Лог Host. постоянные сообщения о регистрации и удалении хостов.

[водку_хочешь]

[22/Oct/2016 11:55:33] [IPv4] 192.168.1.22 - Host removed
[22/Oct/2016 12:01:03] [IPv4] 192.168.1.21 - Host registered
[22/Oct/2016 12:16:04] [IPv4] 192.168.1.21 - Host removed
[22/Oct/2016 12:16:54] [IPv4] 192.168.1.17 - Host registered
[22/Oct/2016 12:32:01] [IPv4] 192.168.1.17 - Host removed
[22/Oct/2016 12:37:24] [IPv4] 192.168.1.17 - Host registered
[22/Oct/2016 12:39:39] [IPv4] 192.168.1.18 - Host registered
[22/Oct/2016 12:52:31] [IPv4] 192.168.1.17 - Host removed
[22/Oct/2016 12:54:40] [IPv4] 192.168.1.18 - Host removed
[22/Oct/2016 13:20:50] [IPv4] 192.168.1.17 - Host registered

Это как бы норма, но я не могу понять, откуда берётся время, через которое хост удаляется, когда неактивен. И можно ли сделать так, чтобы они не удалялись. Они нужны всегда.

У меня на одном физическом интерфейсе кучка IP и один из адресов используется всегда, поэтому в логе не указан MAC.

А на днях был случай, что помимо типа этого:

[22/Oct/2016 11:38:30] [IPv4] 192.168.1.5 [MAC] 00-a0-96-7d-01-9a - Host registered

правее было присано, что "MAC address changed from 00-00-00-00-00-00" и я до сих пор не могу понять, как так. Причём ПК (точнее, сервер) терял связь с инетом и все логи были чистыми. Я так и не понял, что это было. Повторялось с интервалами в 5-10 минут. Ничего подозрительного обнаружить не удалось. Это и расстроило.

Сервер DHCP выключен, хулиганов в сети нет.

В инете читал, что нулевой MAC, это помирание сетевухи. Она была встроенная и на всякий случай исключил её из работы. Но на сервачке было две карты и обе смотрели в локалку (один коммутатор), одна для перегона файлов по SMB, другая дял инета, чтобы нигде не ограничивалась скорость, т.к. гигабита на всё уже не всегда хватает. Прилось оставить одну на всё, а там будет видно.

Ведь это не мог быть результат нехорошего воздействия снаружи (из инета)? В чудеса не верю. Дошло до того, что закрыл все порты, оставил только несколько UDP (сервер TeamSpeak3) и ситуаци не изменилась. На сервере даже пинги не проходили в инет, а с др. ПК, который тоже выходил в инет через Керио, пинги шли (по-моему, делал всё в попыхах). Сам Керио (IP-инструменты) тоже мог пропинговать разные узлы. По-моему...

Если ещё раз повторится, тогда не знаю, что делать. Я такое и раньше замечал, очень редко (раз в несколько месяцев), но в течении такого длительного времени, минут 40, ни разу. Обычно один раз и всё. Но тогда я ничего не успевал сделать и в лог Host даже не заглядывал

[exchar]

Цитата:

Сообщение от водку_хочешь

И можно ли сделать так, чтобы они не удалялись. Они нужны всегда.

как ты себе это представляешь? саму логику работы при этом?

вообще, кто мешает просто не обращать внимания на строчки с "removed"?

Цитата:

Сообщение от водку_хочешь

"MAC address changed from 00-00-00-00-00-00"

[Для просмотра данной ссылки нужно зарегистрироваться]

Цитата

Kerio Control does not know the MAC address in the following cases:

You use a routed network and the computer is placed behind a router.
The host is connected to the network via a VPN client (either Kerio VPN or IPsec).
The browser on the host is set to use a non-transparent proxy.

а то, что он изменился с нулей при этом - глубокое имхо, это реализация записи в лог конкретного разработчика (если у нас в структуре уже есть поле мак, то зачем вводить дополнительную переменную для неопознанного мака? просто забьем его нулями!)
еще раз, это были только предположения

кхм... в общем, спроси у поддержки - вопрос в целом интересный. нутыпонел. )

[exchar]

т.к. форум снова отрессуректился, напомню таки на чем остановились:

параметр (тот, который по умолчанию 15 минут) влияет на учет количества лицензий сервером и при его увеличении есть шанс словить потолок по лицензиям раньше чем хочется.
по крайней мере так было в прошлых версиях.

[водку_хочешь]

Точняк! Но пока потолка не было. Хоть эти виртуальные адреса и не были предусмотрены.

[exchar]

Цитата:

Сообщение от водку_хочешь

Но пока потолка не было. Хоть эти виртуальные адреса и не были предусмотрены.

смотря на сколько увеличивать
если количество компов в локалке равно или чуть меньше количеству лицензий, то потолка не будет

а если компы персональные и их в два раза больше чем лицензий, а народ работает в две смены, то при увеличении параметра до суток потолок можно словить

[водку_хочешь]

Да, может.

А почему они выбрали именно 15 минут? Что будет, если поставить 1 минуту Вроде, нет никакой задержки при регистрации хоста.

Я пока не понял, что означает простой, чтобы хост был удалён. Если хотя бы одно TCP/UDP соединение будет висеть, это не простой. Выходит, сперва хост должен закрыть все соединения, т.е. у пользователей проблем быть не должно.

В идеале надо сделать так, чтобы можно было указать адреса, которые имеют приоритет и никогда не должны быть отключены или их регистрация при необходимости обязательна, даже за счёт других (принудительно отключать).

[exchar]

Цитата:

Сообщение от водку_хочешь

А почему они выбрали именно 15 минут?

если меньше, то при большом количестве компов (которые регулярно выключают и включают вразнобой) можно будет использовать "почти одновременно" большее количество компов, чем указано в лицензии

Цитата:

Сообщение от водку_хочешь

Что будет, если поставить 1 минуту

а) см. пару строк выше
б) ничего, т.к. меньше 15 минут не будет отрабатывать параметр, емнип, это залочено на уровне софта фаера
в новых версиях не знаю, но вряд ли изменили

Цитата:

Сообщение от водку_хочешь

Я пока не понял, что означает простой, чтобы хост был удалён. Если хотя бы одно TCP/UDP соединение будет висеть, это не простой. Выходит, сперва хост должен закрыть все соединения, т.е. у пользователей проблем быть не должно.

возможно полуоткрытые не считаются
не знаю, кстати, это надо спрашивать в поддержке

[водку_хочешь]

Опять появился нулевой MAC

[28/Oct/2016 06:29:05] [IPv4] 192.168.1.22 - Host registered
[28/Oct/2016 06:33:05] [IPv4] 192.168.1.17 - Host registered
[28/Oct/2016 06:33:36] [IPv4] 192.168.1.21 - Host registered
[28/Oct/2016 12:59:20] [IPv4] 192.168.1.23 - Host registered
[28/Oct/2016 16:22:40] [IPv4] 192.168.1.17 [MAC] e8-a8-67-07-ce-14 - MAC address changed from 00-00-00-00-00-00

Основной IP-адрес у физического интерфейса - 192.168.1.15, именно его MAC должен быть указан и так и есть в разделе "Активные хосты". Но вот после этой записи в логе, вдруг ни с того, ни с сего, в Активных хостах, 192.168.1.17, т.е. вирт. адрес, тоже заимел MAC, такой же, как и у основного! И это при том, что хост не был удалён Керио, он всегда был на связи и тем более время не прошло до сброса. Прошло около 10 часов после его регистрации. Причём такая ситуация была и до того, как я увеличил время регистрации хостов. Тогда вообще в конфиг файл не залезал.

Другие вирт. адреса пока не получили "свой" MAC, хоть зарегистрированы даже чуть раньше.

Очень надеюсь, что никаких последствий не будет.

И arp -a показывает одинаковые MAC'и, всегда. Выходит, Керио просто не всегда отображает MAC у вирт. интерфейса. Осталось узнать, что её заставляет показывать, как сейчас.

[exchar]

Цитата:

Сообщение от водку_хочешь

Основной IP-адрес у физического интерфейса - 192.168.1.15,
192.168.1.17, т.е. вирт. адрес, тоже заимел MAC, такой же

а раскрой страшную тайну - зачем тебе на хостах виртуальные адреса в той же подсети, что и основные?

Цитата:

Сообщение от водку_хочешь

такой же, как и у основного!

а вообще, какая там ОС на хосте?
и если сделать ipconfig /all то сколько ipv4-адресов будут помечены как "(Основной)"?

Цитата:

Сообщение от водку_хочешь

Очень надеюсь, что никаких последствий не будет.

если бы оно выпадало чаще, то можно было б пнуть wireshark и посмотреть - что с хоста летит и когда

Добавлено через 11 минут

Цитата:

Сообщение от водку_хочешь

И arp -a показывает одинаковые MAC'и, всегда. Выходит, Керио просто не всегда отображает MAC у вирт. интерфейса. Осталось узнать, что её заставляет показывать, как сейчас.

а вообще, сколько хостов в сети?
если овердофига, то могла заполниться таблица на каком-нибудь свитче
а если на каждом хосте стоит по два ip, то для заполнения таблицы надо в два раза меньше, чем овердофига записей
как-то так

а еще я (во время пертурбаций форума правда) давал линк или цитату на условия, при которых керио не видит мак хоста

[водку_хочешь]

Цитата

Сообщение от exchar

а раскрой страшную тайну - зачем тебе на хостах виртуальные адреса в той же подсети, что и основные?

Так было проще сделать несколько разных веб-серверов и скормить их обратному прокси Керио В результате, у меня один внешний IP-адрес с кучкой доменов и как бы всё разное. А потом пошёл дальше и повесил ещё один сервис на доп. адрес. Но последнее было лишним. Сделал, т.к. казалось, что так "надёжнее" и "круче". Кстати, именно про его адрес сейчас идёт речь (192.168.1.17).

Цитата

Сообщение от exchar

а вообще, какая там ОС на хосте?
и если сделать ipconfig /all то сколько ipv4-адресов будут помечены как "(Основной)"?

Гордая Win7 x64 (мне не смешно). По ipconfig все адреса основные. Работает месяцами без перезагрузки А Керио стоит на чисто голом железе.

Цитата

Сообщение от exchar

если бы оно выпадало чаще, то можно было б пнуть wireshark и посмотреть - что с хоста летит и когда

На том адресе висит только TeaamSpeak3 сервер с кучкой виртуальных серверов. Кучка UDP-портов и два TCP. Нагрузка очень простая. Если только кто-то уже не накакал в те порты. Но я в этот момент за всем этим наблюдал. Ничего подозрительного не заметил.
Да и не представляю я, как можно какнуть туда... UDP для голоса, один общий TCP для передачи файлов через клиент (скачивания, на загрузку прав нет ни у кого) и один общий TCP-порт, к которому разрешено обращение только с конкретных хостов, типа GameTracker и TSViewer.com.

Цитата

Сообщение от exchar

а вообще, сколько хостов в сети?

Слишком мало, чтобы могло на что-то повлиять.

Цитата

Сообщение от exchar

если овердофига, то могла заполниться таблица на каком-нибудь свитче

Если только он неисправен совсем и потерял 99% своей функциональности. Мелкий, копеечный, неуправляемый Cisco. Внутри даже не знаю, что. Может и "РеальныеТехнологии".

Цитата

Сообщение от exchar

а еще я (во время пертурбаций форума правда) давал линк или цитату на условия, при которых керио не видит мак хоста

Я перечитал всё, что только нашёл, в т.ч. на оф. форуме Керио и описание хост лога _http://kb.kerio.com/product/kerio-control/logs/using-the-host-log-1571.html

оттуда:
[MAC] 00-0c-29-1d-cc-bd (Apple) — MAC address of the host. If the MAC address is not displayed, Kerio Control is not able to see the MAC address of the host.

Why Kerio Control does not know the MAC address
Kerio Control does not know the MAC address in the following cases:

- You use a routed network and the computer is placed behind a router.
Нет, всё напрямую.

- The host is connected to the network via a VPN client (either Kerio VPN or IPsec).
Если IP aliasing считается, то да. Но оно же не считается?

- The browser on the host is set to use a non-transparent proxy.
Нет.

Но я прихожу к выводу, что Керио просто вот так отображает его. Ведь с других ПК по arp -a одинаковый MAC появляется у всех вирт. адресов. Например, не было обращения на 192.168.1.17 напрямую из локалки (не зачем) и нет по arp -a его. Как только пинганёшь, по arp -a появляется. Но только на том ПК, на котором выполняется команда.

Осталось узнать, что должно произойти, чтобы Керио такое сделал. Т.е. ей можно присваивать разным IP-адресам один MAC, а мы в Фильтрации MAC так сделать не можем. В принципе, всё равно, лишь бы проблем не было.

Это тоже прочитал [Для просмотра данной ссылки нужно зарегистрироваться]

Только сейчас обратил внимание, по arp -a с некоторых ПК, MAC внешнего IP-адреса Керио (тот, что интернет), такой же, как и внутреннего. Сетевые карты разные, разумеется, одна в инет, вторая в мою локалку. Инет Керио получает по VLAN. Никакого VPN и прочего, всё стандартно.

C:\Windows\System32>arp -a

C:\Windows\System32>arp -a

Интерфейс: 192.168.1.2 --- 0x10
  адрес в Интернете      Физический адрес      Тип
  95.xxx.xxx.xxx         c8-60-00-6d-84-c7     динамический - Керио в интернете (MAC принадлежит карте, что смотрит в локалку)
  192.168.1.4           84-8e-df-ec-d6-d4     динамический
  192.168.1.7           e8-de-27-ed-6e-ad     динамический
  192.168.1.10          c8-60-00-6d-84-c7     динамический - Керио у меня
  192.168.1.11          ec-43-f6-df-ad-34     динамический
  192.168.1.15          e8-de-27-03-ce-16     динамический
  192.168.1.16          e8-de-27-03-ce-16     динамический
  192.168.1.17          e8-de-27-03-ce-16     динамический
  192.168.1.255         ff-ff-ff-ff-ff-ff     статический
  224.0.0.22            01-00-5e-00-00-16     статический
  224.0.0.252           01-00-5e-00-00-fc     статический
  239.255.255.250       01-00-5e-7f-ff-fa     статический

Это нормально? После удаления записи (arp -d 95.xxx.xxx.xxx), больше она не появлялась.

[exchar]

Цитата:

Сообщение от водку_хочешь

повесил ещё один сервис на доп. адрес. Кстати, именно про его адрес сейчас идёт речь (192.168.1.17)

можно с керио собрать дамп для wireshark и таки понять что куда летало, но это трудно, т.к. пишется много а факап редко

можно поковырять доп. опции лога debug в разрезе активных хостов и лицензирования, например в сочетании с логированием соединений и выставлением нужного трафика (на 1.17) в отдельное правило, но это не гарантирует результат и геморрой больше размера проблемы

а можно не искать под фонарем и задать вопрос техподдержке через сайт
ну или если очень свербит нужно, то спроси у [Для просмотра данной ссылки нужно зарегистрироваться] в личку хотя я думаю, что тему эту он уже видел

ну или не париться и забить

Добавлено через 9 минут

Цитата:

Сообщение от водку_хочешь

MAC внешнего IP-адреса Керио (тот, что интернет), такой же, как и внутреннего.

что-то было такое на форуме
но при условии замыкании канализации на водопровод втыкании lan и wan в один домен коллизий

Здравствуйте.
А у меня в этом логе помимо локальных - внешние IP-адреса:

Цитата

[08/Feb/2017 09:03:11] [IPv4] 192.168.27.13 [MAC] 60-a4-4c-af-12-af (ASUSTek COMPUTER INC.) - Host registered
[08/Feb/2017 09:03:11] [IPv4] 192.168.27.13 [MAC] 60-a4-4c-af-12-af (ASUSTek COMPUTER INC.) [User] Васильева - User logged in
[08/Feb/2017 09:07:27] [IPv4] 121.201.101.10 - Host removed
[08/Feb/2017 09:09:11] [IPv4] 123.149.131.179 - Host removed
[08/Feb/2017 09:10:23] [IPv4] 61.147.96.162 - Host removed
[08/Feb/2017 09:11:04] [IPv4] 123.59.105.119 - Host removed
[08/Feb/2017 09:13:30] [IPv4] 219.138.108.226 - Host removed
[08/Feb/2017 09:13:52] [IPv4] 122.227.189.214 - Host removed
[08/Feb/2017 09:16:02] [IPv4] 122.227.189.207 - Host removed

Хотя должны быть только локальные? Кто-то через мой шлюз юзает мой инет?

Есть идея добавить в правиле, где NAT, указать все локальные хосты. Их штук 10-14 всего.

[exchar]

Цитата

Сообщение от kerusr

А у меня в этом логе помимо локальных - внешние IP-адреса:

вынь wan провайдера из свитча локалки
и никогда больше его туда не суй

А если серьезно ?

[exchar]

Цитата

Сообщение от kerusr

А если серьезно ?

да я вполне серьезен
если на скрине все правила и они соответствуют реальным, то регистрации левых хостов не должно быть

[naliman]

Цитата

Сообщение от kerusr

А если серьезно

а если серьёзно - нарисуй в пайнте какие устройства у тебя есть, как соединены они проводочками и какие адресе в местах соединений

вероятно будет над чем посмеяться или подумать

[HOG]

Цитата

Сообщение от kerusr

А если серьезно

ну а куда серьезней? Походу у тебя так и есть. Иначе откуда регистрационные соединения в licensing infogmation формате с внешних IP??

Всё ок, перестали сыпаться внешние ip в лог. Видимо когда убрал галку с прокси. Спасибо вам за оперативную помощь)

[водку_хочешь]

Если бы я у себя увидел в этом логе внешние адреса, я б наверное умер сразу

[naliman]

Цитата

Сообщение от kerusr

Всё ок, перестали сыпаться внешние ip в лог. Видимо когда убрал галку с прокси. Спасибо вам за оперативную помощь)

камрад, то что адреса появляться в логе перестали - это прекрасно безусловно
однако, помимо прекрасного результата - совершенно необходимо осознание того ПОЧЕМУ ТАК СЛУЧИЛОСЬ, без этого весь лоск результата - одноразовый
выделенное красным - делает однозначную причинно-следственную связь произошедшего всего лишь вероятной, то есть не однозначной
но это я так, брюзжу по-стариковски
главное что тебе это малоинтересно