Sinds kort heb ik mn thuisnetwerk vervangen door een managed netwerk (1 managed switch + 1 managed access point). Dit netwerk hangt aan een Linksys E3200 router, die langs wan zijde een PPPoE sessie opzet doorheen een BBOX3.
Doordat ik nu beter zicht heb op wat er in het netwerk gebeurt, merk ik dat er op regelmatige tijdstippen (een paar pakketten per minuut) ongekende ethernet frames doorheen de router komen. zowel het source mac adres als het destination mac adres zijn van een 'unknown' vendor... Iemand die daar iets meer over weet? Ik heb via wireshark zo een pakket onderschept,
zie bijlage ( https://www.dropbox.com/s/ay6aczqsltj54 ... 8.png?dl=0 ).
Op het eind van de payload staat er iets dat me doet denken aan oakla speedtest.net. Die site heb ik idd gebruikt om internet speedtests te doen.
Trouwens, ook als ik m'n PC rechtstreeks aan de BBox3 hang zie ik die pakketten, ze lijken dus echt wel vanuit het Proximus WAN netwerk te komen, en ook de Bbox3 router/firewall houdt deze niet tegen.
Basisvraag: hoe kan een dergelijk pakket door een router met firewall geraken?
Tweede vraag: vanwaar komt dit?
Bizarre ethernet frames op m'n netwerk
-
bitbite
- Premium Member
- Berichten: 558
- Lid geworden op: 18 dec 2012, 14:01
- Uitgedeelde bedankjes: 39 keer
- Bedankt: 42 keer
Ben je zeker dat het om multicast traffic gaat?
Mij doet het toch eerder denken aan een slecht werkend/geconfigureerd toestel in je netwerk dat echt dataverkeer onleesbaar presenteert.
Je zou kunnen triëren door 1 voor 1 toestelen uit het dataverkeer te schakelen (te beginnen met de netwerkkaart in je capture-pc, en dan de managed devices).
Mij doet het toch eerder denken aan een slecht werkend/geconfigureerd toestel in je netwerk dat echt dataverkeer onleesbaar presenteert.
Je zou kunnen triëren door 1 voor 1 toestelen uit het dataverkeer te schakelen (te beginnen met de netwerkkaart in je capture-pc, en dan de managed devices).
-
ITnetadmin
- Elite Poster
- Berichten: 8445
- Lid geworden op: 28 jan 2012, 18:22
- Uitgedeelde bedankjes: 164 keer
- Bedankt: 618 keer
Rule number one:
inventariseer al je netwerktoestellen en hun mac adressen
inventariseer al je netwerktoestellen en hun mac adressen
-
Splitter
- Elite Poster
- Berichten: 4578
- Lid geworden op: 10 maa 2010, 12:30
- Uitgedeelde bedankjes: 58 keer
- Bedankt: 446 keer
hmm, nog eens even echt gekeken... is idd toch vreemd.
opgegeven adres (zowel de 45x als de 40x) lijken geen geldige mac's te zijn en het aangegeven protocol lijkt ook niet dadelijk geldig.
hoewel ITnetadmin's regel 1 zeker een waarheid is, lijkt bitbite's antwoord me toch inderdaad de clue, iets dat ergens zichzelf slecht gedraagt op je netwerk.
(zou me geeneens verbazen moest het de bbox zelf zijn)
opgegeven adres (zowel de 45x als de 40x) lijken geen geldige mac's te zijn en het aangegeven protocol lijkt ook niet dadelijk geldig.
hoewel ITnetadmin's regel 1 zeker een waarheid is, lijkt bitbite's antwoord me toch inderdaad de clue, iets dat ergens zichzelf slecht gedraagt op je netwerk.
(zou me geeneens verbazen moest het de bbox zelf zijn)
Awel, alles is al loqgekoppeld geweest, enkel m'n 'capture' PC (MacBook Pro) rechtstreeks via ethernet kabel gekoppeld aan de BBox3. Dus ofwel ligt het aan de capture PC (maar dat heb ik al uitgesloten), ofwel idd de BBox3 zelf, maar is dat echt realistisch?
Alvast bedankt voor het meedenken.
Mvg,
Alvast bedankt voor het meedenken.
Mvg,
-
ITnetadmin
- Elite Poster
- Berichten: 8445
- Lid geworden op: 28 jan 2012, 18:22
- Uitgedeelde bedankjes: 164 keer
- Bedankt: 618 keer
Effe iets meegeven:
Alle communicatie op je netwerk verloopt via mac adressen.
Je ziet mss wel IP adressen, maar die worden enkel gebruikt door je router. Alle andere netwerktoestellen (switches enzo) leveren packets af via mac adres, op layer 2 van het OSI model.
Er wordt pas op IP (layer 3) gekeken, wanneer een packet het lokale netwerk verlaat.
Daarbij komt nog dat MAC adressen *niet routable* zijn. Dat betekent dat een mac adres jouw netwerk nooit zal verlaten. Wanneer je router een packet "route" naar een ander netwerk, komt zijn MAC adres in de plaats in het pakketje (dit geldt niet voor switches, die doen het lichtjes anders).
Je kan dus concluderen dat *alle* mac adressen die je ziet passeren, wel degelijk vanop jouw netwerk komen.
Als jij dus alles afkoppelt en je laptop rechtstreeks op je modem hangt (ik neem aan dat alle wifi af staat), dan kunnen die mac adressen enkel van jouw pc of je modem afkomstig zijn.
Alle communicatie op je netwerk verloopt via mac adressen.
Je ziet mss wel IP adressen, maar die worden enkel gebruikt door je router. Alle andere netwerktoestellen (switches enzo) leveren packets af via mac adres, op layer 2 van het OSI model.
Er wordt pas op IP (layer 3) gekeken, wanneer een packet het lokale netwerk verlaat.
Daarbij komt nog dat MAC adressen *niet routable* zijn. Dat betekent dat een mac adres jouw netwerk nooit zal verlaten. Wanneer je router een packet "route" naar een ander netwerk, komt zijn MAC adres in de plaats in het pakketje (dit geldt niet voor switches, die doen het lichtjes anders).
Je kan dus concluderen dat *alle* mac adressen die je ziet passeren, wel degelijk vanop jouw netwerk komen.
Als jij dus alles afkoppelt en je laptop rechtstreeks op je modem hangt (ik neem aan dat alle wifi af staat), dan kunnen die mac adressen enkel van jouw pc of je modem afkomstig zijn.
Als niemand anders dergelijke pakketten op z'n netwerk heeft dan moet ik idd concluderen dat de BBOX3 defekt is, maar ik vind dat een 'raar' defect, het is geen random pakket, de payload bevat 'iets', het is geen willekeurige/onleesbare data.
hoe leg je zoiets uit aan Proximus om een nieuwe te krijgen?
Ik zie diezelfde pakketten ook als ik met mijn eigen router een PPPoE sessie opzet doorheen de BBox3. Is de BBox3 dan wel defect? Op die moment doet de Bbox3 toch niet meer dan als modem fungeren, of zie ik dit verkeerd?
@ITnetAdmin: zo dacht ik ook dat het werkt, een puur ethernet frame zonder IP header kan uw lokaal netwerk niet verlaten. Maar toch komt dit pakket niet vanuit mijn devices (of het van de BBox3 komt laten we even in het midden). Kan er ergens binnen Proximus een bridge zijn die specifiek pakketten met mac adress range 40:00:3f:XX:XX:XX 'doorlaat/broadcast'?' Wireshark identifieert het pakket als een broadcast/multicast frame.
hoe leg je zoiets uit aan Proximus om een nieuwe te krijgen?
Ik zie diezelfde pakketten ook als ik met mijn eigen router een PPPoE sessie opzet doorheen de BBox3. Is de BBox3 dan wel defect? Op die moment doet de Bbox3 toch niet meer dan als modem fungeren, of zie ik dit verkeerd?
@ITnetAdmin: zo dacht ik ook dat het werkt, een puur ethernet frame zonder IP header kan uw lokaal netwerk niet verlaten. Maar toch komt dit pakket niet vanuit mijn devices (of het van de BBox3 komt laten we even in het midden). Kan er ergens binnen Proximus een bridge zijn die specifiek pakketten met mac adress range 40:00:3f:XX:XX:XX 'doorlaat/broadcast'?' Wireshark identifieert het pakket als een broadcast/multicast frame.
-
bitbite
- Premium Member
- Berichten: 558
- Lid geworden op: 18 dec 2012, 14:01
- Uitgedeelde bedankjes: 39 keer
- Bedankt: 42 keer
Lees ik het goed dat je die pakketten ook ziet achter je eigen router+pppoe, én ook als je direct (rechtstreekse koperdraad) aan je bbox3 hangt?Pikes01 schreef:Ik zie diezelfde pakketten ook als ik met mijn eigen router een PPPoE sessie opzet doorheen de BBox3.
Gewoon als uitsluitsel zou ik dezelfde frames ook eens op een andere pc proberen te capteren.Pikes01 schreef:[...] enkel m'n 'capture' PC[...]
@bitbite: Dat lees je goed. En ik snap niet hoe dat kan.
Ik moet de frames zelfs niet capteren om te zien dat ze er zijn, in de management software van m'n managed ethernet switch worden ze opgemerkt als 'nieuwe' devices (waar verder niks mee gebeurt, ik denk dat de switch die pakketten gewoon dropt). Het begin van het mac adres is altijd hetzelfde, 40:00:3f, daarna varieert het, waardoor ik in m'n management software reeds duizenden netwerk devices heb. Zo zie ik ook dat het pakket (de 'client') op de poort binnenkomt waar de router aan gekoppeld is. Ook bizar om zien is dat de zogenaamde client maar een 10-tal minuten leeft, daarna komt het mac adres niet meer voor. Een screenshot maakt het misschien wat duidelijker: https://www.dropbox.com/s/yfetn7a1jdyfb ... 4.png?dl=0
Ik moet de frames zelfs niet capteren om te zien dat ze er zijn, in de management software van m'n managed ethernet switch worden ze opgemerkt als 'nieuwe' devices (waar verder niks mee gebeurt, ik denk dat de switch die pakketten gewoon dropt). Het begin van het mac adres is altijd hetzelfde, 40:00:3f, daarna varieert het, waardoor ik in m'n management software reeds duizenden netwerk devices heb. Zo zie ik ook dat het pakket (de 'client') op de poort binnenkomt waar de router aan gekoppeld is. Ook bizar om zien is dat de zogenaamde client maar een 10-tal minuten leeft, daarna komt het mac adres niet meer voor. Een screenshot maakt het misschien wat duidelijker: https://www.dropbox.com/s/yfetn7a1jdyfb ... 4.png?dl=0
-
Splitter
- Elite Poster
- Berichten: 4578
- Lid geworden op: 10 maa 2010, 12:30
- Uitgedeelde bedankjes: 58 keer
- Bedankt: 446 keer
aan de bbox zal het wss ook niet liggen, met de extra info dat het random mac's genereert kan je al iets gerichter googlen:
https://www.snbforums.com/threads/stran ... lem.32218/ (maar, helaas... daar is ook geen oplossing, echter zegt de TS daar wel dat het enkel voorkomt tijdens gebruik van de openvpn tunnel
https://www.snbforums.com/threads/stran ... lem.32218/ (maar, helaas... daar is ook geen oplossing, echter zegt de TS daar wel dat het enkel voorkomt tijdens gebruik van de openvpn tunnel
-
ITnetadmin
- Elite Poster
- Berichten: 8445
- Lid geworden op: 28 jan 2012, 18:22
- Uitgedeelde bedankjes: 164 keer
- Bedankt: 618 keer
Kan je anders de pcap file ns posten?
Ondertussen heel wat captures verder , en het lijkt toch anders in elkaar te zitten.
Die frames ontstaan namelijk telkens wanneer ik op m'n Mac inlog. Zou hetvolgende kunnen: De mac genereert een frame, maar er zit VLAN tagging op die frame (zie capture: https://www.dropbox.com/s/5w86fk8c1dqof ... capng?dl=0 , als je filtert op protocol staat het desbetreffende frame bovenaan). De router (mijn Linksys) kent niks van VLAN, stript de tag eraf en stuurt het frame terug op mijn netwerk (zie capture https://www.dropbox.com/s/m7f325d45dgvu ... capng?dl=0 in deze capture heb ik meerdere malen aangelogd, vandaar meerdere frames). Dat zou verklaren waarom de switch op de router poort al die 'clients' ziet. Waarom de switch niet hetzelfde reageert op de frame die door de Mac uitgestuurd wordt moet dan allicht ook door die VLAN tag zijn.
De capture is gebeurd via portmirrorring op de switch, maar ik kon maar 1 poort tegelijk capturen, dus chronologisch moet je de 2 captures los van elkaar zien). Alle wifi was disabled, en op de switch was enkel de Mac en de router gekoppeld (en de capture host op de mirroring poort, ook een mac, maar dit speelt voor de capture geen rol denk ik).
Als bovenstaande helemaal nonsens is mag je het ook zeker zeggen, ik leer maar al doende
, en het lijkt toch anders in elkaar te zitten.Die frames ontstaan namelijk telkens wanneer ik op m'n Mac inlog. Zou hetvolgende kunnen: De mac genereert een frame, maar er zit VLAN tagging op die frame (zie capture: https://www.dropbox.com/s/5w86fk8c1dqof ... capng?dl=0 , als je filtert op protocol staat het desbetreffende frame bovenaan). De router (mijn Linksys) kent niks van VLAN, stript de tag eraf en stuurt het frame terug op mijn netwerk (zie capture https://www.dropbox.com/s/m7f325d45dgvu ... capng?dl=0 in deze capture heb ik meerdere malen aangelogd, vandaar meerdere frames). Dat zou verklaren waarom de switch op de router poort al die 'clients' ziet. Waarom de switch niet hetzelfde reageert op de frame die door de Mac uitgestuurd wordt moet dan allicht ook door die VLAN tag zijn.
De capture is gebeurd via portmirrorring op de switch, maar ik kon maar 1 poort tegelijk capturen, dus chronologisch moet je de 2 captures los van elkaar zien). Alle wifi was disabled, en op de switch was enkel de Mac en de router gekoppeld (en de capture host op de mirroring poort, ook een mac, maar dit speelt voor de capture geen rol denk ik).
Als bovenstaande helemaal nonsens is mag je het ook zeker zeggen, ik leer maar al doende
