Traceroute возвращает разные результаты в одной сети - PullRequest
Новая
       26

Traceroute возвращает разные результаты в одной сети

0 голосов
/ 07 октября 2019

Я запустил mtr на своей машине с Ubuntu и примерно в то же время на Kali vm. Я проверил это в своей домашней сети с различными сетевыми адаптерами для каждой ОС;Однако результаты, которые я получаю, иногда даже сильно отличаются.

Единственное, что я изменил в устройстве Ubuntu, - это служба DNS. Он использует dnsmasq + dnscrypt-proxy, а Kali vm использует конфигурацию по умолчанию + google DNS.

Вот результаты mtr и nslookup для google.com (не обращайте внимания на отметки времени, время ОС не синхронизируется):

  • Kali vm: 
root@kali:~# mtr -rw google.com
Start: 2019-10-07T11:44:05-0400
HOST: kali           Loss%   Snt   Last   Avg  Best  Wrst StDev
  1.|-- _gateway        0.0%    10    3.3 592.7   2.2 1129. 442.8
  2.|-- 172.16.64.134   0.0%    10   13.6 544.2   8.4 1068. 426.7
  3.|-- 172.16.64.133  10.0%    10  1455. 693.7  61.6 1455. 460.9
  4.|-- 10.201.177.241 10.0%    10  1364. 609.2   9.8 1364. 455.5
  5.|-- 10.202.4.83    40.0%    10  666.9 477.6  39.2 966.4 409.2
  6.|-- 213.202.4.172  20.0%    10  605.5 723.2 226.2 1179. 356.6
  7.|-- 213.202.4.185  10.0%    10  925.2 654.7 104.7 1168. 375.1
  8.|-- ???            100.0    10    0.0   0.0   0.0   0.0   0.0
  9.|-- 172.253.51.130 10.0%    10  738.7 495.5  40.9 984.6 349.2
 10.|-- 216.239.51.113 10.0%    10  647.5 675.8 194.4 1164. 362.4
 11.|-- google.com     30.0%    10  1106. 665.9 105.1 1106. 370.0

root@kali:~# nslookup google.com
;; Got recursion not available from fe80::1%3, trying next server
Server:     8.8.8.8
Address:    8.8.8.8#53

Non-authoritative answer:
Name:   google.com
Address: 172.217.18.142
Name:   google.com
Address: 2a00:1450:4018:803::200e
  • Ubuntu: 
ali@Linuxity:~$ mtr -rw google.com
Start: 2019-10-07T19:14:07+0330
HOST: Linuxity                  Loss%   Snt   Last   Avg  Best  Wrst StDev
  1.|-- _gateway                   0.0%    10    4.1   3.0   2.4   4.4   0.7
  2.|-- 172.16.64.134              0.0%    10    7.9  11.9   7.6  28.1   6.0
  3.|-- 172.16.64.133              0.0%    10   34.7  53.5   6.9 276.4  84.9
  4.|-- 10.201.177.241             0.0%    10    8.1  46.5   7.9 232.7  75.8
  5.|-- 10.202.4.83                0.0%    10   50.0  69.1  38.9 193.6  46.7
  6.|-- 213.202.4.172             10.0%    10   80.1  89.3  71.3 152.6  25.2
  7.|-- 213.202.4.185              0.0%    10   47.2  47.0  46.5  49.6   0.9
  8.|-- ???                       100.0    10    0.0   0.0   0.0   0.0   0.0
  9.|-- 172.253.51.132             0.0%    10   43.0  43.1  42.5  44.1   0.5
 10.|-- 108.170.240.56             0.0%    10   83.6  90.2  74.0 169.4  28.1
 11.|-- 209.85.240.12              0.0%    10   44.0  56.9  43.2 141.4  30.2
 12.|-- 172.253.51.215             0.0%    10  163.0 186.9 162.2 405.9  76.9
 13.|-- 216.239.35.209             0.0%    10  164.8 204.8 163.7 542.0 118.7
 14.|-- 172.253.70.208             0.0%    10  236.9 294.5 236.9 590.0 117.4
 15.|-- 216.239.57.136             0.0%    10  254.6 303.9 254.6 586.2 110.3
 16.|-- 209.85.143.103             0.0%    10  265.6 320.6 263.7 641.7 125.0
 17.|-- 108.170.233.245            0.0%    10  331.6 386.0 324.6 668.8 108.9
 18.|-- 108.170.236.119            0.0%    10  422.9 453.5 410.5 630.0  70.5
 19.|-- 216.239.63.163             0.0%    10  422.6 445.1 410.2 586.4  53.6
 20.|-- 209.85.244.63              0.0%    10  382.9 405.5 382.3 542.7  52.3
 21.|-- 108.170.242.161            0.0%    10  383.2 396.6 382.2 499.0  36.6
 22.|-- 74.125.251.235            30.0%    10  383.2 385.6 383.2 394.1   3.8
 23.|-- nrt20s08-in-f14.1e100.net  0.0%    10  380.6 384.0 379.9 414.4  10.7

ali@Linuxity:~$ nslookup google.com
Server:     127.0.0.1
Address:    127.0.0.1#53

Non-authoritative answer:
Name:   google.com
Address: 172.217.31.142
Name:   google.com
Address: 2404:6800:4004:808::200e

Это похоже на большинство веб-сайтов, но для некоторых еще хуже.
Мои блоки ISPопределенных веб-сайтов, поэтому я ожидаю, что при выводе трассировки на них ничего не получится, но это traceroute результаты для facebook.com (заблокированный веб-сайт):
  • Kali vm (выдает мойожидаемый результат): 
root@kali:~# traceroute facebook.com
traceroute to facebook.com (10.10.34.35), 30 hops max, 60 byte packets
 1  _gateway (192.168.1.1)  16.924 ms  16.837 ms  16.796 ms
 2  172.16.64.134 (172.16.64.134)  17.321 ms  19.512 ms  21.178 ms
 3  * * *
 4  * * *
 5  * * *
 6  * * *
 7  * * *
 8  * * *
 9  * * *
10  * * *
11  * * *
12  * * *
13  * * *
14  * * *
15  * * *
16  * * *
17  * * *
18  * * *
19  * * *
20  * * *
21  * * *
22  * * *
23  * * *
24  * * *
25  * * *
26  * * *
27  * * *
28  * * *
29  * * *
30  * * *
  • Ubuntu: 
ali@Linuxity:~$ traceroute facebook.com
traceroute to facebook.com (31.13.64.35), 30 hops max, 60 byte packets
 1  _gateway (192.168.1.1)  2.931 ms  3.275 ms  3.660 ms
 2  172.16.64.134 (172.16.64.134)  16.868 ms  17.432 ms  18.203 ms
 3  172.16.64.133 (172.16.64.133)  19.231 ms  20.119 ms  22.204 ms
 4  78.38.119.182 (78.38.119.182)  22.480 ms 10.201.177.241 (10.201.177.241)  24.190 ms 78.38.119.182 (78.38.119.182)  24.440 ms
 5  10.202.4.83 (10.202.4.83)  77.326 ms 10.202.4.81 (10.202.4.81)  31.733 ms 10.202.4.83 (10.202.4.83)  77.072 ms
 6  10.21.0.11 (10.21.0.11)  35.136 ms ae9.pr01.fra4.tfbnw.net (103.4.96.16)  106.308 ms  105.593 ms
 7  ae9.pr01.fra4.tfbnw.net (103.4.96.16)  105.976 ms * *
 8  ae122.ar02.fra2.tfbnw.net (157.240.32.104)  96.944 ms ae112.ar01.fra2.tfbnw.net (31.13.26.14)  94.836 ms *
 9  ae4.bb02.fra5.tfbnw.net (31.13.26.8)  96.613 ms ae122.ar01.fra2.tfbnw.net (173.252.64.158)  139.115 ms ae122.ar02.fra2.tfbnw.net (157.240.32.104)  108.266 ms
10  ae17.bb01.fra2.tfbnw.net (157.240.47.106)  136.744 ms ae3.bb02.fra2.tfbnw.net (31.13.27.202)  98.110 ms  98.214 ms
11  ae0.ar01.ams2.tfbnw.net (157.240.35.39)  157.430 ms ae2.bb02.ams2.tfbnw.net (74.119.78.92)  156.951 ms ae8.bb02.ams3.tfbnw.net (31.13.27.65)  159.645 ms
12  po211.asw02.ams2.tfbnw.net (157.240.34.203)  197.090 ms ae2.bb02.ams2.tfbnw.net (74.119.78.92)  157.658 ms ae0.ar01.ams2.tfbnw.net (157.240.35.39)  160.155 ms
13  po211.asw02.ams2.tfbnw.net (157.240.34.203)  197.532 ms ae5.bb01.ams3.tfbnw.net (31.13.27.45)  166.561 ms ae1.ar01.ams3.tfbnw.net (157.240.34.173)  189.756 ms
14  po225.psw02.ams2.tfbnw.net (157.240.47.45)  151.310 ms po211.psw04.ams2.tfbnw.net (74.119.78.13)  190.452 ms po241.psw01.ams2.tfbnw.net (157.240.35.179)  150.859 ms
15  173.252.67.157 (173.252.67.157)  150.854 ms 173.252.67.167 (173.252.67.167)  177.751 ms po241.asw02.ams3.tfbnw.net (157.240.34.225)  153.693 ms
16  edge-star-mini-shv-01-amt2.facebook.com (31.13.64.35)  154.070 ms  154.706 ms 157.240.38.253 (157.240.38.253)  146.896 ms

Что вызывает это? Я искал везде безрезультатно. Любая помощь будет принята с благодарностью!

РЕДАКТИРОВАТЬ: После тестирования этого на Termux с моего телефона, на мобильных данных, а также на нашем домашнем Wi-Fi, результаты совпадают с результатами Kali vm. Это означает, что все, что вызывает это, происходит из самой ОС.

Редактировать

Извините за поздний ответ, я занялся учебой.
Как и предполагалось, вместо этого я использовал traceroute на IP, и вот результаты для facebook.com, IP были взяты из nslookup. Убунту вернулся 157.240.201.35 и Кали 10.10.34.35. Здесь я сделал трассировку обоих этих IP-адресов с каждого устройства:

  • Ubuntu: 
ali@Linuxity:~$ mtr -rw 157.240.201.35
Start: 2019-10-17T13:55:24+0330
HOST: Linuxity                                Loss%   Snt   Last   Avg  Best  Wrst StDev
  1.|-- _gateway                                 0.0%    10    2.6   2.8   2.5   4.2   0.5
  2.|-- 172.16.64.134                            0.0%    10   11.8   8.8   7.8  11.8   1.3
  3.|-- 172.16.64.133                            0.0%    10    7.7   8.1   7.4   9.3   0.6
  4.|-- 78.38.119.182                            0.0%    10    8.6   8.0   7.5   8.6   0.4
  5.|-- 10.202.4.81                              0.0%    10   10.3  10.2   9.2  11.8   0.9
  6.|-- 10.21.0.11                               0.0%    10   10.1   9.6   8.4  10.8   0.8
  7.|-- ae9.pr01.fra4.tfbnw.net                  0.0%    10   91.5  85.6  82.8  91.5   3.2
  8.|-- ???                                     100.0    10    0.0   0.0   0.0   0.0   0.0
  9.|-- ae112.ar02.fra2.tfbnw.net                0.0%    10   84.6  86.7  83.2  98.5   4.8
 10.|-- ae33.bb01.fra2.tfbnw.net                 0.0%    10  113.0  91.4  85.1 113.0  10.2
 11.|-- ae12.bb02.ams2.tfbnw.net                 0.0%    10   91.7  92.7  91.5  95.1   1.4
 12.|-- ae1.ar01.ams2.tfbnw.net                  0.0%    10   94.1  98.5  92.2 118.6   8.6
 13.|-- po211.asw02.ams2.tfbnw.net               0.0%    10   91.6  92.5  91.6  94.3   0.9
 14.|-- po224.psw03.ams4.tfbnw.net               0.0%    10   90.2  90.7  89.9  92.5   0.7
 15.|-- 173.252.67.107                           0.0%    10   92.3  95.1  91.6 121.5   9.3
 16.|-- edge-star-mini-shv-01-ams4.facebook.com  0.0%    10   89.3  90.3  88.9  93.6   1.5
ali@Linuxity:~$ mtr -rw 10.10.34.35
Start: 2019-10-17T14:00:50+0330
HOST: Linuxity      Loss%   Snt   Last   Avg  Best  Wrst StDev
  1.|-- _gateway       0.0%    10    2.5   8.1   2.4  58.6  17.7
  2.|-- 172.16.64.134  0.0%    10    7.9   9.4   7.7  14.6   2.4
  3.|-- ???           100.0    10    0.0   0.0   0.0   0.0   0.0
  • Kali vm: 
root@kali:~# mtr -rw 157.240.201.35
Start: 2019-10-17T06:31:46-0400
HOST: kali                                    Loss%   Snt   Last   Avg  Best  Wrst StDev
  1.|-- _gateway                                 0.0%    10    2.2   2.8   2.2   3.9   0.5
  2.|-- 172.16.64.134                            0.0%    10    8.1  17.5   8.1  28.8   7.2
  3.|-- 172.16.64.133                            0.0%    10    7.1   8.1   7.1   9.6   0.8
  4.|-- 78.38.119.182                            0.0%    10    8.4   8.1   6.9   8.9   0.6
  5.|-- 10.202.4.81                              0.0%    10    9.9  10.4   8.4  13.4   1.5
  6.|-- 10.21.0.11                               0.0%    10   11.4  10.3   8.7  12.1   1.1
  7.|-- ae9.pr01.fra4.tfbnw.net                  0.0%    10   91.4  85.5  83.3  91.4   2.3
  8.|-- ???                                     100.0    10    0.0   0.0   0.0   0.0   0.0
  9.|-- ae112.ar02.fra2.tfbnw.net                0.0%    10   86.5  90.5  83.3 109.5   8.7
 10.|-- ae33.bb01.fra2.tfbnw.net                 0.0%    10   87.8  86.8  85.0  89.6   1.4
 11.|-- ae12.bb02.ams2.tfbnw.net                 0.0%    10   97.0  92.7  90.3  97.0   2.0
 12.|-- ae1.ar01.ams2.tfbnw.net                  0.0%    10   93.9  95.2  92.4 102.7   3.6
 13.|-- po211.asw02.ams2.tfbnw.net               0.0%    10   92.5  92.1  91.1  92.6   0.5
 14.|-- po224.psw03.ams4.tfbnw.net               0.0%    10   90.2  90.3  89.0  91.6   0.7
 15.|-- 173.252.67.107                           0.0%    10   92.4  92.1  90.4  94.4   1.1
 16.|-- edge-star-mini-shv-01-ams4.facebook.com  0.0%    10   89.7  90.1  88.8  91.5   0.8
root@kali:~# mtr -rw 10.10.34.35
Start: 2019-10-17T06:32:21-0400
HOST: kali          Loss%   Snt   Last   Avg  Best  Wrst StDev
  1.|-- _gateway       0.0%    10    2.4   2.7   2.2   3.0   0.3
  2.|-- 172.16.64.134  0.0%    10    8.2  14.2   8.0  53.1  13.8
  3.|-- ???           100.0    10    0.0   0.0   0.0   0.0   0.0

Как видно, результаты идентичны. Я пробовал это с другими сайтами, но даже тогда первые несколько результатов, казалось, имели гораздо больше смысла.

Я пробовал те же самые входы с включенной услугой VPN. Трассировка «частного» адреса 10.10.34.35 только что вызвала бесконечный цикл в _gateway, который фактически подтверждает ваши предложения, и при этом для facebook.com теперь также не было видно никаких признаков этих частных адресов.

Метод по умолчаниюздесь был UDP, но использование TCP дало очень похожие результаты.

Еще одна интересная вещь, которая произошла, заключалась в том, что после очередной трассировки на предыдущем IP 31.13.64.35 результаты теперь были другими, что указывало на то, что это, вероятно, более новый адрес, и он был недавно заблокирован моим провайдером.

Это все показывает мне, как мало вы можете доверять своему провайдеру с любыми незашифрованными DNS-запросами и как ими легко манипулировать ...
В любом случае, спасибо всем за ввод! Я хотел бы дать вам всю награду, но я просто передам ее antichris, так как его ответ дал действительно хорошее резюме и понимание предмета.

1 Ответ

1 голос
/ 16 октября 2019

Маршрутизация

То, что вы видите, это ваша трассировка, прыгающая в инфраструктуре вашего провайдера в течение первых нескольких прыжков (172.16.0.0/12 и 10.0.0.0/8 - блоки адресов частной сети): 

...
  2.|-- 172.16.64.134
  3.|-- 172.16.64.133
  4.|-- 10.201.177.241
  5.|-- 10.202.4.83
...

и после этого в целевых инфраструктурах (и Google, и Facebook управляют обширными сетями с несколькими хостами):

  • 172.253.0.0/16 - это Google LLC,
  • 103.4.96.0/22 - этоFacebook Singapore Pte Ltd.

Также обратите внимание на поразительное сходство между частными 10.202.4.83 и двумя адресами телекоммуникационной компании OmanMobile в сети 213.202.0.0/20 сразу после этого: 

...
  5.|-- 10.202.4.83
  6.|-- 213.202.4.172
  7.|-- 213.202.4.185
...

Я полагаю, что они не только коррелируют, но и отображают напрямую.

Различные хосты в прыжках после выхода из сети вашего интернет-провайдера динамическая маршрутизация в работе.

DNS Spoofing

Что касается того, почему traceroute на facebook.com теряется после 172.16.64.134 - просто и понятно: ваш провайдер перехватывает ваши попытки поиска DNS на сервисе Google 8.8.8.8 и подделывает ответдля facebook.com разрешить 10.10.34.35, который является частным адресом в инфраструктуре вашего интернет-провайдера (и может даже не быть фактическим подключенным хостом). Когда вы запрашиваете IP-адрес для того же доменного имени через DNSCrypt, ваш провайдер не может прослушивать и подделывать ответы, и вы получаете действительный ответ: 31.13.64.35 (Facebook Ireland Ltd, 31.13.64.0/18).

InВывод: все это убедительно доказывает необходимость использования таких инструментов, как DNS поверх TLS, DNS поверх HTTPS и DNSCrypt - все они не позволяют злоумышленникам перехватывать и перенаправлять трафик в их инфраструктуру.

И помните: whois - этотвой друг!

...