https für Webmail nicht freigeschaltet

[Rüdiger Kupper]

Schüler können ihre gmx-Mail nicht abrufen, weil https für die Seite "service.gmx.net" nicht freigeschaltet ist. Ist vielleicht versehentlich "gmx.*de*" eingetragen? Das Ende muss *net* heißen, weil die de-Seite dorthin umleitet.

[bau]

Replying to kup:

Schüler können ihre gmx-Mail nicht abrufen, weil https für die Seite "service.gmx.net" nicht freigeschaltet ist. Ist vielleicht versehentlich "gmx.*de*" eingetragen? Das Ende muss *net* heißen, weil die de-Seite dorthin umleitet.

Ich kann bei BOT-Regeln nur IP's eintragen!

[Rüdiger Kupper]

Ah, dann:

$ dig gmx.net
[...]
gmx.net.		42923	IN	A	213.165.65.50
[...]

$ dig service.gmx.net
[...]
service.gmx.net.	82053	IN	A	213.165.65.100
[...]

Ich persönlich wünsche mir außerdem noch funktionierende Google-Apps (Mail und Kalender):
Zum Einloggen:

$ dig accounts.google.com
[...]
accounts.google.com.	33	IN	A	209.85.149.84
[...]

GMail:

$ dig mail.google.com
[...]
mail.google.com.	350	IN	A	209.85.149.18
[...]

Google-Kalender (​https://google.com/calendar)

$ dig google.com
[...]
google.com.		44	IN	A	209.85.149.106
google.com.		44	IN	A	209.85.149.99
google.com.		44	IN	A	209.85.149.104
google.com.		44	IN	A	209.85.149.105
google.com.		44	IN	A	209.85.149.147
google.com.		44	IN	A	209.85.149.103
[...]

Ups, die haben wohl ein paar mehr...

[bau]

GMX ist eingetragen - sollte also tun.

Bei Google:
Hat Google irgendwie ein ganzes Subnetz?
Dann kann ich das ganze Subnetz eintragen - das wäre deutlich weniger Aufwand!

[bau]

Fehlermeldung von Alexandra Lutz:

es wäre für uns einfacher, wenn wir auf unsere verschiedenen Email-homepages zurückgreifen könnten.
In meinem Fall wäre das freenet.de
Vielleicht könnten sie es einrichten, dass man Emails einsehen kann.

@Kupper: Welche IP muss ich nun eintragen, damit Alexandra auf freenet.de zurückgreifen kann. Gibt es da vielleicht auch ein Subnetz? Und bei GMS habe ich nur 213.165.65.50 eingetragen - reicht das oder gibt es da ein Subnetz?

[bau]

Fehlermeldung von Lisanne Pucher:

Wäre es nicht möglich die verschiedenen E-mail Zugänge freizuschalten? Alle meine E-mails werden auf googlemail umgeleitet, worauf ich jetzt nicht mehr zugreifen kann.

@Kupper: dito

[bau]

Fehlermeldung von Dennis Zarychta:

ich kann mich leider nicht mehr auf Yahoo! anmelden um meine eMails abzurufen.
Ist diese Domain nun auch gesperrt oder ist das nur eine Ausnahme?

In ihrer eMail meinten sie ja dass die Login-Fenster für GMX,Web,usw. erhalten bleiben.

@Kupper: dito

[Rüdiger Kupper]

Replying to bau:

Fehlermeldung von Alexandra Lutz:

es wäre für uns einfacher, wenn wir auf unsere verschiedenen Email-homepages zurückgreifen könnten.
In meinem Fall wäre das freenet.de
Vielleicht könnten sie es einrichten, dass man Emails einsehen kann.

@Kupper: Welche IP muss ich nun eintragen, damit Alexandra auf freenet.de zurückgreifen kann. Gibt es da vielleicht auch ein Subnetz? Und bei GMS habe ich nur 213.165.65.50 eingetragen - reicht das oder gibt es da ein Subnetz?

Hallo Jens,

ehrlichgesagt, ich weiß es nicht. Ich hab heute festgestellt, dass der zugriff auf GMail jedenfalls noch nicht funktioniert. -- Hattest Du die IPs, die ich Dir geschickt hatte, freigeschaltet?

Alles, was ich tun kann, ist, ein DNS-Lookup auf den Adressen zu starten und Dir die IPs zu schreiben. Aber wie Du schon richtig vermutest hast, haben die großen Anbieter (Google, GMX, Yahoo!, Web.de) gleich eine ganze Batterie von Adressen, die sie dynamisch zuweisen. So liefert eine DNS-Anfrage für google.com immer mal verschiedene IPs. Die scheinen aber schon alle in einem Subnetz zu liegen.

Wo ist denn die Instanz, bei der man sowas nachfragt? Die DENIC? Oder die Firmen direkt (bin ja gespannt, ob Google auf sowas antwortet...)

[Rüdiger Kupper]

Freemail (web.de):

ruediger@helge:~$ dig https://produkte.web.de

; <<>> DiG 9.7.3 <<>> https://produkte.web.de
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: SERVFAIL, id: 43088
;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 0

;; QUESTION SECTION:
;https://produkte.web.de.	IN	A

;; Query time: 1008 msec
;; SERVER: 192.168.1.1#53(192.168.1.1)
;; WHEN: Thu Sep 15 22:17:51 2011
;; MSG SIZE  rcvd: 41

[Rüdiger Kupper]

Yahoo! Mail:

ruediger@helge:~$ dig https://login.yahoo.com

; <<>> DiG 9.7.3 <<>> https://login.yahoo.com
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 22134
;; flags: qr rd ra; QUERY: 1, ANSWER: 3, AUTHORITY: 0, ADDITIONAL: 0

;; QUESTION SECTION:
;https://login.yahoo.com.	IN	A

;; ANSWER SECTION:
https://login.yahoo.com. 300	IN	CNAME	wildcard.g05.yahoodns.net.
wildcard.g05.yahoodns.net. 15	IN	CNAME	yahoo-wildcard.a05.yahoodns.net.
yahoo-wildcard.a05.yahoodns.net. 15 IN	A	67.195.182.28

;; Query time: 73 msec
;; SERVER: 192.168.1.1#53(192.168.1.1)
;; WHEN: Thu Sep 15 22:20:49 2011
;; MSG SIZE  rcvd: 129

[Rüdiger Kupper]

Bin aber nicht sicher, ob das reicht, oder ob die Seiten im Rahmen des Mailservices dann noch auf andere Server umleiten. Ich hab leider kein Yahoo!- und GMX-Account...

[anonymous]

Fehlermeldung Lydia Weissert:

T-Online-WebMail

[bau]

Ich habe eine Anfrage an unseren Serviceprovider (BelWUE) gesendet.

[Rüdiger Kupper]

Gute Idee!

[Rüdiger Kupper]

Hallo Jens,

googeln hilft auch manchmal, die Frage ist wohl gar nicht so unüblich:
​Range of IP addresses used by gmail so that we can add in our whitelist

Demnach kann man die Subnetze, die man freischalten muss, von einem Google-Server per DNS abfragen (TXT-Eintrag):

$ dig _spf.google.com txt

[...]

;; ANSWER SECTION:
_spf.google.com.	284	IN	TXT	"v=spf1 ip4:216.239.32.0/19 ip4:64.233.160.0/19 ip4:66.249.80.0/20 ip4:72.14.192.0/18 ip4:209.85.128.0/17 ip4:66.102.0.0/20 ip4:74.125.0.0/16 ip4:64.18.0.0/20 ip4:207.126.144.0/20 ip4:173.194.0.0/16 ?all"

[...]

Bin gespannt, ob das tut!

[anonymous]

OK, die 10 Google-Adressen sind drin und können getestet werden!

[anonymous]

Achtung[[BR]]
Damit auf den LTSP-Clients das HTTPS-Freischlten klappen kann, muss erstmal ein default-gateway eingetragen werden (10.32.1.254 / muss glaube ich in der /etc/network/interfaces gemacht werden) ich habe auf dem 10.32.1.246 grade per Hand eingetragen:

  route add default gw 10.32.1.254

Hintergrund:
normalerweise routen wir den Netzverkehr im Browser automatisch auf den Proxy, wenn HTTPS kommt geht das ins Leere!

[anonymous]

WEB.de GMX.net und GMX.de gehen jetzt auch

[Rüdiger Kupper]

Super!

Ich finde Deine Änderungen in der /etc/network/interfaces auf 10.32.1.246 schon nicht mehr -- hast Du die wieder entfernt?

[anonymous]

Ich habe nur per Hand die route angepasst und gedacht, dass du die Änderung eintragen könntest:

   gateway 10.32.1.254

[Rüdiger Kupper]

Ich habe gerade LTSP126 ausprobiert -- GMail klappt hervorragend, auch ohne Gateway-Eintrag.

Hast Du da was von Hand gemacht? Wenn nicht, dann scheint der Gateway-Eintrag nicht nötig zu sein(?).

[bau]

Komisch, wie kommt der dann zu GMail, der muss doch irgendwoher die Route zum IPCop wissen. Mache mal

  route

als default route sollte dort der ipcop.kg-fds.de stehen, wenn nicht wäre das mal genauer zu prüfen:

  tracerourte www.gmail.com

[bau]

Hallo,
was hälst du von einem DNS-Filter vorgeschaltet:

---

aufgeschreckt durch eure Filterlöcher habe ich heute unsere Filterlösung benutzt und einige zu sperrende Seiten mit ​https:// getestet.
Resultat: Sie wurden ebenso sauber wie die ​http:// Seiten gesperrt.
Dazu muss ich aber sagen, dass wir eine zweistufige Filtertechnik verwenden:

1. Stufe: OpenDNS
2. Stufe: IPCop mit Shalla Liste.

Die HTTPS Seiten wurden dabei von der ersten Stufe geblockt.
Die Schüler merken von den zwei Stufen nichts, es kommt jedesmal die selbe Sperrseite mit dem roten Balken.

Grob hatte ich das Verfahren unter
​http://www.hsweis.schule.neu-ulm.de/moodle/course/view.php?id=12
beschrieben (Punkt 6)

Wir filtern auf diese Weise zur Zeit eine Schule mit 90 Rechnern ohne Performance-Probleme und Abo-Kosten.
Filterrechner ist ein alter Pentium Single Core Rechner mit 1 GHz Prozessor, auf dem nur IPCop läuft.
Stufe 1 läuft "in the cloud".
Mit mehr als DSL6000 konnte ich aber noch nicht testen, da wir dies bislang noch nicht geliefert bekommen.

Gruß
Willi Gölz

[bau]

Ich würde auch gleich noch einen Dansguardian vorschalten, der hat den Vorteil, dass er den Content filtert und nicht nur die URL, wenn also auf einer Seite das Wort porn vorkommt sperrt er sie, kommt hingegen das Wort SEX weniger als ein einstellbarer Schwellwert vor spertt er sie nicht.

[Rüdiger Kupper]

Replying to bau:

Hallo,
was hälst du von einem DNS-Filter vorgeschaltet:

Klingt gut, dann wären wir wieder beim Blacklisting statt Whitelisting, genau wie beim http. Kennst Du Dich damit aus?

Replying to bau:

Ich würde auch gleich noch einen Dansguardian vorschalten, der hat den Vorteil, dass er den Content filtert und nicht nur die URL, wenn also auf einer Seite das Wort porn vorkommt sperrt er sie, kommt hingegen das Wort SEX weniger als ein einstellbarer Schwellwert vor spertt er sie nicht.

Auch da: Kennst Du Dich damit schon aus? Dann los!

[anonymous]

Zu DNS Filter:
das geht ganz einfach: Man trägt als DNS im BIND die IP's von OpenDNS ein und fertig!

Zu Dansguardian:
habe ich noch nie gemacht (bei der alten LML war der einfach dabei)
ich habe aber eine Anfrage in der Mailingliste gestellt, ob das jemand schon gemacht hat

[bau]

Frau Hermann von BelWUE gibt uns den Tipp:
Wenn Sie auf ​http://www.ripe.net/ unter "Data & Tools" die IP-Adressen in die "RIPE
Database Search" eingeben, können Sie auch die Netzblöcke dazu erhalten,
wobei das dann allerdings die ganz grossen Netzblöcke dieser Anbieter sind
und nicht nur ein Bereich, in dem nur die Webmailserver liegen.

[bau]

Es funktionieren nun auch:
freenet.de
yahoo.de (zwei Subnetze)
t-online.de (zwei Subnetze)

Ganz prima ist der von BelWUE vorgeschlagene Service www.ripe.net da findet man die Subnetze ganz leicht raus!

[Rüdiger Kupper]

Bitte auch freischalten:

• ​https://alice-dsl.de
• ​https://alice-dsl.net

(Webmailer von Alice)

[bau]

alice-dsl ist eingetragen

[bau]

Jetzt tut t-online auch, die hatten auf eine ganz versteckte LoginSeite verlinkt.

[bau]

Ich habe gerade die BOT-Regel für HTTPS freigegeben, da seit heute die OpenDNS-einbindung funktioniert hat! Mit Hilfe der Techniker von OpenDNS konnte deren Server unsere DNS-Anfragen auch bearbeiten. Bei HTTPS-Anfragen (z.B. ​https://www.sex.de) leitet der DNS von OpenDNS die Anfrage auf eine Blocked-Seite von OpenDNS um.