Userbase

Net terug van vakantie en bij toeval eens gekeken op naar de telemeter: elke vakantiedag 10Gb volume tijdens de daluren + nog eens 10Gb tijdens de piekuren... goed voor 600Gb per maand zonder enige activiteit op het netwerk
Setup = Telenet Modem-Only, Ubiquiti USG, Ubiquiti AP's en Ubiquiti managed switches. De modem & WAN aansluiting van de USG zitten op een "Internet" VLAN op de 16-poort switch (waar ook de Digicorder op aangesloten is), de AP's en Synology NAS zitten op het LAN VLAN.

Uit de switch statistics van de US-16-150W switch zie je duidelijk dat het verkeer op het volledige LAN VLAN terug valt naar 0 gedurende de hele verlofperiode maar dat het WAN subnet wél 20Gb traffiek laat zien. De digibox hangt via een trunk achter een US-8-60W switch en ook op die trunk is géén verkeer te zien.

Die 20Gb per dag is dus enkel aan de internet kant te zien. Enig idee waardoor je zoiets kan krijgen?
Er zijn een paar port forwards op de USG, maar die zijn allemaal naar LAN devices dus dat verkeer zie je ook op het interne VLAN en aangezien daar overal géén verkeer is, kan het daar niet zitten. Er is géén forwarding naar een ander public ip en ook géén VPN's...
Straks die modem eens rebooten, maar nu iedereen terug thuis is wordt het moeilijk checken of dit verkeer er al dan niet nog is.

Misschien het dataverkeer van andere modems op de node? Telenet coax is een busnetwerk, het dataverkeer van andere Telenet-klanten uit je buurt zit alleszins op de coaxinterface van jouw modem-only, misschien komt dat ook op de Ethernet-interface terecht.

Dat mag toch nooit op de telemeter terecht komen?

Je kan toch dingen uitschakelen in je netwerkt en dan kijken wat er gebeurd? Lijkt me dat je wel iets hebt van servers ofzo omdat je die modem-only setup hebt?

qless schreef:Dat mag toch nooit op de telemeter terecht komen?

En zeker geen 20 GB per dag. Dan zit iemand met basic internet in een week dat hij zelf niet thuis is door zijn dataverkeer heen.

Ik heb recent hetzelfde gezien bij een kennis, dat was Wi-Free gebruik. Staat beneden op dezelfde pagina (helaas net niet zichtbaar in jouw screenshot). Ze had een vermoeden wie het was, al ontkende die. Wachtwoord veranderd en 't was opgelost...

SpecialK schreef:Wachtwoord veranderd en 't was opgelost...

Als de parasiet zijn sessie sluit anders blijft dat lopen

SpecialK schreef:Ik heb recent hetzelfde gezien bij een kennis, dat was Wi-Free gebruik. Staat beneden op dezelfde pagina (helaas net niet zichtbaar in jouw screenshot). Ze had een vermoeden wie het was, al ontkende die. Wachtwoord veranderd en 't was opgelost...

Het staat ook in zijn eigen logs dus het zal niet wifree zijn dan? Wifi zou wel kunnen als de buren het wachtwoord hebben.

Een modem-only heeft geen wifi....

Maar ze kunnen wel gebruik maken van wifree op andere plekken met TS zijn login.

Maar die 20 GB verkeer is ook zichtbaar op de Ubiquiti USG.

qless schreef:Dat mag toch nooit op de telemeter terecht komen?

Neen, als het verkeer van een andere modem op de node op jouw Telemeter verschijnt, dan loopt er iets grondig mis bij Telenet.

Als de topicstarter z'n LAN nu eens 24u afkoppelt van de Telenet-modem, dan weet hij morgen of dat verkeer een externe bron heeft.

Robert Ford schreef:Een modem-only heeft geen wifi....

Zijn eigen wifi bedoel ik, een van die grafieken heet AP bureau, dat kan een access point bij zijn bureau zijn. Maar dat zal hij zelf het beste weten wat het allemaal is.

Edit: ik keek naar een andere periode. Die periode tot de 20e kan inderdaad wel zijn wifree zijn.

De accespoints hebben geen indicatie van verbruik, dus tenzij er ap’s niet op de statistics page staan lijkt wifi niet de oorzaak.

En wifree zou toch geen trafiek op de usg genereren... tenzij iemand in het huishouden via een eigen lokale vpn verbinding maakt?

Best eerder vermeld advies opvolgen en fysiek afkoppelen.
Eventueel nadien selectief terug aankoppelen indien het interne trafiek zou zijn.

Wellicht de speed test functie van de USG. Staat deze aan?

Multicast op de WAN vanuit het Telenet Netwerk?
Kapotte modem?

Een switch steken tussen modem en USG met port mirroring en het verkeer eens whiresharken? Zo kan je achterhalen waar het vandaan komt..

CCatalyst schreef:Wellicht de speed test functie van de USG. Staat deze aan?

Zou dat zo'n grote trafiek kunnen veroorzaken?

Meteen eens een reboot gedaan van de Telenet modem, maar het lijkt er niet op dat dit veel heeft uit gehaald.

Gisterenavond een paar uur weg geweest uit eten en toen de AP's uit gezet & Synology afgekoppeld. Logging op hourly gezet en ook die twee uur was er zo'n 900Mb download & 100Mb upload per uur... Verkeer enkel gemeten op het INTERNET VLAN terwijl er op dat moment op het LAN VLAN nul verkeer was.

Dus zeker geen server die nog draait, NAS die downloads doet of Digibox die aan het opnemen is... Het lijkt mij eerder verkeer van andere nodes dat door één of andere modem bug zichtbaar is én meetelt op de telemeter.

En inderdaad: modem-only dus géén TelenetHomespot of Wifree of dat soort dingen. Ook géén guest vlan op de Unifi AP's.

Ik zie met m'n modem-only ook tonnen verkeer aan de WAN-kant, maar heb nog nooit een analyse gemaakt. Zal op een goeie dag eens een OpenWrt router met tcpdump er aan hangen en de normale router tijdelijk afkoppelen.

philippe_d schreef:

CCatalyst schreef:Wellicht de speed test functie van de USG. Staat deze aan?

Zou dat zo'n grote trafiek kunnen veroorzaken?

Dat draait vrij frequent en is toch niet weinig. Of het zoveel is is een andere vraag.

CCatalyst schreef:Wellicht de speed test functie van de USG. Staat deze aan?

nee, die staat niet permanent aan. Af en toe draai ik die wel eens (maar dus niet als ik niet thuis ben)

philippe_d schreef: Zou dat zo'n grote trafiek kunnen veroorzaken?

Ja. Een klant van mij met basic internet is hierdoor eens op smalband geraakt. Sindsdien de les geleerd.

My_download schreef:Het lijkt mij eerder verkeer van andere nodes dat door één of andere modem bug zichtbaar is én meetelt op de telemeter.

Nee.

bdeblier schreef:Ik zie met m'n modem-only ook tonnen verkeer aan de WAN-kant, maar heb nog nooit een analyse gemaakt.

Dat zijn die constante non-stop ARP packets van het TN WAN die je ziet oplichten op je router. Daarvan komt hier af en toe eens een topic over.

My_download schreef:nee, die staat niet permanent aan. Af en toe draai ik die wel eens (maar dus niet als ik niet thuis ben)

Dan ga je wellicht een packet capture (al dan niet met gebruik van een hardware tap) moeten doen om te zien wat er gaande is.

Als je nog eens van huis bent, zet dan je router uit, of trek de connectie naar de modem uit. Als je dan nog Traffic hebt, dan zit de fout bij Telenet.
Zit de fout niet bij Telenet, dan zal je toch je eigen netwerk eens grondig moeten nazien.

Kan je in de router niet controleren welk apparaat traffic genereerde, of genereerde ? (Ik kan dit bijv wel in mijn synology router). Welk router heb je trouwens ?

Ik zie op mijn WAN-VLAN ook heel wat verkeer dat niet voor mijn netwerk bestemd is. Ik heb die WAN-VLAN in gebruik om meerdere publieke IP-adressen toegewezen te kunnen krijgen. De modem ondersteunt er tot 16 IIRC.
Ik moet nog altijd eens kijken hoe ik dat verkeer kan filteren.