OPNsense Forum
International Forums => German - Deutsch => Topic started by: Marcel_75 on October 10, 2019, 11:42:27 pm
-
Hallo zusammen,
weiß leider gar nicht so recht, wie ich den Betreff besser umschreiben soll – es geht um folgendes Phänomen:
Neuerdings kann ich auf meinem MBP Netflix nicht mehr öffnen. :-\
Und ich bin mit meinem Latein mittlerweile echt am Ende und hoffe nun auf Eure Hilfe.
Der Witz ist, da Netflix auf allen anderen Geräten in meinem Netzwerk problemlos funktioniert (ein iMac, ein Apple TV, ein iPad), hatte ich natürlich erst einmal das System meines MacBooks selbst in Verdacht.
Deshalb habe ich tatsächlich so gut wie alles versucht, was dafür verantwortlich sein könnte:
- DNS-Caches gelöscht
- /Library/Preferences/SystemConfiguration 'bereinigt' (alles außer com.apple.Boot.plist entfernt, wird nach einem Neustart dann automatisch neu angelegt und konfiguriert)
- /etc/hosts überprüft
- /var/folders 'bereinigt' (sämtliche Ordner gelöscht)
Da das alles nicht half, habe ich am Ende sogar noch einmal das komplette System (10.14.6) per 'Recovery Mode' komplett neu drübergebügelt (die Apps und User-Daten etc. gehen dabei nicht verloren, von daher ist das grundsätzlich unproblematisch unter macOS – diese Prozedur räumt aber eben auch Caches etc. auf).
Trotzdem: Netflix läuft immer noch nicht auf dem MBP. Vor 2 oder 3 Tagen klappte das aber noch.
Dazu muss noch gesagt werden: Per host netflix.com auflösen, auch per traceroute netflix.com und dig netflix.com sieht soweit alles gut aus – nur im Browser kann ich es halt trotzdem nicht öffnen (egal welcher Browser).
Dann erst hatte ich mich auch mal per VPN verbunden mit dem MBP (zu verschiedenen Firmen) und siehe da – sobald die VPN-Verbindung steht, funktioniert auch Netflix wieder im Browser!
Deshalb hatte ich dann Sensei in Verdacht wie auch meine Firewall-Regeln – aber nachdem ich Sensei komplett zurückgesetzt (und sogar wieder gelöscht habe) und auch meine FireHOL-Level-3- und Spamhaus-Regeln gelöscht (bzw. deaktiviert) habe, klappt das trotzdem noch nicht.
Ich verstehe das einfach nicht. :-\
Da ja alle anderen Geräte keine Probleme haben und es per VPN auch keine Probleme gibt, nun meine Frage:
Was genau sollte ich jetzt prüfen, um das zu fixen?
Mir wäre nicht bewusst, dass ich an irgend einer Stelle in der OPNsense irgend etwas eingestellt hätte, was explizit nur mein MBP betrifft (das Gerät ist per Ubiquiti-AP im WLan und bekommt per DHCP-Server von der OPNsense eine IP zugewiesen).
Sorry für den etwas ausufernden Text, aber ich wollte das ganze möglichst genau beschreiben.
Danke für Hilfe wie immer. :)
-
Hmmm, ohne deine FW Regeln, outboundNAT, etc. zu kennen wird da niemand wirklich etwas zu sagen können, denke ich.
Ich hätte als erstes mal das MacDings in einem anderen Netzwerk (Gäste?) angehängt und geschaut, was dort passiert, bevor ich ganze Rechner neu aufsetze---
-
Da wurde nix "neu aufgesetzt", das war nur allgemeine 'maintenance' … ;)
Netflix funktioniert mit der Kiste wie gesagt in jedem anderen Netzwerk (bei anderen Firmen oder auch Freunden) oder auch per VPN (also connected zu anderen Firmen und Bekannten).
Und die Regeln sowohl bei LAN als auch WAN sind eigentlich nur die Standard-Regeln (alle zusätzlichen Regeln hatte ich ja extra deaktiviert).
Aber ich liefere gern Screenshots bei Bedarf – aus welchen Bereichen denn am besten?
PS: Und wie gesagt – jedes andere Gerät hier im Netzwerk hat keine Probleme mit Netflix, nur das MacBook …
-
Hatte ich in meinem Netzwerk mit den Apple Geräten meiner Freundin auch.
Hier hat es geholfen per Floating Regel den gesamten IPv6 Verkehr zu rejecten. Apple Geräte versuchen auf Krampf IPv6 zu benutzen (Bonjour inclusive), was nicht immer gut geht.
-
@Georg: Danke schon mal für den Hinweis.
Kannst Du mir vllt. einen Screenshot senden, wie diese Floating-Regel dann genau aussehen müsste?
Das wäre sehr hilfreich.
-
Hallo Marcel_75,
hast du denn die Pakete mal in der Firewall nachvollzogen bevor du deine Rechner neu Installierst?
Von der Analyse die Du gemacht hast, liegt es ja wohl garnicht am Rechner wenn er in anderen Netzwerken auf die Seite kommt.
Ich vermute eine Regel oder Funktion in der Firewall als Ursache.
Versuch doch erstmal die Pakete auf den Interfacen der Firewall nachzuvollziehen. Mach einen Package Capture auf die IP deines MBP und schau was passiert. Erst auf dem LAN, dann auf dem WAN. So kannst du sehen wohin der Traffic fließt. Auf dem WAN Interface musst du dann evtl. nach der Zieladresse suchen, da deine Adresse dann vermutlich schon in deine externe Adresse übersetzt wurde.
Ansonsten mach auf deinem MBP mal mit Wireshark einen Sniff um zu sehen ob überhaupt IPv4 oder IPv6 verwendet wird und du hier ein Problem hast, dass dein MBP IPv6 machen will und du es nicht konfiguriert hast.
VG,
Dominik
-
Versuch doch erstmal die Pakete auf den Interfacen der Firewall nachzuvollziehen. Mach einen Package Capture auf die IP deines MBP und schau was passiert. Erst auf dem LAN, dann auf dem WAN. So kannst du sehen wohin der Traffic fließt. Auf dem WAN Interface musst du dann evtl. nach der Zieladresse suchen, da deine Adresse dann vermutlich schon in deine externe Adresse übersetzt wurde.
Hi Dominik,
das klingt vernünftig, nur bräuchte ich bitte etwas detailliertere Erläuterungen (gern auch mit Screenshots), wo genau ich da was machen kann/muss. Bin leider weder Netzwerk- noch BSD-Experte – aber sehr gern bereit, dazu zu lernen. ;)
Ansonsten mach auf deinem MBP mal mit Wireshark einen Sniff um zu sehen ob überhaupt IPv4 oder IPv6 verwendet wird und du hier ein Problem hast, dass dein MBP IPv6 machen will und du es nicht konfiguriert hast.
Hatte IPv6 am MacBook für WLan auf "Automatisch" und hab das jetzt auch mal per networksetup -setv6off Wi-Fi komplett deaktiviert (um sozusagen IPv4 zu 'erzwingen') – ändert leider nichts.
Und WireShark übersteigt leider bei weitem meine Fähigkeiten – aber auch hier bin ich natürlich gern bereit, mir neues Wissen anzueignen. Aber auch da bräuchte ich dann Unterstützung.
Danke in jedem Fall schon mal.
-
Hi,
Die Funktion findest du unter Interfaces -> Diagnostics -> Package Capture (entsprechend in deiner Sprache auf dem System)
Dann erstmal das LAN Interface auswählen, im ersten Schritt ANY bei Protocol etc. stehen lassen und nur deine IP des MBP eintragen. Dann auf start und nach einer Zeit oder einer Anzahl von Packeten die du konfigurieren kannst auf stop. Dann auf View und du solltest den Verkehr sehen können. Die Datei kannst du auch herunterladen und mit Wireshark anschauen. BTW. das ist bestimmt nicht zu kompliziert. Einfach nicht von der GUI einschüchtern lassen. Dich interessiert nur ob von deiner IP in Richtung Netflix Vekehr läuft.
Ich vermute von LAN zu Netflix wird das noch der Fall sein.
Das gleiche wiederholst du dann auf der WAN Seite. Du musst natürlich solange der Capture läuft immer Aufrufe auf Netflix provozieren. Wenn du auf der WAN-Seite keine Passenden Pakete von der Firewall weg in Richtung Netflix siehst (Die anderen Netflix-Geräte mal in der Zeit ausschalten) dann kannst du dir sicher sein, dass es in der Firewall gefilteret wird.
Dann überprüfe bitte deinen Floating Regelbereich (Persönlich finde ich Floating Regeln nur in absoluten Ausnahmesituationen nützlich, ansonsten Finger weg) und deinen LAN Regelbereich. Überprüfe alle Aliase ob nicht doch die IP in einer Regel steht die du übersiehst.
Baue mal zum Test eine Regel ganz oben rein, die den Verkehr von deiner MBP IP zu ANY erlaubt. Die Sollte dann auch im Inspect ziehen. Wenn dann alles geht, verdichtet sich die Vermutung einer Regel als Bösewicht, die darunter steht.
So würde ich jetzt weiter Testen.
VG,
Dominik
https://docs.opnsense.org/manual/diagnostics_interfaces.html#packet-capture
-
Danke vielmals, das werde ich versuchen und berichten.
-
moin, ich möchte noch wissen, so wie du geschrieben hast am wlan, wie sieht es denn am ethernet aus, hast du da den gleichen fehler?
könntest du bitte mal mir die ausgabe dafür posten:
networksetup -listallnetworkservices
networksetup -getdnsservers Wi-Fi
von deinem mac.
-
@banym: So, habe es jetzt erst einmal "zum üben" am iMac (IP 192.168.1.199) probiert:
Netflix ist am iMac wie gesagt i.O. (Auszug aus dem Capture):
igb0 14:04:43.716602 IP 192.168.1.199.50696 > 34.250.41.147.443: tcp 0
LAN
igb0 14:04:43.755557 IP 34.250.41.147.443 > 192.168.1.199.50696: tcp 0
LAN
igb0 14:04:43.756072 IP 192.168.1.199.50696 > 34.250.41.147.443: tcp 0
LAN
igb0 14:04:43.765364 IP 192.168.1.199.50696 > 34.250.41.147.443: tcp 517
LAN
igb0 14:04:43.805204 IP 34.250.41.147.443 > 192.168.1.199.50696: tcp 0
LAN
igb0 14:04:43.806800 IP 34.250.41.147.443 > 192.168.1.199.50696: tcp 1440
LAN
igb0 14:04:43.806822 IP 34.250.41.147.443 > 192.168.1.199.50696: tcp 1440
LAN
igb0 14:04:43.806840 IP 34.250.41.147.443 > 192.168.1.199.50696: tcp 755
Ein host netflix.com ergibt am iMac folgendes (IPv6- und Mail-Einträge mal ausgeklammert).
netflix.com has address 54.77.108.2
netflix.com has address 52.31.182.100
netflix.com has address 52.19.40.147
netflix.com has address 54.72.216.241
netflix.com has address 52.209.235.141
netflix.com has address 34.250.41.147
netflix.com has address 54.171.116.69
netflix.com has address 52.31.145.183
War in dem Fall also nur die 34.250.41.147 die am iMac für Netflix genutzt wurde.
Jetzt werde ich es gleich noch einmal mit dem MacBook testen.
-
@micneu:
moin, ich möchte noch wissen, so wie du geschrieben hast am wlan, wie sieht es denn am ethernet aus, hast du da den gleichen fehler?
Ja, hab's vorhin auch mal per Ethernet probiert mit dem MacBook, verhält sich da auch so.
könntest du bitte mal mir die ausgabe dafür posten:
networksetup -listallnetworkservices
networksetup -getdnsservers Wi-Fi
von deinem mac.
Hatte ja gestern wie gesagt schon /Library/Preferences/SystemConfiguration 'bereinigt', dabei werden sämtliche Netzwerkschnittstellen komplett zurückgesetzt.
Aber anbei die Ausgabe für networksetup -listallnetworkservices:
An asterisk (*) denotes that a network service is disabled.
USB 10/100/1000 LAN
Wi-Fi
Bluetooth PAN
Und für networksetup -getdnsservers Wi-Fi
There aren't any DNS Servers set on Wi-Fi.
Ups? Das MacBook bezieht seine Netzwerk-Einstellungen ja per DHCP und zeigt beim WiFi für DNS-Server auch die 192.168.1.1 korrekt an (per Systemeinstellungen).
Und ein dig netflix.com gibt ja auch zurück, dass bei 192.168.1.1 angefragt wird:
; <<>> DiG 9.10.6 <<>> netflix.com
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 15245
;; flags: qr rd ra; QUERY: 1, ANSWER: 8, AUTHORITY: 0, ADDITIONAL: 1
;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;netflix.com. IN A
;; ANSWER SECTION:
netflix.com. 48 IN A 52.18.15.9
netflix.com. 48 IN A 52.208.135.54
netflix.com. 48 IN A 52.17.219.77
netflix.com. 48 IN A 34.252.179.162
netflix.com. 48 IN A 54.77.143.196
netflix.com. 48 IN A 54.171.187.60
netflix.com. 48 IN A 52.17.227.174
netflix.com. 48 IN A 52.209.79.186
;; Query time: 33 msec
;; SERVER: 192.168.1.1#53(192.168.1.1)
;; WHEN: Fri Oct 11 14:23:13 CEST 2019
;; MSG SIZE rcvd: 168
Ich mache derweil mal den capture vom MacBook wie von @banym empfohlen …
-
@banym:
Also im capture der IP des MacBook (192.168.1.179) taucht tatsächlich keine der Netflix-IPs auf.
D.h., schon bei der Anfrage in Richtung LAN stimmt da irgend etwas nicht … nur was?
-
Mmh, also Dank Euch sind wir dem Problem nun glaube ich schon einen großen Schritt näher:
Denn am iMac bekomme ich bei der Abfrage per networksetup -getdnsservers Ethernet die eigentlich zu erwartende Antwort:
192.168.1.1
Ich werde jetzt mal von DHCP auf eine feste IP im Wi-Fi umstellen am MacBook, wahrscheinlich funktioniert es dann …
Nee, zu früh gefreut – mit fester IP etc. wird dann zwar korrekt 192.168.1.1 per "networksetup -getdnsservers Wi-Fi"-Abfrage angezeigt, aber Netflix klappt trotzdem nicht …
-
Hast du auf dem MBP LittleSnitch oder ähnliches am laufen?
Wenn ja alles ausschalten. Vermute zwar du hast auch direkt nach der Neuinstallation getestet aber nur so eine Idee.
Schau mal im Terminal mit ipconfig was genau an Einstellungen über DHCP kommen. Ob die auch wirklich stimmen. Ist das MBP das einzige Gerät an dem was anders ist?
Also das einzige WLAN Gerät, das Einzige an einem anderen Accesspoint?
Kommst du von dem MBP auf die Firewall? (Ping und Webinterface)
Hast du noch andere Geräte oder Hotspots mit dem MBP verbunden?
Erstmal solltest du soweit kommen, dass Du den Traffic vom MBP an der Firewall siehst.
Dann die Allow-ANY Regel ganz nach oben im Regelwerk für die IP vom MBP als SRC-IP dann siehst Du über Inspect ob die Regel verarbeitet wird und ob Pakete drüber gehen.
Wenn es dann nicht geht, neues WLAN-Kabel ;-) ... nein Scherz, dann nochmal melden.
-
Ok, jetzt habe ich mein MacBook noch einmal per "sicherem Systemstart" neu gestartet (Shift gedrückt halten beim Starten) – und Netflix funktioniert!
Beim "sicherem Systemstart" von macOS werden sämtliche nicht zum System gehörenden Bestandteile deaktiviert.
Allerdings funktioniert es auch nur mit fester IP, nicht per DHCP!
Und auch nur bei fester IP bekomme ich die Antwort 192.168.1.1 bei der DNS-Abfrage, bei DHCP sagt er nach wie vor "There aren't any DNS Servers set on Wi-Fi".
-
@banym: Würde das Problem jetzt eher auf den DHCP-Server eingrenzen (da bekommt das MacBook die 192.168.1.179), und dann funktioniert auch Netflix nicht.
Nutze ich eine feste IP (hab am MacBook dafür eine zusätzliche Netzwerkumgebung neben der automatischen angelegt, in der es fest auf die 192.168.1.7 eingestellt ist), funktioniert Netflix problemlos.
-
Muss ich eventuell doch weitere Einträge im DHCP-Server machen?
Das iPad z.B. hat ja kein Problem und bezieht seine IP, die DNS-Einstellungen etc. ebenfalls per DHCP.
Habe den Bereich jetzt mal auf .181-.189 geändert, anbei ein Screenshot.
Wahrscheinlich sollte ich dann DNS-Server und Gateway mal fest eintragen beim DHCP-Server anstatt das frei zu lassen?
-
Mach mal bitte von dem DHCP Bereich für das Interface einen Screenshot.
Hast du da evtl. eine feste Zuweisung und dort einen falschen DHCP Server drin stehen?
Es kann immernoch eine Regel sein, die halt die IP beinhaltet und deswegen der Verkehr geblockt wird. Wenn es nicht super geheim ist, dann evtl. auch mal einen Screenshot der Regeln auf dem Interface bitte.
-
Anbei auch noch einmal wie gewünscht die aktuellen LAN-Regeln.
Da ja alle anderen Geräte hier im Netzwerk machen was sie sollen, also auch auf Netflix kommen (und das MacBook mit fest zugewiesener IP ja auch mittlerweile), können wir die Regeln aber sehr wahrscheinlich wirklich ausklammern als Ursache.
-
Zwei Dinge:
1. Für den Test bitte mal die ganzen DNS Basierten Regeln deaktiveren also die Ganezn Block Regeln. Das verhindert Seiteneffeckte. Evtl. hat es eine private Adresse auf eine der Liste geschafft, und das ist genau die, die Du am MBP bekommst.
-> Alternativ schiebe deine Allow-Regel für die IP die du per DHCP bekommst über die Block-Regeln, dann kannst du das auch ausschließen.
2. Die anderen Geräte bekommen per DHCP auch die Firewall als DNS?
Per default bekommst du die Firewall IP für Gateway und DNS wenn nichts anderes eingetragen ist. Trage doch dort mal einen externen Resolver deiner Wahl ein. Zum test kann es ja auch kurz 1.1.1.1 oder 8.8.8.8 sein. Danach kannst du es ja auf einen deiner Wahl ändern wenn du keinen zur Hand hast.
Ich erstelle persönlich immer eine dedizierte Allow-Regel:
IPv4+6 UDP - LAN NET - 53 - LAN ADDRESS 53
Also alle DNS Anfragen aus dem lokalen LAN auf die lokale LAN ADresse der Firewall erlauben. Die Schiebe ich ganz nach oben, wenn die Firewall DNS machen soll.
-
Regeln hatte ich deaktiviert, das hilft leider nicht. Auch ein 'allow any' für die entsprechende IP ändert das nicht.
Wenn ich den Rechner per DHCP eine IP nehmen lasse (durch einen extra zum Test frisch definierten DHCP-Bereich), mit der ich wenige Minuten vorher problemlos auf Netflix zugreifen konnte (hier als Beispiel die 192.168.1.7), klappt es nicht …
Denn folgendes Phänomen tritt ja auf:
Bei fest zugewiesenen Netzwerk-Einstellungen klappt alles mit dem MacBook, auch die Abfrage networksetup -getdnsservers Wi-Fi gibt dann wie gewünscht 192.168.1.1 aus.
Sobald ich das MacBook aber auf DHCP umstelle, bekomme ich bei der Abfrage networksetup -getdnsservers Wi-Fi eben nicht mehr die 192.168.1.1 als Antwort, sondern ein There aren't any DNS Servers set on Wi-Fi.
Und das ist ja offensichtlich das Problem …
Witzigerweise sieht man im Bereich Systemeinstellungen / Netzwerk / WLAN bei aktiver DHCP-Netzwerkumgebung trotzdem alle (grau dargestellten, also automatisch bezogenen) korrekten Werte: DNS 192.168.1.1 usw.
Und alle anderen Seiten funzen ja, außer eben Netflix.
Das ist doch echt verrückt! :o
-
Jop.
An diesem Punkt sage ich auch es ist dann wohl verrückt.
Probier doch mal dem MAC Book über den DHCP eine feste Zuweiseung mit DNS Server fix eingetragen 8.8.8.8 oder irgendwas zu geben. Dann siehst du ja ob es immer mit DNS nicht funktioniert. Evtl. frist er ja einen anderen DNS über DHCP.
-
Ein Fall für ein Mac-Forum, oder?
-
Ja, denke ich auch mittlerweile, werde da mal eher in meinen Mac-Foren recherchieren.
Danke für Eure Geduld und Unterstützung. :)
scutil --dns ist übrigens noch eine Alternative zum networksetup -getdnsservers Wi-Fi
Da sieht das Ergebnis aber bei beiden Ausgaben identisch aus auf den ersten Blick (also beim Test per fester IP und Test mit per DHCP bezogener IP).
Mit einem beherzten networksetup -setdnsservers Wi-Fi 192.168.1.1 kann man übrigens erreichen, dass dann auch bei DHCP-IP die 192.168.1.1 statt There aren't any DNS Servers set on Wi-Fi zurück kommt bei der networksetup -getdnsservers Wi-Fi Abfrage.
Hilft nur leider nicht …
Wenn ich eine Lösung finden sollte, poste ich diese gerne hier.
-
Hi,
solltest du die Ursache finden, wäre ein Update dennoch interessant.
Bei mir läuft das auch mit ähnlichen Geräten ohne Probleme, wäre nur interessant ob nicht am Ende doch der DHCP was komisches in Kombination mit deinem Gerät veranstaltet.
VG und viel Erfolg.
-
@banym: Klar, ich werde gern berichten, falls sich tatsächlich eine Lösung finden sollte. Bin gespannt.