец пишет, что через Мегалайн блокировки не наблюдает, но у него корпоративный.

[Joo]

Сейчас проверял на корпоративном, на домашнем только вечером проверю. Хотя, сейчас позвоню домой чтобы включили компьютер

[Joo]

Проверил, на домашнем аналогичная ситуация, очень странно, зачем может понадобиться блокировать эти порты, может сломалось у них чего, или перемудрили что-то...

[Хакер]

зачем может понадобиться блокировать эти порты, может сломалось у них чего, или перемудрили что-то...

Я вижу две причины:

• Хотели закрыть доступ по SSH и telnet к какой-нибудь своей внутренней железке. Из-за криворукости вписали не то и/или не туда и зарезали вообще весь транзитный трафик.
• Целенаправленно давят SSH потому что через него можно обходить цензурные запреты. А почему 23 порт блокирует? Возможно, по неграмотности, путая SSH с FTP (в котором используется пара портов, а не один порт).

[Joo]

Мне кажется первый вариант более реальный, т.к. цензурные запреты можно обходить и по другим портам, кто мешает SSH повешать на другой порт, у меня допустим, на одном из серверов SSH крутится на 3389 порту, с которым я последние пару дней и работал, потому и не заметил блокировки.

[Хакер]

Никто не мешает повешать (что я уже и сделал там, где это допустимо), но люди, которые могли учинять этот беспредел, могли бы недостаточно умны для осознания этого факта.

Не хочешь попробовать поговорить с поддержкой? Может у тебя получится от местных добиться какого-то телефона центрального технического отдела?

Заранее напишу, по какому маршруту у них идёт отфутболивание:

8-800-080-64-56 — Центральная общеказахстанская служба поддержки по Мегалайну — будут рассказывать про то, какие лампочки должны гореть на модеме и просить проверить, вставлен ли шнур в гнездо и в подобном духе. Когда убедишь их в том, что проблема на другом уровне и что ты не верблюд, отправят по телефону 160.

160 — в каждом городе заруливаются в свой собственный колл-центр. Практически сразу отправляют по телефону 165.

165 — так называемое «бюро ремонта». Звонки тоже заруливаются в каждом городе в свой колл-центр. По крайней мере в моём городе эти товарищи имеют обыкнование бросать трубку прямо посреди разговора (пока ты им объясняешь суть проблемы) либо тупо молчать, когда попадают в сложную ситуацию (если им задать вопрос, ответ на который они не знают). После упорных объяснений об техническом характере проблем и просьб соединить с кем-то, кто имеет отношение к сетевой инфраструктуре, могут через внутреннюю АТС соединить с техническим отделом.

Человек из технического отдела — в моём случае объяснил мне, что на уровне города никто ничего не блокирует. На что я ему напомнил про новоявленный механизм «родительского контроля» (рекламу которого сейчас слышно из всех щелей) и блокировку радикальных ресурсов, и сказал, что блокирование портов 22 и 23 может быть следствием неправильной работы всех этих механизмов. От него получил ответ, что это всё делается централизовано (в Алмате или Астане), что доступа к этому механизму у него нет и помочь он ничем не может.

8-727-165-00-00 — на этот телефон направляет централизованная служба поддержки (8-800-080-64-56) при просьбе дать хоть какой-то контакт людей, на которых ссылался местный технический специалист. По этому телефону отвечает служба из Алматы и как только они узнают, что звонок из другого города, они говорят, что звонок не по адресу и что они обслуживают только алматинцевив. Подсказать контакт центрального техническогл департамента не могут, отсылают по номеру 118.

118 — справочная служба. Мне назвали все телефону, которые я уже знал. Когда я им сказал, отправили по телефону 169.

169 — платная справочная служба. В упор ничего не знают кроме номеров 165 и 8-800-080-64-56.


В твоём городе 160 и 165 должны привести тебя на других людей, может от них ты получишь более вразумительный ответ? Понятно, что блокировка не на уровне отдельно взятого города, но они могут либо дать контакт нужных людей, либо по собственным каналам как-то сообщить своим коллегам о проблеме.

Чем больше людей будет им звонить, тем больше шансов, что блокировать перестанут.

[y2k]

В Алма-Ате заработало!

[Хакер]

А у меня ничего не изменилось.

[y2k]

А у меня ничего не изменилось.

А у меня изменилось... Снова не работает!

[Хакер]

А у меня изменилось... Снова не работает!

Это радует, поскольку означает, что хотя бы один человек в курсе проблемы и что-то с этим делает.

[y2k]

В данный момент в Алма-Ате доступ снова работает. Быть может это результат "направления обращения в подразделение, занимающееся аналогичными вопросами", о чем сообщили сегодня в ответ на очередное письмо.
Надеюсь, заработало окончательно.

[drMotor]

Зарегался только чтобы отписаться по проблеме, нашел вас через http://forum.sources.ru/index.php?showtopic=406927
В общем, мегалайн хит, домашний. C пятницы (20.11.2015) возникла описываемая тут проблема. Никуда не подключиться по дефолтному ssh-порту 22. Пробовал десяток серверов. При этом по нестандартным портам всё ок, ssh работает. Тоже пришёл к выводу, что КТ что-то где-то накосячили. Но куда обратиться ума не приложу. Звонил в 160 - тетечка на том конце говорит что они ничего никогда и нигде не блокируют и рекомендует обратиться к "программистам". "Частным". Хотя я сам сисадмин.

Я чекал tcpdump'ом, смотрел как ходят пакеты. Получается до destination-сервера пакеты доходят, он их принимает и шлет ответ. Но до source-хоста ответ не доходит. Т.е. блокировка на ответные ssh-пакеты в сторону клиента. Подобным же образом они блокируют неугодные сайты - режут клиенту входящие от сервера пакеты, в которых значится блокируемый домен.

Отписал на большом известном мне кз-форуме, где есть ветки практически всех провайдеров, посмотрим что скажут.

[Хакер]

Надеюсь, заработало окончательно.

У меня как не работало, так и не работает.

В общем, мегалайн хит, домашний.

А город какой?

[drMotor]

А город какой?

Астана. Но не думаю, что это имеет значение.
Адреса мне выдаются преимущественно из диапазона 2.133.х.х , а шлюзом стоит хост 92.46.74.16. А вот сбор таких данных может обрисовать какую-нибудь картину.

[Хакер]

Для сбора данных ещё DSL-AC (access concentrator) можно посмотреть, выбираемый модемом (PADR) в ответа на PADO.

[drMotor]

Для сбора данных ещё DSL-AC (access concentrator) можно посмотреть, выбираемый модемом (PADR) в ответа на PADO.

Пардон. Это что такое как смотреть и чем оно может помочь?

[Хакер]

Это что такое как смотреть и чем оно может помочь?

При установлении PPP-сессии DSL-модем (или компьютер — в зависимости от того, работает ли модем в режиме Router или Bridge) шлёт PPP-команду PADI. Это широковещательный Ethernet-фрейм.

В ответ на это все PPP-серверы, которые получили PADI отвечают отправитю с помощью PADO — анонсируют себя.

PPP-клиент получает несколько предложений от разных PPP-серверов и выбирает наилучший (обычно этот тот, который предложил себя первым) и устанавливает сессию с ними.

Не знаю, как в разных городах: разные DSL-AC или одинаковые будут. Но по крайней возможно найдётся корреляция между фактом наличия блокировки и именем DSL-AC.

Как посмотреть: хорошо, если модем подробно логгирует детали установки PPP-сессии. Если нет — ставим режим Bridge на модеме, а на компе запускаем Wireshark и инициируем PPP-сессию. Смотрим.


Пока что я могу сказать, что вижу следующую странность:

• Блокировка наблюдается во многих городах (что говорит в пользу централизованного блокирования).
• Трафик от меня к моему соседу по подъезду подвержен блокировке (что говорит в пользу локализованного блокирования).
• В одних и тех же городах находятся люди, которые наблюдают блокировку и которые не наблюдают.
• Находятся люди, которые утверждают, что разговор с поддержкой помог им снять блокировку, при этом блокировка снялась не по всей стране, а только у этих людей или только в их регионе.

[Joo]

После обращения в поддержку, заработало и дома и на работе, не знаю на долго ли.

Обратился сегодня в начале 9-го (SSH блокировался и дома и на работе), письменно в трех местах, через IDPort, на форуме http://www.165.kz/ и жалобой тут http://jaloby.165.kz/, в 10 часов началось движение, понаехали домой, не понятно зачем, сказал жене чтобы гнала веником , потом позвонили мне, я им объяснил, не уверен что поняли, но минут через 15 все заработало.

[drMotor]

У меня тоже сегодня всё ок, доступы есть. Видимо всё же КТ читает форумы

[Хакер]

Заработало!

Спасибо за поддержку «движухи». Разум победил.