Hallo,

ich glaube zwar nicht, dass etwas geändert wird, aber ich möchte dieses Verhalten gerne dokumentieren. Es hat mich einige Zeit gekostet herauszufinden, warum nichts funktioniert.

Ich bin am Telekom FON Hotspot und weil die Google-DNS-Server 8.8.8.8 bei mir standardmäßig eingestellt sind, ging kein Internet, bis ich gemerkt habe, dass es an den DNS-Servern liegt. Soetwas ist mir bis jetzt noch nicht untergekommen. Ich hatte schon Hotspots da wird Port 53 transparent auf den eigenen DNS-Server umgeleitet, was auch nicht in Ordnung ist, aber fremde DNS-Server sperren, das geht gar nicht.

Beweise:

1. Fremde DNS-Server nicht erreichbar

dig telekom.de @8.8.8.8

; <<>> DiG 9.11.5-P4-5.1+deb10u5-Raspbian <<>> telekom.de @8.8.8.8
;; global options: +cmd
;; connection timed out; no servers could be reached

dig telekom.de @9.9.9.9

; <<>> DiG 9.11.5-P4-5.1+deb10u5-Raspbian <<>> telekom.de @9.9.9.9
;; global options: +cmd
;; connection timed out; no servers could be reached

Über den von der Telekom ausgelieferten DNS-Server funktioniert es

dig telekom.de

; <<>> DiG 9.11.5-P4-5.1+deb10u5-Raspbian <<>> telekom.de
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 23639
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 512
;; QUESTION SECTION:
;telekom.de.                    IN      A

;; ANSWER SECTION:
telekom.de.             293     IN      A       80.158.67.40

;; Query time: 20 msec
;; SERVER: 172.17.2.1#53(172.17.2.1)
;; WHEN: Fr Mai 21 15:54:35 CEST 2021
;; MSG SIZE  rcvd: 55

Traceroute via UDP und Port 53 (=DNS) zu Quad 9 DNS und Google-DNS wird gefiltert

traceroute -U -p 53 9.9.9.9
traceroute to 9.9.9.9 (9.9.9.9), 30 hops max, 60 byte packets
 1  172.17.2.1 (172.17.2.1)  6.894 ms  7.826 ms  7.697 ms
 2  * * *
 3  * * *
 4  * * *
 5  * * *
 6  * * *
 7  *^C

traceroute -U -p 53 8.8.8.8
traceroute to 8.8.8.8 (8.8.8.8), 30 hops max, 60 byte packets
 1  172.17.2.1 (172.17.2.1)  5.676 ms  5.359 ms  6.549 ms
 2  * * *
 3  * * *
 4  * * *
 5  * * *
 6  * * *
 7  *^C

Ein normaler Traceroute ohne UDP Port 53 geht problemlos durch

traceroute  9.9.9.9
traceroute to 9.9.9.9 (9.9.9.9), 30 hops max, 60 byte packets
 1  172.17.2.1 (172.17.2.1)  18.624 ms  19.520 ms  19.364 ms
 2  10.18.0.1 (10.18.0.1)  39.710 ms  47.762 ms  47.609 ms
 3  172.23.49.22 (172.23.49.22)  43.031 ms  54.572 ms  56.314 ms
 4  80.157.129.245 (80.157.129.245)  87.955 ms  89.562 ms  91.908 ms
 5  pd900c966.dip0.t-ipconnect.de (217.0.201.102)  91.763 ms  93.516 ms  94.979 ms
 6  80.157.200.214 (80.157.200.214)  94.825 ms  71.560 ms  79.050 ms
 7  dns9.quad9.net (9.9.9.9)  70.909 ms !X  26.437 ms  24.583 ms !X

 traceroute  8.8.8.8
traceroute to 8.8.8.8 (8.8.8.8), 30 hops max, 60 byte packets
 1  172.17.2.1 (172.17.2.1)  11.184 ms  10.865 ms  12.109 ms
 2  10.18.0.1 (10.18.0.1)  27.104 ms  28.473 ms  44.129 ms
 3  172.23.49.22 (172.23.49.22)  36.698 ms  36.559 ms  37.500 ms
 4  80.157.129.245 (80.157.129.245)  44.782 ms  44.637 ms  46.279 ms
 5  217.5.116.98 (217.5.116.98)  485.280 ms  487.583 ms  488.462 ms
 6  80.150.170.30 (80.150.170.30)  48.675 ms  49.946 ms  51.409 ms
 7  108.170.251.193 (108.170.251.193)  49.306 ms  27.016 ms 108.170.251.129 (108.170.251.129)  27.096 ms
 8  142.250.214.197 (142.250.214.197)  26.939 ms 142.250.46.249 (142.250.46.249)  34.241 ms 142.251.64.181 (142.251.64.181)  30.412 ms
 9  dns.google (8.8.8.8)  36.207 ms  37.953 ms  38.848 ms

Fazit: Die Telekom sperrt zumindest an den Telekom FON Hotspots fremde DNS-Server aus. Das finde ich alles andere als in Ordnung. Mit solchen Infrastrukturen eröffnet man DNS-Manipulation wie bei s.to, Überwachung und Zensur Tür und Tor.