[hm] [off-topic] Censurada una web pro-aborto en el estado español por varia ISPs

[fadelkon]

Hola Jose

El 26/4/20 a les 11:42, Jose Legido ha escrit:
> Hola.
> Por aportar algo técnico hasta donde yo sé. 
> Parece que el bloqueo es de DNS, con el comando dig o nslookup no
> responde con depende el DNS, por ejemplo con DNS de Jazztel responde
> 127.0.0.1
>

Entiendo que el bloqueo en tu red es de DNS, y las pruebas lo
demuestran, pero cada red lo está haciendo como quiere. Te copio mis
resultados de tus pruebas.

> $ dig @87.216.1.65 <http://87.216.1.65> www.womenonweb.org
> <http://www.womenonweb.org> +short
> 127.0.0.1

> NO funciona:
> 87.216.1.65 jazztel
> 80.58.61.250 movistar
>


dig @87.216.1.65 www.womenonweb.org +short
womenonweb.org.
67.213.76.19

dig @80.58.61.250 www.womenonweb.org +short
womenonweb.org.
67.213.76.19

Esto me sorprende. A ti te sigue dando lo mismo? Significa eso que
devuelve resultados diferentes según vienes de dentro de su red o de fuera?


> En cambio con otros dns funciona:
> 8.8.8.8 google
> 10.139.56.2 interno de guifi
>

El que quiere configurarme Vodafone también me funciona

dig @212.166.210.83 www.womenonweb.org +short
womenonweb.org.
67.213.76.19

>
> En cuanto al certificado, a mi cambiando el dns desde la red de
> jazztel me funciona bien.

Sin embargo, yo encuentro problemas aquí que tu no tienes.

> He hecho un trazado y llega en un salto, no sé a los que no les va el
> certificado si la operadora hace un man in the middle, probad el
> traceroute:
> $ traceroute 67.213.76.19
> traceroute to 67.213.76.19 (67.213.76.19), 30 hops max, 60 byte packets
>  1  liveboxplus (192.168.1.1)  2.528 ms  2.512 ms  2.505 ms
>  2  1.244.132.37.dynamic.jazztel.es
> <http://1.244.132.37.dynamic.jazztel.es> (37.132.244.1)  11.090 ms
>  11.090 ms  11.084 ms
>  3  67.213.76.19 (67.213.76.19)  118.934 ms  118.903 ms  118.913 ms
>


El traceroute, a falta de comprobar todas las IP, me parece normal, como
que llega bien. Mirando la IP donde está alojada la web:

whois 67.213.76.19 | egrep -i 'city|country'
City:           TORONTO
Country:        CA
City:           Toronto
Country:        CA

Dice Canadá.

Haciendo un traceroute:


[...]
 6  10.49.62.173 (10.49.62.173)  28.047 ms 10.49.62.165 (10.49.62.165) 
17.545 ms 10.49.62.173 (10.49.62.173)  17.493 ms
 7  * * *
 8  ae7-100-xcr1.mat.cw.net (195.10.44.1)  43.916 ms  46.088 ms  28.756 ms
 9  ae1-xcr1.mal.cw.net (195.2.30.185)  19.545 ms  16.668 ms  18.570 ms
10  as3257-gw-mal.cw.net (195.2.24.58)  19.147 ms  21.516 ms  16.750 ms
11  et-8-1-0.cr0-tor1.ip4.gtt.net (89.149.143.6)  129.709 ms  127.676
ms  125.269 ms
12  ip4.gtt.net (69.174.8.106)  122.100 ms  122.613 ms  124.956 ms
13  ar1.yyz01.3z.ca (208.68.88.177)  195.413 ms  133.140 ms  133.045 ms
14  67.213.76.19 (67.213.76.19)  127.862 ms  127.812 ms  127.766 ms

El router 13 también parece estar en Canadá, así que los ping llegan bien.

El problema es con HTTP y TLS. A lo mejor es todo lo que sea TCP, a
saber. Gracias a tu idea de probar el traceroute podemos ver que la
censura al menos de Allot, depende del protocolo que usemos, ya de
entrada no parecía algo burdo y simple; no creo que generen un
certificado falso a mano cada vez que bloquean algo, debe de estar todo
integrado en la propia aplicación.

> En resumen, a los que no le funcione, que se pongan la ip en el
> /etc/hosts:
> 67.213.76.19 womenonweb.org <http://womenonweb.org> www.womenonweb.org
> <http://www.womenonweb.org>
>
> O cambien de DNS a 8.8.8.8 o 195.8.195.195 o alguno que funcione.

También hay IPredator, son muy poco sospechosos de colaborar con la
censura y con la vigilancia global. Tienen un servidor de DNS público en
46.246.46.246


Salut,
fdk

------------ próxima parte ------------
A non-text attachment was scrubbed...
Name: signature.asc
Type: application/pgp-signature
Size: 833 bytes
Desc: OpenPGP digital signature
URL: </pipermail/hackmeeting/attachments/20200426/cad5e19f/attachment-0001.sig>