"Левые" хосты в Active Hosts

[ryurik]

to: Denis_Perm
на компе 2 сетевых
1.
Ethernet adapter Internet:
IP Address. . . . . . . . . . . . : 192.169.xx.3
Subnet Mask . . . . . . . . . . . : 255.255.255.0
Default Gateway . . . . . . . . . : 192.169.xx.2

Ethernet adapter LAN:

IP Address. . . . . . . . . . . . : 192.168.50.7
Subnet Mask . . . . . . . . . . . : 255.255.255.0
DNS Servers . . . . . . . . . . . : 192.168.50.6

Ethernet adapter Kerio VPN:

IP Address. . . . . . . . . . . . : 172.27.184.2
IP Address. . . . . . . . . . . . : 172.27.183.2
IP Address. . . . . . . . . . . . : 169.254.64.29
Default Gateway . . . . . . . . . :
DHCP Server . . . . . . . . . . . : 169.254.64.28
NetBIOS over Tcpip. . . . . . . . : Disabled
Lease Obtained. . . . . . . . . . : 8 января 2008 г. 14:38:58
Lease Expires . . . . . . . . . . : 8 января 2008 г. 14:41:58
2. ADSL инет с физическим IP.
adapter Internet соединент с модемом, который настроен как роутер.
3. есть 2 впн туннеля, но на концах которых подсети тоже не совпадают с даннымим компьютерами.
в таблицах роутинга не присутсвует данная (192,168,2,х) подсеть.

ВОПРоС
Имеется сеть 192.168.50.0-192.168.50.255
сегодня обнаружил, что в Active Hosts добавились лишние хосты - 192.168.2.4, 192.168.2.7, 192.168.2.9
которые не пингуются
В логах в web, http нет ничего, а вот в Security в среднем раз в сутки
проскакивает по 2 сообщения (порты каждый день отличаются)
[30/Nov/2007 18:56:24] Anti-spoofing: Packet from LAN, proto:TCP, len:48, ip/port:192.168.2.7:4519 -> 194.67.57.126:80, flags: SYN , seq:4265724036 ack:0, win:65535, tcplen:0
[30/Nov/2007 18:56:30] Anti-spoofing: Packet from LAN, proto:TCP, len:48, ip/port:192.168.2.7:4519 -> 194.67.57.126:80, flags: SYN , seq:4265724036 ack:0, win:65535, tcplen:0
такое ощущение, что планомерно сканируются порты....
наблюдение №2 - срабатывает при включении компьютера, т.е. во временном промежутке 7,50-8,15 (вроде бы кроме выходных).
причем логи есть с сентября.
Что это может быть?
куда смотреть пристальнее?
в сети около 60 машин.
А вот 19 декабря видно, что долбило порты с 1577-3003
[19/Dec/2007 16:12:22] Anti-spoofing: Packet from LAN, proto:UDP, len:377, ip/port:192.168.2.4:1577 -> 255.255.255.255:67, udplen:349
....

[19/Dec/2007 16:22:56] Anti-spoofing: Packet from LAN, proto:UDP, len:377, ip/port:192.168.2.4:3003 -> 255.255.255.255:67, udplen:349

[Denis_Perm]

Не с того начинаете ...

Сколько сетевых карт на компе ?
Какие IP этих сетевых ?
Каким образом подключаетесь к inet ?

[JaM]

Во-первых, порт назначения 67. Порты источника 1577-3003 значения не имеет.
Во-вторых, 67 порт используется DHCP.
В-третьих, я бы эти адреса посканил бы на наличие открытых портов. Имхо это какая нибудь активка. И соответственно можно вычислить что это за железки, подключившись по хттп, если 80 порты у них открыты.

Добавлено через 8 минут

Цитата

Сообщение от ryurik

[30/Nov/2007 18:56:24] Anti-spoofing: Packet from LAN, proto:TCP, len:48, ip/port:192.168.2.7:4519 -> 194.67.57.126:80, flags: SYN , seq:4265724036 ack:0, win:65535, tcplen:0
[30/Nov/2007 18:56:30] Anti-spoofing: Packet from LAN, proto:TCP, len:48, ip/port:192.168.2.7:4519 -> 194.67.57.126:80, flags: SYN , seq:4265724036 ack:0, win:65535, tcplen:0

это не сканирование портов, насколько я понимаю, а кто-то ломица по 80 на 194.67.57.126 (mail.ru)

[ryurik]

Цитата:

Сообщение от JaM

Во-первых, порт назначения 67. Порты источника 1577-3003 значения не имеет.
Во-вторых, 67 порт используется DHCP.
В-третьих, я бы эти адреса посканил бы на наличие открытых портов. Имхо это какая нибудь активка. И соответственно можно вычислить что это за железки, подключившись по хттп, если 80 порты у них открыты.

Добавлено через 8 минут


это не сканирование портов, насколько я понимаю, а кто-то ломица по 80 на 194.67.57.126 (mail.ru)

Оки, пусть ломицца, но что за компы????
я видел, что это мэйл ру.
просканил я 192,168,2,4 -
вот что выдало
21,25,80,81,110,1723, 1755, 6666, 6667,6668,8000,8080

как определить что за они? хоть какую нить инфу?

интересно получается, что телнетится по любому адресу 192,168,2,х но только в машине с керио. Tracert не показывает ничего. В роутингах нет такой подсети, куда еще можно посмотреть?

[Constantin]

Виртуальными машинами никто в сетке не балуется?
И еще, эти машины висят круглосуточно?
Какие mac адреса этих компов?
Если эти компы видны только с сервака, то с какой сетевухи? Как проверить это... Ничего кроме последовательного отключения сетевух в голову не прихоит. Хотя можно поставить сниффер и с него смотреть откуда пакеты идут.

У меня похожие глюки были, когда падал dhcp сервер и клиенты получали автоадреса 169.254.*.* Керио сервер видел эти хосты но никуда само собой не пускал.

[ГриФ]

Скорее всего это mail.ru agent програмка такая для проверки почты
Зайти удалённо на комп и посмотри список активных приложений, я думаю ты там агента и найдёшь)

[EnMan]

Бредятина-колбасятина.... ryurik, в чем состоит суть проблемы?

И + трафик полиси + Ipconfig /all с сервера. Без замазаных серых адресов локалки, секьюрный ты наш. )

[ryurik]

Windows IP Configuration

Host Name . . . . . . . . . . . . : proxy
Primary Dns Suffix . . . . . . . : company
Node Type . . . . . . . . . . . . : Unknown
IP Routing Enabled. . . . . . . . : Yes
WINS Proxy Enabled. . . . . . . . : No
DNS Suffix Search List. . . . . . : company

Ethernet adapter Internet:

Connection-specific DNS Suffix . :
Description . . . . . . . . . . . : Realtek RTL8139 Family PCI Fast Ethernet NIC
Physical Address. . . . . . . . . : 00-50-22-B5-7C-A2
DHCP Enabled. . . . . . . . . . . : No
IP Address. . . . . . . . . . . . : 192.169.10.3
Subnet Mask . . . . . . . . . . . : 255.255.255.0
Default Gateway . . . . . . . . . : 192.169.10.2

Ethernet adapter LAN:

Connection-specific DNS Suffix . :
Description . . . . . . . . . . . : Realtek RTL8168/8111 PCI-E Gigabit Ethernet NIC
Physical Address. . . . . . . . . : 00-18-F3-0B-12-A4
DHCP Enabled. . . . . . . . . . . : No
IP Address. . . . . . . . . . . . : 192.168.50.7
Subnet Mask . . . . . . . . . . . : 255.255.255.0
Default Gateway . . . . . . . . . :
DNS Servers . . . . . . . . . . . : 192.168.50.6

Ethernet adapter Kerio VPN:

Connection-specific DNS Suffix . :
Description . . . . . . . . . . . : Kerio VPN adapter
Physical Address. . . . . . . . . : 44-45-53-54-0D-08
DHCP Enabled. . . . . . . . . . . : Yes
Autoconfiguration Enabled . . . . : Yes
IP Address. . . . . . . . . . . . : 172.27.174.2
Subnet Mask . . . . . . . . . . . : 255.255.255.0
IP Address. . . . . . . . . . . . : 172.27.173.2
Subnet Mask . . . . . . . . . . . : 255.255.255.0
IP Address. . . . . . . . . . . . : 169.254.54.29
Subnet Mask . . . . . . . . . . . : 255.255.255.0
Default Gateway . . . . . . . . . :
DHCP Server . . . . . . . . . . . : 169.254.54.28
NetBIOS over Tcpip. . . . . . . . : Disabled
Lease Obtained. . . . . . . . . . : 8 января 2008 г. 19:07:22
Lease Expires . . . . . . . . . . : 8 января 2008 г. 19:10:22

сожрало кусок фаирвол трафика, но там еще было MS-SQL, POP3, PPTP, RDP, SMTP, Socks, Telnet, Windows Messenger.
Да - попутно вопрос, когда открываю через RDP какой нить удаленный (в туннеле раб. стол), то вспоминаю ZX-Spectrum и Байт. тормоза дикие, т.е. туда я заливаю файл на максимальной скорости, а отдают они мне по 2-3 кб/с. в чем может быть проблема?

[Denis_Perm]

Я правильно понимаю:

ADSL модем подключен к 192.169.10.3.
И адрес его 192.169.10.2.

Пакет приходит из Lan (192.168.50.7), т. е. с машины которая
подключена к тому-же коммутатору что и 192.168.50.7.

nslookup 194.67.57.126 - это и есть mail.ru.

Возможно на какой-то машине стоит либо виртуальная машина,
либо для одной сетевой прописано 2 IP и шлюзом указана
машина 192.168.50.7. Вот и получается, что когда она
ломится в инет (в данном случае на mail.ru) антиспуфинг не пускает.

Попробуй сделать:

ping 192.168.2.x (x=1-254).
А потом arp -a.

Может тебе повезет и на один MAC придется два IP.
Возможно вторым IP и окажется какой либо из
192.168.50.xxx.

А нет ли в сети беспроводных точек доступа ?

[ryurik]

Цитата

Сообщение от Denis_Perm

Попробуй сделать:

ping 192.168.2.x (x=1-254).
А потом arp -a.

ничего нового, ни один хост не пропинговался.
точки есть.... все работают по веп ключю с жесткой пропиской мак адресов....

[Denis_Perm]

Они могут и не пинговаться. Но если эта сетевая
подключена и имеет IP который ты пингуешь -
в ARP кеше появится MAC этой сетевой.

[ryurik]

Цитата

Сообщение от Denis_Perm

Они могут и не пинговаться. Но если эта сетевая
подключена и имеет IP который ты пингуешь -
в ARP кеше появится MAC этой сетевой.

в кэше только маки нашей подсети, мак сетевой, которая смотрит в роутер и мак впн сервака

[crayzer]

я не пойму 3-х вещей
1 на кой х дублирование правил
2 лог веди что ты дропаешь а не то что у тя коннектитсо если что то у тя не работает
3 ну и последнее торрентами балуетесь с какого времени а?
route print ф студию

Добавлено через 3 часа 17 минут

Цитата

Сообщение от ryurik

Да - попутно вопрос, когда открываю через RDP какой нить удаленный (в туннеле раб. стол), то вспоминаю ZX-Spectrum и Байт. тормоза дикие, т.е. туда я заливаю файл на максимальной скорости, а отдают они мне по 2-3 кб/с. в чем может быть проблема?

не знаю который раз повторять.....
а почему ты думаешь что у "удаленного рабочего стола" подключение 100 мбит к твоему шлюзу?
сидит товарисч на адсл модеме, RDP подключение у тя настроено на какую скорость?
телепатим на 10 мбит :togo:
пусть у няго прием 2 мбит отдача в разы меньше, а тут исчо ты картинкой разноцветной его рабочего стола любуешьсо... в реальном времени..
было бы оочень странно ежлиб не тормозило жутко и не лагало
дошло??

[ryurik]

Цитата:

Сообщение от crayzer

пусть у няго прием 2 мбит отдача в разы меньше, а тут исчо ты картинкой разноцветной его рабочего стола любуешьсо... в реальном времени..
было бы оочень странно ежлиб не тормозило жутко и не лагало
дошло??

картинки нахрен убраны - голый раб стол. Я говорю про файлы (не РДП), которые качаю по впн туннелю, туда с макс скоростью, обратно - 2-3 кб/с. Заметьте, это не диалап, а нормальный адсл, пусть 1024/512 - но тогда по идее 51 - должен давать, а дает 2-3. что-то тут не то.
правила могут быть продублированы - 2 чела занимаются этим, что-то отключаем, в чем-то экперементируем. (У 7 админов сервак без бэкапа )) )
торрентами - изредка, когда нужно скачать - открыл, скачал - закрыл...

[ГриФ]

квоты и ограничения проверял? Ничего точно не выставлено?

[ryurik]

первым делом проверил ограничения - квот нет.
тем более, что с себя ограничения все снял.
перегрузил прокси и наваждение исчело.... что это было? Что за летучий голландец. Кстати, работал ровно на половину веб конфигуратор адсл модема. По фтп - все нормально работало.
Т.е. МИСТИКА, после перезагрузки всего, стало все работать гуд. (На модеме все запрещено для внешнего мира)

[crayzer]

ryurik, ,бггг молодца ))))
а мистики не бывает....

[ryurik]

да, забыл добавить, после переустановки, а потом апгрейда до 6,4,1 версии. Сейчас все гуд (тьфу-тьфу-тьфу), но проблема со скоростью впн туннеля не пропала....
а голландцы скорее всего появились из-за того, что на другом конце туннеля какая-то ПАДЛА создала мост между сетевыми картами...... вот еще не выяснил до конца - как это могло быть... и туннель перестал автоматом работать. Вернее у него постоянно Connecting, а в логах 17 сек соединения в среденем и так до бесконечности. Убрали - и туннель заработал