Proxy will nicht

[Louis Noser]

Hallo

Ich möchte temporär über einen Proxyserver surfen.

Vorgenommene Einstellungen:

Windows 11, Proxy:
Einstellungen automatisch erkennen: Aus
Manuelle Proxyeinrichtung:
Proxyserver verwenden: Ein
Proxy-IP-Adresse 103.149.162.195
Port 80
-> Proxy-Typ "anonymous" von https://free-proxy-list.net/

am Terminal:
netsh winhttp show proxy
eingegeben ergibt die Ausgabe:
"Aktuelle WinHTTP-Proxyeinstellungen:
DirectAccess (kein Proxyserver)."

https://de.infobyip.com/detectproxy.php
meldet: "Es konnte kein Proxy festgestellt werden."

Warum werden die Proxy-Einstellungen nicht aktiv?

(PC-Neustart ohne Wirkung)

Vielen Dank.

Grüsse
Louis

[Marco Moock]

Am Samstag, 13. August 2022, um 23:25:50 Uhr schrieb Louis Noser:

> https://de.infobyip.com/detectproxy.php
> meldet: "Es konnte kein Proxy festgestellt werden."
>
> Warum werden die Proxy-Einstellungen nicht aktiv?

Das sind 2 paar Stiefel.
Beim HTTP-Proxy gibt es HTTP-Header, die man prüfen kann.

| Proxy-Detektor (auch bekannt als Proxy-checker ) funktioniert durch
| Testen auf HTTP-Header die üblicherweise von Proxy-Servern gesetzt
| werden.

Diese Header kann man aber auch weglassen (nicht RFC-konform).
Teste daher mal bitte, was https://myip.is/ als IP anzeigt.
Ist das deine öffentliche IPv4 bzw. IPv6, dann tut der Proxy nicht. Ist
es eine andere Adresse, tut der Proxy.

Gerne werden die Header weggelassen, damit man nicht erkennt, dass es
ein Proxy ist. Zudem sperren einige Seiten Proxys aus (ohne wirklichen
Grund).

[Louis Noser]

Also sprach Marco Moock am 14.08.2022 um 07:24:

> Teste daher mal bitte, was https://myip.is/ als IP anzeigt.
> Ist das deine öffentliche IPv4 bzw. IPv6, dann tut der Proxy nicht. Ist
> es eine andere Adresse, tut der Proxy.

Der Proxy scheint mir zu tun.

Ausgabe Router in der "Heimnetzwerk-Übersicht":
Internet-Box 2 (Name Router):
Internet IP-Adresse 188.63.34.183
IPv6-Adresse 2a02:1210:1880:aa00:1e24:cdff:fe6d:9760
Lokale IP-Adresse 192.168.1.1
Applikationsteil IP-Adresse 192.168.1.220

Ausgabe https://myip.is/:
Your IP address is: 2a02:1210:1880:aa00:c4d6:9e6b:5b49:a2ea
Your Hostname is: 2a02:1210:1880:aa00:c4d6:9e6b:5b49:a2ea
The IP used to connect to this webserver is
2a02:1210:1880:aa00:c4d6:9e6b:5b49:a2ea

Ich nehme also an, dass der Proxy funktioniert und also die Sperrung von
Diensten einer bestimmten Website, die ich aufheben wollte, nicht über
die Abfrage der IP-Adresse realisiert ist.

>> Gerne werden die Header weggelassen, damit man nicht erkennt, dass es
>> ein Proxy ist. Zudem sperren einige Seiten Proxys aus (ohne wirklichen
>> Grund).

Wenn also der Proxy funktioniert und
https://de.infobyip.com/detectproxy.php *keinen* Proxy erkennt, heisst
das, dass der Proxy den HTTP-Header nicht gesetzt hat und also nicht als
solcher erkannt werden kann. Richtig?

Die (temporäre) Sperrung der konkreten Website ist zwar nun mittlerweile
aufgehoben, weil genug Zeit verstrichen. Das heisst, der Dienst
funktioniert wieder, trotz (immer noch) dazwischen geschaltetem Proxy.

Es würde mich aber trotzdem interessieren, wie man eine Sperrung ausser
mittels Cookies, Abfrage von MAC- oder IP-Adresse oder Proxy-Erkennung
realisieren kann (denn ich habe nun alle 4 getestet).

Gibt es denn noch andere Methoden, um einen Client zu erkennen und von
Diensten auszuschliessen?

Grüsse
Louis

[Andreas Neumann]

Louis Noser wrote:

> Gibt es denn noch andere Methoden, um einen Client zu erkennen und von
> Diensten auszuschliessen?

Das Stichwort dazu heißt Fingerprinting.

[Laurenz Trossel]

On 2022-08-14, Louis Noser <louis...@gmx.ch> wrote:

> Ausgabe Router in der "Heimnetzwerk-Übersicht":

> IPv6-Adresse 2a02:1210:1880:aa00:1e24:cdff:fe6d:9760

> Ausgabe https://myip.is/:
> Your IP address is: 2a02:1210:1880:aa00:c4d6:9e6b:5b49:a2ea
>

> Ich nehme also an, dass der Proxy funktioniert

Der IPv4-Proxy wurde nicht verwendet, da die Verbindung über deine
IPv6-Adresse zustande kam.

[Bonita Montero]

Am 14.08.2022 um 07:24 schrieb Marco Moock:
> Am Samstag, 13. August 2022, um 23:25:50 Uhr schrieb Louis Noser:
>
>> https://de.infobyip.com/detectproxy.php
>> meldet: "Es konnte kein Proxy festgestellt werden."
>>
>> Warum werden die Proxy-Einstellungen nicht aktiv?
>
> Das sind 2 paar Stiefel.
> Beim HTTP-Proxy gibt es HTTP-Header, die man prüfen kann.

Da wg. SSL i.d.R. die CONNECT-Methode genutzt wird eigentlich nicht.

[Louis Noser]

Also sprach Laurenz Trossel am 14.08.2022 um 10:13:

> Der IPv4-Proxy wurde nicht verwendet, da die Verbindung über deine
> IPv6-Adresse zustande kam.

Die öffentliche IPv6 gemäss Router ist

2a02:1210:1880:aa00:1e24:cdff:fe6d:9760

Die öffentilche IPv6 gem. https://myip.is/ ist

2a02:1210:1880:aa00:c4d6:9e6b:5b49:a2ea

Bedeutet dies nicht, dass für myip.is die Gegenseite der Proxy ist?

Grüsse
Louis

[Marco Moock]

Am Sonntag, 14. August 2022, um 10:51:23 Uhr schrieb Louis Noser:

> Die öffentliche IPv6 gemäss Router ist
> 2a02:1210:1880:aa00:1e24:cdff:fe6d:9760

Das ist die vom Router, du musst verstehen, dass die Router-IP nur bei
IPv4 mit dem nervigen NAT relevant ist. Bei IPv6 gibt es den NAT-Mist
nicht mehr und daher ist da die IPv6 vom PC relevant.

> Die öffentilche IPv6 gem. https://myip.is/ ist
> 2a02:1210:1880:aa00:c4d6:9e6b:5b49:a2ea

Das ist die vom PC. Sind beide im gleichen /64er-Netz.

> Bedeutet dies nicht, dass für myip.is die Gegenseite der Proxy ist?

Nein, für myip.is ist dein PC die Gegenseite, dessen IP erscheint da.
Prüfe, ob der Proxy aktiv ist, auch für HTTPS-Verbindungen.

Dann teste nochmal.

[Marco Moock]

Am Sonntag, 14. August 2022, um 10:40:06 Uhr schrieb Bonita Montero:

> Da wg. SSL i.d.R. die CONNECT-Methode genutzt wird eigentlich nicht.

Dann bindet man zur Prüfung eine HTTP-Ressource ein. Wäre dann nur die
Frage, ob das im rahmen von mixed content zugelassen wird oder nicht.

[Louis Noser]

Also sprach Marco Moock am 14.08.2022 um 11:02:

> ...Bei IPv6 gibt es den NAT-Mist

> nicht mehr und daher ist da die IPv6 vom PC relevant.

Bedeutet dies, dass der Router nicht mehr in einer Liste nachschauen
muss, wem er ein bestimmtes Päckchen weiterreichen muss, weil jedes
Gerät *nach* dem Router eine eigene öffentliche IPv6 hat?

[Peter J. Holzer]

On 2022-08-14 10:02, Louis Noser <louis...@gmx.ch> wrote:
> Also sprach Marco Moock am 14.08.2022 um 11:02:
>> ...Bei IPv6 gibt es den NAT-Mist nicht mehr

Das stimmt nicht ganz, aber die Wahrscheinlichkeit, dass es irgendwo
sinnvoll eingesetzt wird, ist eher klein.

>> und daher ist da die IPv6 vom PC relevant.
>
> Bedeutet dies, dass der Router nicht mehr in einer Liste nachschauen
> muss, wem er ein bestimmtes Päckchen weiterreichen muss,

Jein.

> weil jedes Gerät *nach* dem Router eine eigene öffentliche IPv6 hat?

Ja.

hp

[Louis Noser]

Also sprach Peter J. Holzer am 14.08.2022 um 12:53:

>> Bedeutet dies, dass der Router nicht mehr in einer Liste nachschauen
>> muss, wem er ein bestimmtes Päckchen weiterreichen muss,
>
> Jein.

Hieraus vermute ich, dass der Router zwar noch in einer Liste
nachschauen muss, aber nicht mehr, um den schlussendlichen Empfänger zu
eruieren, was bei IPv4 imho der Fall ist.

Grüsse
Louis

[Marco Moock]

Am Sonntag, 14. August 2022, um 12:02:05 Uhr schrieb Louis Noser:

> Bedeutet dies, dass der Router nicht mehr in einer Liste nachschauen
> muss, wem er ein bestimmtes Päckchen weiterreichen muss, weil jedes
> Gerät *nach* dem Router eine eigene öffentliche IPv6 hat?

Die zustandsbehaftete Adressübersetzung (stateful NAT) fällt bei IPv6
weg (ist zwar möglich, macht aber fast keiner).
Trotzdem gibt es noch das Pendent zu ARP - NDP. Auch hier muss die
MAC-Adresse zur Adresse rausgefunden werden, aber das nur 1x in ein
paar Stunden.

[Marco Moock]

Am Sonntag, 14. August 2022, um 13:42:45 Uhr schrieb Louis Noser:

> Hieraus vermute ich, dass der Router zwar noch in einer Liste
> nachschauen muss, aber nicht mehr, um den schlussendlichen Empfänger
> zu eruieren, was bei IPv4 imho der Fall ist.

Das musst du mehr differenzieren. Sowohl bei IPv4 als auch IPv6
benötigt man zum Transport über Ethernet eine MAC-Adresse. Das kann die
MAC des eigentlichen Ziels sein (z.B. wenn du direkt deinen Router
ansprichst) oder die MAC eine Routers, der das Paket dann weiterschickt.
Das hat man bei IPv6 auch, nennt sich NDP und basiert auf ICMPv6. Bei
IPv4 war das ARP, das ist ein separates Ethernet-Protokoll, was
speziell für IPv4 geschaffen wurde. Bei IPv6 ist das in ICMPv6
im NDP integriert.

Dann haben viele Router noch eine SPI-Firewall, die ist aber optional.
Da muss natürlich geschaut werden, ob ein eingehendes Paket vorher
angefordert wurde. Das gibt es auch bei IPv6.

[Peter J. Holzer]

Ich muss schon wieder mit Jein antworten.

Wie Marco schon angemerkt hat, muss die IP-Adresse auf jeden Fall in
eine MAC-Adresse übersetzt werden, wenn das Paket über Ethernet
versendet werden soll. In dieser Liste (die über ARP (IPv4) oder NDP
(IPv6) befüllt wird) muss der Router also auf jeden Fall nachsehen.
Ebenfalls auf jeden Fall muss er in der Routing-Tabelle nachsehen, um zu
wissen, über welches Interface er das Paket überhaupt rausschicken soll
(das ist die primäre Aufgabe eines Routers).

Wenn Du NAT aktiviert hast (was bei IPv4 oft (aber *nicht immer*) der
Fall ist, bei IPv6 praktisch nie), kommt vorher noch ein Schritt dazu:
Das übersetzen von einem (IP-Adresse/Port)-Tupel in ein anderes .

In einem Fall hast Du also 2 Listen, im anderen 3. (und in der Praxis
kommen meistens noch ein paar dazu, aber wir wollen das nicht
überkomplizieren)

hp

[Louis Noser]

Also sprach Marco Moock am 14.08.2022 um 11:02:

> Prüfe, ob der Proxy aktiv ist, auch für HTTPS-Verbindungen.
>
> Dann teste nochmal.

Folgende Einstellungen funktionieren leider nicht:

Windows 11, Proxy-Einstellungen (Screenshot):
https://workupload.com/file/yFeJZJTJFTk

Firefox-Verbindungseinstellungen (Screenshot):
https://workupload.com/file/EWGkde8Nuev

Meldung Browser bei Aufruf irgendeiner Website:
"Fehler: Gesicherte Verbindung fehlgeschlagen"

Diese Meldung wird auch angezeigt, wenn ich den Proxy auf Windows-Ebene
deaktiviere.

Komisch, mich dünkt, es gab mal eine Zeit, wo das Einrichten eines
Proxys einfacher war. Denn vor vielleicht 15 Jahren kriegte ich das
alleine gebacken.

Vielen Dank für Hinweis, warum das nicht funktioniert.

Grüsse
Louis

[Marco Moock]

Am Sonntag, 14. August 2022, um 18:43:37 Uhr schrieb Louis Noser:

> Meldung Browser bei Aufruf irgendeiner Website:
> "Fehler: Gesicherte Verbindung fehlgeschlagen"

Liegt am Proxy, kommt bei mir auch.

> Diese Meldung wird auch angezeigt, wenn ich den Proxy auf
> Windows-Ebene deaktiviere.

Dann kommt es drauf an, wie FF konfiguriert ist. Steht der auf manuell
ignoriert der inetcpl.cpl in Windows.

> Komisch, mich dünkt, es gab mal eine Zeit, wo das Einrichten eines
> Proxys einfacher war. Denn vor vielleicht 15 Jahren kriegte ich das
> alleine gebacken.

Der Proxy tut hier nicht, das ist das Problem, eingerichtet hast du den.

[Marc Haber]

Marco Moock <mo...@posteo.de> wrote:
>Trotzdem gibt es noch das Pendent zu ARP - NDP. Auch hier muss die
>MAC-Adresse zur Adresse rausgefunden werden, aber das nur 1x in ein
>paar Stunden.

Der Defaultzeitraum, nach dem ein Neighbor-Cache-Eintrag von REACHABLE
in STALE wechselt, liegt IIRC bei 30 Sekunden. Der Timer wird
allerdings auch zurückgesetzt, wenn die upper layer protocols einen
Hint mitteilen, nachdem die Verbindung zu dieser Gegenstelle "forward
progress" machen. Und auch ein STALE-Eintrag wird zunächst erstmal
weiter benutzt.

Man hat sich bei der Definition des NDP (RFC4861) deutlich mehr
Gedanken gemacht als 30 jahre vorher bei ARP.

Grüße
Marc
--
-------------------------------------- !! No courtesy copies, please !! -----
Marc Haber | " Questions are the | Mailadresse im Header
Mannheim, Germany | Beginning of Wisdom " |
Nordisch by Nature | Lt. Worf, TNG "Rightful Heir" | Fon: *49 621 72739834

[Louis Noser]

Also sprach Andreas Neumann am 14.08.2022 um 09:45:

> Das Stichwort dazu heißt Fingerprinting.

Wenn die Dienste einer Seite für Firefox gesperrt sind, jedoch nicht für
zB. Microsoft Edge, deutet das auf Browser-Fingerprinting hin?

Ich hatte etwas viel Dokumente, die ich mit http://online2pdf.com/
konvertieren und zusammenfügen wollte, weshalb die Site den Dienst
mehrmals unterbrochen hatte, was ich mit einem Proxy umgehen wollte
(habe ich nicht weiter verfolgt, weil die ausprobierten offenen Proxies
nicht funktionieren wollten). Ich habe jetzt testhalber - auf Firefox -
nochmals die erwähnte Sperrung provoziert. Auf Microsoft Edge jedoch,
gleich auf die Sperrung hin ausprobiert, arbeitet der Dienst, was für
mich auf eine Browser-bezogene Sperrung hindeutet.

Darf ich eine oT-Frage zu Browser-Fingerprinting stellen?

Erhält der Webserver vom Browser eine Rückmeldung über die Anzeige bzw.
Ausführung einer Site?

Auf
https://www.avast.com/de-de/c-what-is-browser-fingerprinting#topic-2
steht u.a., dass der Browser zB. angewiesen wird, ein (verstecktes, d.h.
für den User nicht sichtbares) Bild oder einen Text darzustellen,
genannt Canvas-Fingerprinting, und [der Server?] daraus die Schriftart,
die Grafikkarte, den Treiber und anderes ableiten kann.

Bis jetzt dachte ich, dass der Browser vom Server eine HTML-Seite kriegt
und der Server danach keine Rückmeldung vom Browser erhält über die
clientseitige Ausführung.

Damit der Server zB. die Grafikkarte des Clients erfährt, ist eine
Rückmeldung des Browser aber nötig, imho.
Oder ist die Rückmeldung Browser->Server ein Merkmal von HTML5?

Vielen Dank.

Grüsse
Louis

[Marco Moock]

Am Dienstag, 16. August 2022, um 14:32:49 Uhr schrieb Louis Noser:

> Wenn die Dienste einer Seite für Firefox gesperrt sind, jedoch nicht
> für zB. Microsoft Edge, deutet das auf Browser-Fingerprinting hin?

Es gibt da haufenweise Möglichkeiten. Einmal schicken Browser den
suer-Agent samt Versionsstring mit. Anhand dessen kann man z.B. Chrome
aussperren, aber IE zulassen. Den kann man aber ändern.
Dann gibt es Cookies, da kann ein Webserver was drin schicken und dein
Browser speichert das dann. Der Server bekommt dann beim nächsten
Aufruf die Daten wieder geschickt.
Pro Browser gibt es einen Cookie-Speicher. Kann an löschen.

> Erhält der Webserver vom Browser eine Rückmeldung über die Anzeige
> bzw. Ausführung einer Site?

Kann man einrichten.

> Bis jetzt dachte ich, dass der Browser vom Server eine HTML-Seite
> kriegt und der Server danach keine Rückmeldung vom Browser erhält
> über die clientseitige Ausführung.

Das ist im einfachsten Fall so, es gibt aber JavaScript die Option,
Skripte auf dem PC auszuführen. Dann gibt es PHP-Skripte, bei denen der
Browser aktiv was zurückmeldet, z.B. bei einem Formular.