Сайт не доступен с ряда провайдеров, хотя в блоке у РКН его нет. Как так?

Question

[Константин В.]

Добрый день. Вчера заметил что-то странное когда коллеги программисты не смогли подключиться к одному из серверов на hetzner. Я (москва, мгтс, а также москва-мегафон) заходил на адрес нормально, а вот коллега из сибири (теле2), а также из подмосковья (йота) не могли достучаться до айпи.
Я первым делом проверил на наличие блокировки РКН, но там пусто. Я подумал, что хецнер предоставил какой-то битый айпишник, сменил его и все у всех заработало.
А сегодня в нашем уже рабочем приложении перестал работать Лайв чат! Приложение стучится до адреса https://secure.livechatinc.com и даже я (мегафон москва) не могу достучаться до этого айпи. Хотя с ВПН он открывается нормально.
Что происходит?

Comments

[kaboo96]

Интересный вопрос, замечал тоже самое по другим ресурсам. Думал, что проблема в моем интернете.

[Ezhyg]

tracert делать надо! в первую очередь

C:\>tracert secure.livechatinc.com

Трассировка маршрута к e2201.ksd.akamaiedge.net [92.122.80.120]
с максимальным числом прыжков 30:

  1    <1 мс    <1 мс    <1 мс  192.168.1.254
...
  5    21 ms    21 ms    21 ms  sap-b3-link.telia.net [62.115.148.174]
  6    35 ms    35 ms    35 ms  s-bb3-link.telia.net [80.91.249.79]
  7    33 ms    33 ms    33 ms  s-b10-link.telia.net [62.115.119.15]
  8    33 ms    33 ms    33 ms  ae6-0.sth10.core-backbone.com [213.248.77.134]
  9    45 ms    45 ms    44 ms  5.56.19.41
 10    49 ms    50 ms    45 ms  core-backbone.akamai.com [80.255.14.50]
 11    44 ms    44 ms    44 ms  a92-122-80-120.deploy.static.akamaitechnologies.
com [92.122.80.120]

[Константин В.]

Kvalters-MacBook:~ konstantinvalter$ traceroute secure.livechatinc.com
traceroute to e2201.ksd.akamaiedge.net (23.61.242.214), 64 hops max, 52 byte packets
1 172.20.10.1 (172.20.10.1) 1.218 ms 0.831 ms 0.716 ms
2 * * *
3 gprs-internet-client-10.196.sonicduo.com (10.196.25.65) 38.678 ms 22.967 ms 39.913 ms
4 10.77.250.95 (10.77.250.95) 43.982 ms 41.861 ms
10.77.250.93 (10.77.250.93) 44.004 ms
5 10.77.251.167 (10.77.251.167) 29.575 ms 37.484 ms 47.918 ms
6 10.77.245.237 (10.77.245.237) 39.948 ms
10.77.245.239 (10.77.245.239) 53.799 ms
10.77.245.237 (10.77.245.237) 34.412 ms
7 * * *
8 * * *
9 * * *
10 * * *
11 * * *
12 * * *
13 * * *
14 * * *
15 * * *
16 * * *
17 * * *
18 * * *
^C

[Сергей delphinpro]

Проверьте на каком IP висит сайт. 100% данный IP есть в блоке.
Пишите письма в РКН с описанием ситуации и требованием пересмотреть основание блокировки. Это, конечно, не поможет. Но ведь хоть что-то делать нужно.

spoiler

[АртемЪ]

Сергей delphinpro,

Проверьте на каком IP висит сайт. 100% данный IP есть в блоке.

Скорее всего этот IP будет маршрутизатором провайдера, который не знает куда слать пакет, только и всего.

[Константин В.]

Да, действительно. Когда делаю traceroute с провайдера Мегафон, то вижу айпи, который в блоке. А если делаю тоже самое с вифи, то уже другой айпи, который не в блоке.. как так?

https://yadi.sk/i/NcsXDKrmf_utEA

[pfg21]

да странно под линухой
$ traceroute secure.livechatinc.com
traceroute to secure.livechatinc.com (2.22.238.159), 30 hops max, 60 byte packets
1 10.0.0.3 (10.0.0.3) 0.480 ms 0.674 ms 0.531 ms
2 212.48.159.1 (212.48.159.1) 1.071 ms 1.006 ms 0.837 ms
3 176.192.224.249 (176.192.224.249) 1.988 ms 1.164 ms 1.958 ms
4 212.1.253.119 (212.1.253.119) 30.488 ms 30.197 ms 29.992 ms
5 s-b2-link.telia.net (213.248.93.109) 30.325 ms 30.077 ms 30.155 ms
6 s-bb3-link.telia.net (62.115.136.22) 30.409 ms s-bb4-link.telia.net (62.115.136.34) 30.759 ms s-bb3-link.telia.net (62.115.133.28) 29.834 ms
7 s-b5-link.telia.net (62.115.119.111) 29.646 ms s-b5-link.telia.net (62.115.142.217) 30.237 ms s-b5-link.telia.net (213.155.133.17) 30.216 ms
8 * * *
9 * * *
10 * * *
11 * * *
12 * * *

на соседней машине с виндой.

>tracert secure.livechatinc.com

Трассировка маршрута к e2201.ksd.akamaiedge.net [2.22.238.159]
с максимальным числом прыжков 30:

1 8 ms <1 мс <1 мс 10.0.0.3
2 <1 мс <1 мс <1 мс 212.48.159.1
3 1 ms <1 мс <1 мс 176.192.224.249
4 29 ms 29 ms 29 ms 212.1.253.119
5 29 ms 28 ms 28 ms s-b2-link.telia.net [213.248.93.109]
6 29 ms 28 ms 28 ms s-bb3-link.telia.net [62.115.114.166]
7 29 ms 29 ms 29 ms s-b5-link.telia.net [213.155.133.17]
8 28 ms 28 ms 28 ms a2-22-238-159.deploy.static.akamaitechnologies.com [2.22.238.159]

Трассировка завершена.

[Алексей Голобоков]

IP-адрес e2201.ksd.akamaiedge.net (23.61.242.214) в явном виде есть в реестре РКН
Номер основания внесения в реестр: 27-31-2018/Ид2971-18
Блокировка по сетевому адресу: 23.61.242.214
Дата появления записи в БД:: 02.08.2019 14:21
Кому не повезет и домен secure.livechatinc.com отресолвится в этот ip-адрес - у того и не должно работать.

Answer 1

[Константин В.]

Вопрос закрыт. Ответ тут:

Алексей Голобоков @AVG75
IP-адрес e2201.ksd.akamaiedge.net (23.61.242.214) в явном виде есть в реестре РКН
Номер основания внесения в реестр: 27-31-2018/Ид2971-18
Блокировка по сетевому адресу: 23.61.242.214
Дата появления записи в БД:: 02.08.2019 14:21
Кому не повезет и домен secure.livechatinc.com отресолвится в этот ip-адрес - у того и не должно работать.

Answer 2

[EVGENY T.]

Бывает так, что какой-то из провайдеров на пути к хосту блокирует запросы с диапазонов ip-адресов, из-за вредоносной активности с них.

Comments

[Константин В.]

А что же делать? Я писал в мегафон, они сказали, что проблема на стороне адреса куда я стучусь.. но там точно нет проблем, ведь с впн нормально же заходится. Как доказать провайдеру, что проблема на его стороне?

[pfg21]

Константин, еще б, проще прову отмахаться чем вдуматся.
собираешь доказательную базу что доступ закрыт где-то в прове :)
листинги пинга, трейсроут и все такое.
при этом сравниваешь это с доступом от дрругого провайдера, а друг косяк еще где-то.
потом говоришь "ща уйду и громко хлопну дверью" и отсылаешь листинги прову а лучше светишь гденить на форуме.
ответственные зады завертятся несколько по-другому.

[MegaFon_Help]

Константин, напишите, пожалуйста, нам в личные сообщения группы https://vk.com/megafon, все детально проверим.

Answer 3

[АртемЪ]

Маршрута нет скорее всего. В пиринге часто встречается.

Comments

[Дима Соколов]

Это как?

[АртемЪ]

Дима Соколов, А вот так.
Например есть крупный город, например Новосибирск.
Там есть несколько провайдеров - ростелеком, транстелеком, билайн, несколько местных, которые ареднуют каналы у первой тройки.

У всех провайдеров есть куча абонентов, эти абоненты не только ходят на сервера скажем Москвы, или Питера, но и обмениваются трафиком с абонентами другого провайдера на соседней улице.
Провайдерам не очень выгодно гонять трафик до Москвы и обратно, загружая магистральные каналы, и они договариваются о пиринге. В результате весь трафик адресованный абонентам местных провайдеров идет не через Москву, а через местную точку обмена трафиком.
Просто прописывают маршруты - трафик на такие-то адреса, должен идти через местную точку обмена.

И вот тут затык и случается - один провайдер пропишет, трафик пойдет напрямую ко второму провайдеру, а второй провайдер забудет прописать, в результате ответ пойдет уже через Москву, придет на другой маршрутизатор, где его никто не ждет, и там будет уничтожен. В итоге регулярно возникают ситуации когда от одного провайдера невозможно достучаться до определенных адресов принадлежащих другому провайдеру.
Приходится звонить, по полчаса общаться с техподдержкой.

Ну это частный случай.
Бывают и другие, суть всегда одна - какой то провайдер намудрил с маршрутизацией.
Надо выяснить какой, а потом долго и нудно капать ему на мозги чтобы поправил.
Физлицу обычно капать на мозги провайдеру не получитсься - провайдер вежливо пошлет подальше да и все. Ибо лень.