Molly und RethinkDNS - Verbindungsprobleme und komische Verbindungen

Support
, ,
1

Guten Tag in die Runde,

ich habe vor kurzem Mal einen genaueren Blick auf Signal geworfen, weil mir das dauernde Jammern meiner Kontakte „ich sei so schwer zu erreichen“ auf den Wecker ging (obwohl ich jederzeit per Mail, XMPP, Matrix oder Telefon erreichbar bin… :smiley: ). Anyway, nach kurzem Testen der offiziellen App, hab ich direkt mal auf Molly gewechselt (aus dem F-Droid Molly-Foss repo). Die Unified push Configuration hat gut funktioniert (Conversations als Distributor). Alles war soweit ok, Nachrichten Senden+Empfangen + Anrufe.

Jetzt zu meinem Problem: Ich habe dann RethinkDNS reaktiviert (war wärend der Tests aus, um Probleme auszuschließen). Jetzt gehen Nachrichten in Molly weder ein noch aus (der interne Verbindungstest schlägt auch fehl). Und das, obwohl keine Einschränkungen für Molly aktiviert sind. Der einzige Unterschied, den ich so ohne weiteres sehe ist die Nutzung des DoT-Servers, den ich in Rethink eingetragen hab (dnsforge). Der funktioniert mit allem anderen einwandfrei.
Wie kann ich rausfinden, warum das mit Molly nicht klappt?

Außerdem habe ich in den Logs ein paar komische Verbindungen von Molly gesehen, die ich nicht erwartet hätte, unter anderem zu:

-vier verschiedenen Google Domains
-redditstatic
-pinterest

Das kommt mir alles etwas komisch vor. Hat jemand Molly-FOSS am laufen, und nutzt auch Rethink? Wenn ja, klappt das ohne Verbindungsprobleme? Und tauchen bei euch auch die genannten Verbindungen auf?

Danke und Grüße

2

Ich habe beides am Laufen. Allerdings nicht Unified Push, weil es ein gekoppeltes Gerät ist, sondern WebSocket. Die von dir genannten Verbindungen konnte ich bei Molly nicht beobachten. Vielleicht sind sie von Rethink falsch zugeordnet. Kommt ja öfter mal vor. Oder jemand hat dir irgendwelche Links zu diesen Domains geschickt, dann könnte es das Holen der Vorschau gewesen sein. Der einzige Unterschied zu mir ist, dass ich derzeit nicht DNSForge als DNS-Resolver nutze, sondern Hagezi. Ich habe aber auch schon oft DNSForge genutzt und nie Probleme damit gehabt. Bei mir kommen Nachrichten jedenfalls problemlos an und ich kann auch welche verschicken.

3

Hm, danke für die Idee. Ich kann mir eine Falschzuordnung allerdings schlecht vorstellen. Zum Einen habe ich diese Verbindungen erst nach der Molly installation bemerkt (klar, kann ich natürlich übersehen haben), zum Anderen habe ich in diesem Zeitraum keine entsprechenden Links bekommen oder versendet (ich habe nur zwei Test-Kontakte, an die „normale“ Nachrichten versendet wurden+ein Anruf).

In den Logs der letzten 24h tauchen die DNS-Anfragen vielfach auf:
-github.githubassets.com 84x
-pinterest.com 81x
-www.redditstatic.com 66x
-www.google.com 50x
-android.clients.google.com 50x
-clients4.google.com 49x
-googlemail.com 47x
-clients3.google.com 43x
alles andere sind signal.org Verbindungen…

4

Das ist ja wirklich total merkwürdig. Ich kann mich erinnern, als ich Molly ganz neu installiert hatte, gab es auch ein paar Verbindungsversuche zu Google-Servern. Die wurden bei mir aber schon durch die Blocklist No Google blockiert. Ich habe es am Anfang darauf geschoben, dass ich ja damals WebSocket noch nicht ausgewählt hatte und vielleicht automatisch wegen Firebase Messaging versucht wurde, Verbindungen herzustellen. Inzwischen habe ich keinerlei Verbindungsversuche mehr zu Google Servern.

5

Mit ein bisschen Testen habe ich zumindest die zweite Hälfte meiner Frage beantwortet:
Die seltsamen Verbindungen (s.o.) kommen von der Einstellung zur Censorship Circumvention (vielleicht sowas wie Zensur Umgehung in der deutschen UI). Die ist leider je nach Internet-Verbindung nötig in dem Land, in dem ich aktuell lebe. Eine Dokumentation habe ich dazu bisher nicht gefunden.

Bleibt also noch der andere Teil der Frage: Warum schlägt die Molly-Verbindung fehl, sobald ich RethinkDNS einschalte? Ich habe jetzt verschiedene DNS-Server auf verschiedenen Protokollen versucht, bisher ohne Erfolg. Sobald Rethink aus ist, habe ich eine normale Verbindung.

6

Vielleicht sind in RDNS irgendwelche Ports gesperrt, die Molly benötigt.

7

tatsächlich ist in RDNS garnichts gesperrt. Ich habe eine cleane Intallation gemacht, und nur einen DNS-Server eingetragen. Das blöde ist, dass der Fehler nichtmal konstant reproduzierbar scheint. Heute vormittag konnte Molly trotz RDNS eine Verbindung aufbauen, jetzt aktuell wieder nicht.
Mir ist allerdings aufgefallen, dass RNDS in der aktuellen Version scheinbar wieder DNS-Lecks hat. Vielleicht hängt das zusammen (ich vermute, dass der ISP-DNS Signal Adressen blockt)..
Werde weiter verscuchen. Wenn jemand anderes Erfahrung mit Signal in „gesperrten Ländern“ hat, würde ich mich freuen

Edit:
Ich habe zur Thematik der oben aufgelisteten Verbindungen zu google etc. doch noch ein paar Infos gefunden, sogar offiziell im Signal Blog. Habe scheinbar einfach an den falschen Stellen gesucht. Für alle die es interessiert:

-blogpost zur Einführung von Domain-Fronting https://signal.org/blog/doodles-stickers-censorship/
-blogpost zu Schwierigkeiten mit den genutzten Domains https://signal.org/blog/looking-back-on-the-front/
-externer Artikel (nicht offiziell von Signal) über das Feature https://www.reversemode.com/2026/01/signals-censorship-circumvention-is.html

Der relevante Teil in der Signal implementierung:
File: libsignal-0.86.10/rust/net/src/env.rs

256: pub const PROXY_CONFIG_F_STAGING: ProxyConfig = ProxyConfig {
257:     route_type: RouteType::ProxyF,
258:     http_host: "reflector-staging-signal.global.ssl.fastly.net",
259:     sni_list: &[
260:         "github.githubassets.com",
261:         "pinterest.com",
262:         "www.redditstatic.com",
263:     ],
264:     certs: RootCertificates::Native,
265: };
266: 
267: pub const PROXY_CONFIG_G: ProxyConfig = ProxyConfig {
268:     route_type: RouteType::ProxyG,
269:     http_host: "reflector-nrgwuv7kwq-uc.a.run.app",
270:     sni_list: &[
271:         "www.google.com",
272:         "android.clients.google.com",
273:         "clients3.google.com",
274:         "clients4.google.com",
275:         "googlemail.com",
276:     ],
277:     certs: PROXY_G_ROOT_CERTIFICATES,
278: };