Tracert - Grundlegende Fragen

[EdwardBlack]

Moin Moin und Hallo,
ich hoffe ich habe das richtige Unterforum erwischt.

Folgendes:
Ich habe zum test einen tracert auf www.google.de abgesetzt, mit folgendem Ergebnis

Ist das so normal oder hat sich womöglich der ein oder andere Trojaner zwischengeschaltet, denn bei tracert www.facebook.de tauchen die IP-Adressen der ersten beiden Netze (also 87.186.224 und 87.190.177) ebenfalls auf. Suspekt.

Ein Reverse Lookup auf diversen Websiten die diesen Dienst anbieten, konnte keine Zuordnung zwischen diesen IP's und einer Domain ausmachen.

Also dachte ich mir ich sperre diese IP-Adressbereiche mit meiner Windows Firewall. (siehe Screenshot)

Anschließend einen ping und tracert ausgeführt. Der Ping war erfolgreich und Tracert hat folgendes ausgespuckt (Screenshot)

Google funktioniert also problemlos, auch wenn all diese Adressen gesperrt sind. Wozu wird sich also überhaupt mit diesen Adressen verbunden?

Falls ich etwas nicht verstanden habe, dann tut es mir leid und ich bitte um Aufklärung

Danke im Voraus für eure Meinungen/Ratschläge hierzu!

 

[TheCadillacMan]

Das ist ganz normal. Die beiden IPs gehören der Telekom und gehören zu deren internen Routing. Ohne das kommst du nicht ins Internet (wie du bereits festgestellt hast).
Per Whois kannst du übrigens herausfinden wem eine IP gehört auch wenn diese keine Webseite ist.

 

[cardinal]

Alles in Ordnung
Hier kannst du ein paar Infos über die IP sehen

Gruß

Edit:
Zu spät

 

[EdwardBlack]

Das ist ganz normal. Die beiden IPs gehören der Telekom und gehören zu deren internen Routing. Ohne das kommst du nicht ins Internet (wie du bereits festgestellt hast).

Erstmal danke für eure Antworten!
Tut mir leid, aber ich habe nie geschrieben das ich dies festgestellt habe? Wie gesagt komme ich auch ins Internet wenn ich diese beiden Adressen sperre, und selbst wenn ich alle Adressbereiche (Edit: bis auf den untersten [173.194.39.15]) die mir tracert auf www.google.de liefert sperre, kann ich immernoch google aufrufen.

Fazit: Es werden unnötige Verbindungen hergestellt.

Deswegen war meine Frage, WESHALB überhaupt zu diesen Adressen eine Verbindung hergestellt wird, wo sie doch offensichtlich garnicht benötigt werden ? (Geht ja schließlich auch wenn diese Adressen durch meine Firewall blockiert werden)

Es ist schon komisch weshalb ich überhaupt noch im Internet surfen kann, obwohl meine Firewall diese Adressen blockiert? Das die Firewall richtig konfiguriert habe, zeigt mir ein ping test auf 87.186.224.123 das "Zeitüberschreitung der Anforderung" liefert sobald ich diese Regel aktiv schalte. Weshalb kann ich also trotzdem surfen ?

Wenn jemand diese Fragen bitte beantworten könnte, würde mir das sehr helfen.

Danke im voraus!

PS: Danke für den Hinweis auf WHOIS

 

[John Reese]

Wo blockierst du die Requests/IPs denn?
Wenn du sie bei dir auf'm PC blockierst, dann nützt das natürlich nix.

Dein Router / Modem leitet alle Requests weiter an die Server von deinem Provider.

Deine Sperre hat also keine Wirkung^^

 

[EdwardBlack]

Wo blockierst du die Requests/IPs denn?
Wenn du sie bei dir auf'm PC blockierst, dann nützt das natürlich nix.

Dein Router / Modem leitet alle Requests weiter an die Server von deinem Provider.

Deine Sperre hat also keine Wirkung^^

Wie gesagt auf der Windows Firewall.
Wenn das wirklich wahr ist, weshalb liefert mir dann ein ping auf eine der blockierten Adressen (z.B: 87.186.224.123) "Zeitüberschreitung der Anforderung"? D.h. die Regel funktioniert, oder etwa nicht ?

Edit: Ich habe außerdem gerade den Bereich "173.194.39.0 - 173.194.39.255" testweise ebenfalls blockiert, und kann Google jetzt wie erwartet nicht mehr aufrufen. Es nützt also sehr wohl etwas @CryNickSystems

 

[Raijin]

Du verstehst das Prinzip von tracert nicht. Mit tracert wird quasi auch ein Ping abgesetzt wie bei 'ping computerbase.de'. Allerdings wird die Lebenszeit des Ping-Pakets auf eine bestimmte Anzahl an Stationen (Hops genannt) begrenzt. Mit TTL (TimeToLive) 1 wird das Paket von deinem Router zum Default Gateway des Providers geschickt, quasi der "Internet Router der Telekom". JEDES Datenpaket wird IMMER über diesen Router des Providers gehen. Dieser Server nimmt nun dein Datenpaket und zieht von der TTL 1 ab. Beträgt die TTL 0 wird das Paket mit einem entsprechenden Hinweis (ICMP 11 Timeout) zur Quelle zurückgeschickt, weil es abgelaufen ist.

TTL 1 => 1. Hop schickt das Paket zurück (Router)
TTL 2 => 1. schickt mit TTL=1 weiter, 2. Hop schickt das Paket zurück (Provider Gateway)
TTL 3 => 1. weiter (TTL=2), 2. weiter (TTL=1), 3. zurück (TTL=0)
...

Die Zieladresse des Pakets ist aber IMMER die IP von computerbase.de (bei tracert computerbase.de) und ist für die Firewall somit vollkommen ok und wird nicht angefasst, weil die Firewall schlicht und ergreifend keine Ahnung hat welchen Weg das Paket nehmen wird. Jede Station selbst weiß nur die nächste Station, nicht aber den Weg danach. Bei einem gezielten Ping auf zB Hop 3, den man geblockt hat, merkt die Firewall aber "hey, das Ziel habe ich geblockt!" und der Ping läuft ins Leere.

Die Zwischenstationen sind aber in 999 von 1000 Fällen vollkommen legitim. Oder glaubst du die Facebook-Server stehen direkt beim Rosa Riesen im Rechenzentrum? Nein, die stehen sonstwo. Wie bei Netzwerken üblich durchläuft ein Datenpaket nun mal diverse Stationen. Dein Router, Provider-Gateway, optional weitere Provider-Server (zB regionale Gateways bis hin zu "globalen" Gateways), um dann z.B auch bei großen Rechenzentren (Unis, etc) zu den Gateways des Zielproviders geleitet zu werden. Durch das Netz des Zielproviders hindurch bis hin zu dem eigentlichen (Web)Server, der dann vielleicht in Timbuktu oder sonstwo steht. Es ist nicht ungewöhnlich, dass ein tracert ~20 Stationen anzeigt.. Sonst müsste der Provider ja zu jedem Webserver auf dieser Erde eine direkte physikalische Leitung haben!

Ergänzung (17. November 2014)

Ein traceroute ist allgemein für einen Laien nicht so einfach zu interpretieren. Die angezeigte Latenz bzw. der Ping zu den Hops ist beispielsweise nur bedingt aussagekräftig. Einige Hops antworten zB gar nicht bzw. verwerfen abgelaufene Pakete kommentarlos. Diese Hops tauchen dann mit "Zeitüberschreitung" in der Liste auf. Andere Hops bearbeiten Pings bzw. deren Antwort mit niedriger Priorität und bevorzugen gerouteten Traffic, diese Latenzen sind dann beispielsweise recht hoch. So kann es sein, dass ein Ping auf google.de nur 20 ms braucht, ein Traceroute zeigt aber mehrere Hops mit >20 ms und vielleicht sogar einen mit >200 ms an, die Summe der Latenzen ist aber NICHT die Pingzeit zum Ziel

 

[EdwardBlack]

Erstmal will ich mich an dieser Stelle bedanken das du dir die Zeit genommen hast mir so ausführlich zu antworten Rajin!

Sei mir nicht böse, aber eines verstehe ich noch immer nicht. Und zwar weshalb kann ich mich zu google verbinden, obwohl ich sämtliche Adressbereiche die mir "tracert www.google.de" geliefert hat, hab sperren lassen ? (Außer wie gesagt der letzten Adresse von Google selbst [173.194.39.15]) Wie ist das möglich ?

Ich schließe daraus das mein Paket unnötige Wege geht, da es ja auch bestens funktioniert wenn diese Adressbereiche gesperrt sind.

 

[BlubbsDE]

Dann hast Du sie einfach nicht erfolgreich gesperrt. Hättest Du die erste und / oder zweite IP erfolgreich gesperrt, dann wäre Dein Internet tot und nichts ginge mehr.

 

[EdwardBlack]

@BlubbsDE, weshalb läuft dann jeder Ping auf die gesperrten Adressbereiche ins Leere wenn die Regel aktiv geschaltet ist?

 

[BlubbsDE]

Die wenigsten Server reagieren auf einen Ping. Gerade Server, die eben keine Webseiten ausliefern reagieren einfach nicht darauf.

Ein nicht beantworteter Ping sagt nur, der Server hat ihn nicht beantwortet. Was eben die meisten auch nicht machen. Es bedeutet aber nicht, der Server ist nicht erreichbar, leistet nicht seinen Dienst.

Ergo, mit dem senden eines Pings kannst Du nicht gegen prüfen, ob Du die Kommunikation mit Server XY verboten hast.

 

[Raijin]

Die Sperre ist an der Stelle so oder so wirkungslos!

Dein PC und somit auch die Firewall sieht nur die Zieladresse (ip von google.de) und die IP des nächsten Gateways (dein Router). Die Firewall checkt nur "Darf ich Daten an die IP von google.de schicken?" und sonst nix. Ist die Antwort ja, dann schickt dein PC ein Paket mit Ziel "google.de" an das Default Gateway (dein Router). Von diesem Moment an hat dein PC nichts, aber auch rein gar nichts mehr mit dem Weg des Pakets am Hut! Der Router leitet das Paket nun seinerseits an sein Default Gateway (Provider) und von diesem Moment an hat auch der Router nichts mehr mit dem Weg des Pakets am Hut!

Das funktioniert wie bei der Post. Du kannst im Postausgang (zB bei der Sekretärin) definieren, dass keine Briefe/Pakete nach Hamburg (ZwischenstationX) geschickt werden dürfen ("Firewall"). Schreibst du nen Brief mit Adresse Hamburg und legst ihn in den Postausgangskorb bzw. auf den Schreibtisch der Sekretärin, sagt sie "Nö, Hamburg (ZwischenstationX) is nich!", die Firewall blockiert. Steht auf dem Brief aber Flensburg (google.de), lässt sie ihn durch und übergibt ihn an den netten Herren von der Post bzw. wirft ihn in den nächsten Briefkasten (Default Gateway). Sitzt die Firma nun zB in Hannover, wird das Postauto mit ziemlicher Sicherheit DURCH Hamburg fahren, weil es DHL schei** egal ist ob DU meinst, dass Hamburg tabu ist, es liegt aber auf dem Weg.

Verstehst du? Dein Firewall-Block ist nur dann wirksam, wenn die ZIELADRESSE der blockierten Adresse entspricht. Wenn aber der Provider meint, trotzdem den Weg durch diesen Server zu nehmen, wird er das auch tun.


Das Routing HINTER deinem Router kannst du IN KEINSTER WEISE beeinflussen. Das einzige was du tun kannst ist, das Default Gateway im Router zu ändern, quasi Providerwechsel. Du übergibst deine Pakete diesem Default Gateway und danach liegt es nicht mehr in deiner Hand ob dein Ping vom Hannover-Büro zur Flensburger Filiale den direkten Weg nimmt oder über Singapur geleitet wird.


Im übrigen ist das das Kernthema der Debatte über das "Nationale Routing". Zur Zeit kann es durchaus sein, dass eine Datenverbindung Hannover<->Flensburg über ein Rechenzentrum in London geleitet wird - weil London in dem Falle eine Mega dicke Verbindung London<->Hannover und London<->Flensburg hat, aber Hannover<->Flensburg sehr dünn ist - oder weil der Provider entsprechende Verträge abgeschlossen hat und der/die Eigner der Verbindung Hannover<->Flensburg doof/teuer ist.. Das nationale Routing soll dem ein Ende setzen und inländische (Daten)Verbindungen direkt herstellen, im Inland ohne potentielle Umwege ins Ausland. Die Briten haben ja eben nicht IN Deutschland spioniert, sondern an den Internetknotenpunkten in GB.


Bezüglich nicht ankommender Pings siehe meine Ergänzung oben. Solch strategisch wichtige Router im Internet reagieren öfters mal nicht auf Pings. Der Datenverkehr in den Rechenzentren ist enorm und Pings werden nachranging oder eben gar nicht behandelt. Das ist nicht ungewöhnlich.

 

[EdwardBlack]

Ein nicht beantworteter Ping sagt nur, der Server hat ihn nicht beantwortet. Was eben die meisten auch nicht machen. Es bedeutet aber nicht, der Server ist nicht erreichbar, leistet nicht seinen Dienst.

Das war mir nicht bekannt, ich bedanke mich für die Aufklärung!

@Rajin,
Großes Dankeschön! Jetzt erscheint alles logisch und meine Frage hat sich somit geklärt =)

Danke an euch alle!