Puerto 53 bloqueado desde otras redes

[tecnosis]

Buenas tardes.

Hemos contratado hace pocos meses una nueva línea con Movistar. Hemos observado que, desde otras redes que no pertenezcan a Telefónica/Movistar, no es posible acceder al puerto 53 TCP/UDP (que, lógicamente, hemos configurado el NAT para que llegue a un servidor DNS).

El puerto 53 TCP/UDP está correctamente mapeado en NAT.

Solicitamos que se desbloquee el acceso al puerto 53 UDP desde redes de otros operadores.

Tenemos los datos a mano para pasarlos por mensaje privado si es necesario.

¿Cómo sabemos que sucede este problema?

Porque el resultado del siguiente comando nmap varía según si se ejecuta desde un PC que tenga acceso a internet de Movistar o de otro operador.

Desde Movistar:

sudo nmap -sU -p 53 XXX.XXX.XXX.XXX
Starting Nmap 7.70 ( https://nmap.org ) at 2019-07-23 18:50
Nmap scan report for XXX.XXX.XXX.XXX
Host is up (0.0051s latency).
rDNS record for XXX.XXX.XXX.XXX: ZZZ.ZZZ
 
PORT STATE SERVICE
53/udp open domain
 
Nmap done: 1 IP address (1 host up) scanned in 22.03 seconds

Desde otro operador:

sudo nmap -sU -p 53 XXX.XXX.XXX.XXX
Starting Nmap 7.70 ( https://nmap.org ) at 2019-07-23 11:40
Nmap scan report for XXX.XXX.XXX.XXX
Host is up (0.22s latency).
rDNS record for XXX.XXX.XXX.XXX: ZZZ.ZZZ

PORT   STATE         SERVICE
53/udp open|filtered domain

Nmap done: 1 IP address (1 host up) scanned in 2.84 seconds

La diferencia está en que desde otro operador se obtiene "filtered". Claro está, también sucede que desde otro operador no es posible realizar consultas DNS y desde dentro de la red de Movistar sí es posible.

Saludos cordiales.

[Técnico-Movistar]

Hola tecnosis ,

con el fin de solicitar la gestión para tu línea por favor remítenos un mensaje privado con los siguientes datos: número de línea fija, DNI, nombre y apellidos, domicilio de instalación,número móvil de contacto, dominio y la IP estática.

Puedes hacerlo pinchando en el siguiente enlace.

En espera de tu respuesta dejamos este hilo abierto.

Un saludo,

Víctor

[tecnosis]

Ya hemos enviado el mensaje privado. Gracias y saludos.

[Técnico-Movistar]

Hola tecnosis ,

no hemos recibido el dominio.

Puedes hacerlo pinchando en el siguiente enlace.

En espera de tu respuesta dejamos este hilo abierto.

Un saludo,

Víctor

[tecnosis]

Buenas tardes @Técnico-Movistar, ya hemos respondido con el dato que faltaba.

Gracias y saludos.

[tecnosis]

Buenas tardes.

Han llamado a la persona de contacto para "abrir el puerto en el router", es decir, configuración NAT en el módem-router instalado en nuestra ubicación. Esto no es lo que nosotros hemos solicitado; ustedes no nos han entendido. Es más, eso ya está hecho.

Lo que sucede es que Movistar realiza un bloqueo del puerto 53 UDP cuando se accede desde redes de otras operaciones (cuando se realizan consultas de resolución de DNS). Está comprobado y demostrado si se lee con detalle el primer mensaje. Además de que hay muchos otros usuarios que hacen la misma petición debido al mismo problema en este foro.

Nos sorprende tremendo error por parte de Movistar, cuando en el pasado ya han realizado esta operación para otras líneas que tenemos con vosotros.

Os hemos enviado un mensaje privado con más detalles.

saludos.

[tecnosis]

Buenas tardes.

¿Cuál es la situación respecto a nuestra petición en relación con este problema?

Observamos que el puerto 53 UDP sigue estando bloqueado desde otras redes.

Lo hemos verificado desde varias redes ajenas a Movistar (Telefónica de España), tanto nacionales como internacionales, estando entre ellas las redes de los siguientes operadores:

• Telecable Inversiones S.L. 
• Orange Espagne SA
• Comcast Cable Communications, LLC
• America Movil Peru S.A.C. 
• Telefonica del Peru S.A.A.
• Electrovideo Utrera S.A.

En todos estos casos, al intentar realizar peticiones de resolución DNS (con nslookup, por ejemplo), se obtiene un "timeout" por imposibilidad de realizarse la comunicación a través del puerto 53 UDP. Del mismo modo, al realizar la prueba del nmap especificada arriba, se obtiene como resultado "filtered" en lugar de "open".

Otro indicador de que este problema es real es que varios servicios web dedicados a comprobar el estado de servidores DNS declaran que nuestro servidor DNS (que se encuentra en la línea de Movistar para la cual estamos realizando esta petición) no ofrece respuesta. Una de estos servicios es https://dnssec-analyzer.verisignlabs.com/

Solicitamos que atiendan nuestra petición de retirada del filtrado del puerto 53 UDP.

En el pasado ustedes han atendido a esta misma petición de manera satisfactoria para otras líneas que tenemos con Movistar. No comprendemos por qué ahora no la están atendiendo.

Saludos.

[tecnosis]

Buenas tardes.

Otra vez nos han vuelto a llamar para "abrirnos los puertos en el router". Otra vez no se está entendiendo en absoluto lo que estamos pidiendo. Otra vez no se está entiendo el problema que Movistar crea a sus clientes con sus políticas de bloquear servicios violando la neutralidad de la red.

Esto está alcanzando cotas ridículas. Fíjense en qué día hemos realizado nuestra petición original y todavía no está resuelta.

Tras explicaciones por nuestra parte, la persona que nos ha atendido al teléfono ha "elevado" el caso creando una "avería". Dice que nos volverán a llamar.

Seguiremos a la espera, pero esto es bochornoso.

[Técnico-Movistar]

Hola @tecnosis !

En primer lugar, pedirte disculpas por la demora en atender tu caso.

Vamos reportar el caso al departamento correspondiente para que puedan ayudarte.

Gracias, un saludo, Mar.

[tecnosis · Accepted solution]

Hola @Técnico-Movistar , no hace falta. Ya ha sido resuelto.

Ayer nos llamaron, otra vez, para "abrir los puertos del router". A la persona que llamó le explicamos, otra vez, que ese no es el problema. Esta persona pareció entender lo que le pedíamos, y dijo que "elevaría" el caso.

Esta mañana observamos que ya estaba resuelta la situación.

Así que por fin se ha atendido a nuestra petición y el puerto 53 UDP no está bloqueado.

Gracias y saludos.