Nieznane IP w sieci LAN.

[BeeMee 18]

Panowie... i Panie ?

Moje pytanie brzmi co to może być za dziwny adres IP?

Dziwny dlatego, że mam IP przypisane na stałe w urządzeniach do jakich tylko mam dostęp konfiguracyjny. Dla dwóch urządzeń w których nie mam możliwości konfiguracji włączone DHCP ale zarezerwowane na stałe i ograniczone tylko do tych adresów IP. Dodatkowo te dwa urządzenia są połączone WiFi dla gości bez dostępu do sieci lokalnej. Oczywiście żadne ze znanych mi łączących się z routerem urządzeń nie posiada ani takiego adresu IP ani mac adresu.

Ze statystyk wychodzi że łączy się kilka razy dziennie przesyła kilka pakietów i jak widać 212 bitów na każdy pakiet.

Trochę mnie to niepokoi... a jeśli chodzi o sieci to tyle wiem ile zjem ?

 

[narmiak 388]

Super Micro Computer, Inc. - MAC or OUI address lookup - What is my IP address? (hwaddress.com)

Supermicro - Wikipedia

[BeeMee 18]

Narmiak dzięki za odpowiedź ale to już znalazłem. Tylko wiedza na temat tego, że teoretycznie do mojej sieci LAN podłączyło się urządzenie wyprodukowane przez firmę Supermicro przynajmniej mnie niewiele daje. A przynajmniej ja nie bardzo wiem co z tą wiedzą mogę zrobić...

[Qwinto 413]

57 minut temu, BeeMee napisał:

Ze statystyk wychodzi że łączy się kilka razy dziennie przesyła kilka pakietów i jak widać 212 bitów na każdy pakiet.

To zablokuj ten adres MAC i obserwuj czy się pojawi jakiś nowy. Połączenie pojawia się przez WiFi czy po kablu? Spróbuj przeskanować nmapem ten adres, obserwuj kiedy się pojawia, czy jest stale dostępny.

[narmiak 388]

To może być krok w zidentyfikowaniu urządzenia. Ludzie często robią sobie NASy na płytach głównych od Supermicro. Jeżeli urządzenie jest ciągle aktywne puść na nie ping i po kolei odpinaj kable aż przestanie odpowiadać. Jeżeli dalej będzie odpowiadać to sprawdź WiFi. Kismet na Linuxa będzie w stanie podać siłę sygnału danego urządzenia więc po prostu trzeba będzie chodzić z laptopem i może znajdziesz, gdzie jest ono umieszczone.

[BeeMee 18]

Dzięki wielkie Panowie za chęć pomocy.

Bardziej szczegółowo sytuacja wygląda tak że wszystkie urządzenia mogące łączyć się przez WiFi mam filtrowane po mac adresie więc teoretycznie nie powinno być możliwe połączenie bezprzewodowe z niedozwolonego adresu mac. W wireless statistics brak nieznanego urządzenia.

Po kablu podłączony lapek, TV, NAS, komp. Komp i TV za pośrednictwem switcha.

Korzystając z ARP połączyłem ten nieznany mac adres z innym IP czyli o ile dobrze rozkminiam nie powinien móc się połączyć? Znane mac adresy połączyłem z właściwymi IP. Mam router Tp Linka WDR4300 nie bardzo wiem jak tu zablokować mac adress, będę jeszcze rozkminiał.

Po połączeniu tego maca z tym błędnym IP o tak pojawił się dodatkowy ruch w statystykach...

Próbowałem pingować to IP ale było niedostępne, wygląda jakby pojawiało się dosłownie na chwilę, kilka razy w ciągu dnia za każdym razem przesyłając te 2 pakiety i 212 bitów.

Zainstalowałem Zenmap ale świeżakowi i zielonemu groszkowi zawsze coś musi nie działać ? i: Failed to open device eth0.

Włączyłem teraz ping dla tego IP z lini poleceń windowsa i dziwne bo: badanie IP 10.0.0.2 a odpowiedź z 10.0.0.10 (komp) i host docelowy jest nieosiągalny.

EDIT:

Powoli już zaczynam myśleć, że mnie chinczyki za pośrednictwem odkurzacza hakują ?

Edytowane 22 Stycznia 2022 przez BeeMee

[BeeMee 18]

Na tą chwilę powoli wyłączam usługi/opcje, sieć gościnna, całkowicie WiFi itd.

Panowie pytanie czy router sam może coś takiego wygenerować na zasadzie jakiegoś błędu czy też w wyniku jakiejś usługi czy to DHCP czy sieci gościnnej?

Pytam bo po wyłączeniu WiFi pojawiła się w statystykach pozycja ze znanym IP i mac adresie z samymi zerami. To IP łączy się tylko przez WiFi tak, że odbieram to jako błąd w statystykach po wyłączeniu WiFi właśnie.

Nieznanego IP nie udało się pingować, przez noc w statystykach nic się nie pojawiło, ponownie dopiero w ciągu dnia.

EDIT:

Po wyłączeniu WiFi nieznane IP w statystykach się nie pokazuje, nie ma go w ARP List, pomimo zablokowania mac adresu w dalszym ciągu pokazuje się w statystykach, pojawiło się zaraz po włączeniu WiFi.

Edytowane 23 Stycznia 2022 przez BeeMee

[El-Loco 14]

Witaj/Witajcie!

Jeśli tego jeszcze nie testowałeś to zamiast ping użyj tracert lub pathping i zobacz dokąd cię to zaprowadzi. Jeśli masz net od Orange to  zakres IP 10.0.0.0/8 jest zarezerwowany dla jakiejś ich podsieci. Dla mojego łącza od nich, tracert 10.0.0.2 kończy się na:  3  10.81.38.146  reports: Destination net unreachable.     

Kłoni się - El Loco

[Qwinto 413]

Godzinę temu, El-Loco napisał:

Jeśli tego jeszcze nie testowałeś to zamiast ping użyj tracert lub pathping i zobacz dokąd cię to zaprowadzi. Jeśli masz net od Orange to  zakres IP 10.0.0.0/8 jest zarezerwowany dla jakiejś ich podsieci. Dla mojego łącza od nich, tracert 10.0.0.2 kończy się na:  3  10.81.38.146  reports: Destination net unreachable.    

Spoko EI-Loco, fajnie że chcesz pomagać, ale żeby to robić trzeba mieć jakąś podstawową wiedzę. Pozwól że troszeczkę przybliżę temat o którym nie masz zielonego pojęcia. "zakres IP 10.0.0.0/8" oraz dwa inne zostały przewidziane do wykorzystywania w sieciach wewnętrznych LAN (firm, banków, telcomów, datacenter, itd), są to tzw Adresy prywatne. Także podsieć 10.0.0.0/8 może być wszędzie. Nie jest to zakres zarezerwowany tylko dla jednej konkretnej firmy. Możesz mieć ją nawet w domu (o ile router na to pozwoli).

Gdybyś uważnie przeczytał wątek, zauważyłbyś że jego Autor wykorzystuje w domu adresację sieci 10.0.0.0 ale pewnie z prefiksem 24 a nie 8 bitowym. Problematyczny adres pojawia się w jego sieci wewnętrznej, więc żaden tracert czy pathping mu najzwyczajniej nie pomoże. A dlaczego? Bo nie wychodzi to poza jego domową sieć LAN...

[Bono[UG] 1626]

W dniu 23.01.2022 o 15:50, BeeMee napisał:

Po wyłączeniu WiFi nieznane IP w statystykach się nie pokazuje, nie ma go w ARP List, pomimo zablokowania mac adresu w dalszym ciągu pokazuje się w statystykach, pojawiło się zaraz po włączeniu WiFi.

Czyli już wiesz, że to po sieci bezprzewodowej.
Zrób sobie listę jakie urządzenia się tak łączą. Wyłącz wszystkie, a potem pojedynczo włączaj i zobacz kiedy się ten adres pojawi.

W ostateczności zmień hasło WiFi i zobacz czy wróci ten adres.

W dniu 22.01.2022 o 19:47, BeeMee napisał:

Włączyłem teraz ping dla tego IP z lini poleceń windowsa i dziwne bo: badanie IP 10.0.0.2 a odpowiedź z 10.0.0.10 (komp) i host docelowy jest nieosiągalny.

Normalne zachowanie. Przy braku odpowiedzi będzie podane ip komputera z którego pingujesz.

W dniu 23.01.2022 o 15:50, BeeMee napisał:

Panowie pytanie czy router sam może coś takiego wygenerować na zasadzie jakiegoś błędu czy też w wyniku jakiejś usługi czy to DHCP czy sieci gościnnej?

Jesteś w stanie zidentyfikować protokół i adres docelowy tych pakietów?
Jeżeli to jakiś broadcast, multicast, to może da się złapać przy pomocy Wireshark. Jeżeli zwykłe połączenie, to niestety jedynie na routerze jest taka możliwość.

[BeeMee 18]

Dziękuję Panowie Wam wszytki bardzo za chęć pomocy, nie pisałem w temacie żeby nie spamować na zasadzie a to się pokazuje a to znika a to jednak nie znika...

Na tą chwilę już jest pewne, że to dziwne IP pokazuje się tylko i wyłącznie  w momencie kiedy do sieci wepnę switch TP-Linka, zwykły niezarządzalny, gigabitowy ośmioportowy switch. Do switcha podpięty jest komp i TV. Komp podpięty bezpośrednio do routera i brak nieznanego IP w statystykach.

Co o tym myślicie, jakiś błąd w statystykach routera, jest się czym martwić? Męczy mnie to już strasznie...

Na tą chwilę czekam też na nowy zasilacz do routera bo po tych wszystkich zabawach, resetach itd w weekendo miałem jakieś dziwne rozłączanie WiFi (nigdy wcześniej nie było problemów) oraz router po chwili zaczyna blokować cześć ruchu do netu przy włączonych statystykach. Statystyki wyłączone działa stabilnie...

Edytowane 8 Lutego 2022 przez BeeMee

[Qwinto 413]

Godzinę temu, BeeMee napisał:

Na tą chwilę już jest pewne, że to dziwne IP pokazuje się tylko i wyłącznie  w momencie kiedy do sieci wepnę switch TP-Linka, zwykły niezarządzalny, gigabitowy ośmioportowy switch.

A jaki to model?

[BeeMee 18]

TP-Link: TL-SG1008D.

[Qwinto 413]

6 minut temu, BeeMee napisał:

W dniu 22.01.2022 o 18:51, Qwinto napisał:

W dniu 22.01.2022 o 17:46, BeeMee napisał:

Spróbuj przeskanować nmapem ten adres, obserwuj kiedy się pojawia, czy jest stale dostępny.

TP-Link: TL-SG1008D.

Przeskanuj nmapem, może jednak ma jakiś web interface Albo od razu wpisz ten adres do przeglądarki.

[BeeMee 18]

W dniu 8.02.2022 o 18:38, Qwinto napisał:

może jednak ma jakiś web interface

Qwinto nie znęcaj się nad użyszkodnikiem ? Po półtorej dnia bez switcha IP oczywiście się pojawiło...

Mógłbyś mi podać proszę komendę jaką mógłbym wykorzystać żeby zrobić skan nmapem? Po skorzystaniu z: nmap -Pn 10.0.0.2

Nmap scan report for 10.0.0.2
Host is up.
All 1000 scanned ports on 10.0.0.2 are in ignored states.
Not shown: 1000 filtered tcp ports (no-response)

Nmap done: 1 IP address (1 host up) scanned in 408.78 seconds

Cóż to znaczy? ?

Edit:

Czemu podczas skanowania jak daj mi znać Eset, nmap potrzebuje się połączyć z DNS googlowym 8.8.8.8?

Edytowane 9 Lutego 2022 przez BeeMee

[Qwinto 413]

Godzinę temu, BeeMee napisał:

W dniu 8.02.2022 o 18:38, Qwinto napisał:

może jednak ma jakiś web interface

Qwinto nie znęcaj się nad użyszkodnikiem ? Po półtorej dnia bez switcha IP oczywiście się pojawiło...

Nic z tych rzeczy

Godzinę temu, BeeMee napisał:

Mógłbyś mi podać proszę komendę jaką mógłbym wykorzystać żeby zrobić skan nmapem? Po skorzystaniu z: nmap -Pn 10.0.0.2

Nmap scan report for 10.0.0.2
Host is up.
All 1000 scanned ports on 10.0.0.2 are in ignored states.
Not shown: 1000 filtered tcp ports (no-response)

Nmap done: 1 IP address (1 host up) scanned in 408.78 seconds

Cóż to znaczy?

Ta komenda wystarczy. I tak nic nie pokazało, więc pewnie nic nie ma.
Output komeny mówi tylko tyle że po przeskanowaniu tysiąca popularnych portów nmap zwrócił tylko że host jest up. Więc zwróć tylko uwagę czy samo podłączenie tego switcha spowoduje odpowiedź na ping na adresie 10.0.0.2.

1 godzinę temu, BeeMee napisał:

Edit:

Czemu podczas skanowania jak daj mi znać Eset, nmap potrzebuje się połączyć z DNS googlowym 8.8.8.8?

Nie mam pojęcia.

[rafall93123 12]

W dniu 8.02.2022 o 17:18, BeeMee napisał:

Na tą chwilę już jest pewne, że to dziwne IP pokazuje się tylko i wyłącznie  w momencie kiedy do sieci wepnę switch TP-Linka, zwykły niezarządzalny, gigabitowy ośmioportowy switch. Do switcha podpięty jest komp i TV. Komp podpięty bezpośrednio do routera i brak nieznanego IP w statystykach.

Co z telewizorem? Przecież większość komponentów jest z chin więc to musza być oni. Heh no i masz producenta karty, więc zostaje sprawdzić jaką ma TV.

[Bono[UG] 1626]

W dniu 8.02.2022 o 17:18, BeeMee napisał:

Na tą chwilę już jest pewne, że to dziwne IP pokazuje się tylko i wyłącznie  w momencie kiedy do sieci wepnę switch TP-Linka, zwykły niezarządzalny, gigabitowy ośmioportowy switch. Do switcha podpięty jest komp i TV. Komp podpięty bezpośrednio do routera i brak nieznanego IP w statystykach.

Switch goły i wesoły, czy z podpiętym komputerem i TV?

Jeżeli z PC i TV, to żaden test, bo nadal nie wiesz, które z tych 3 urządzeń.
Trzeba metodycznie, najpierw sam switch i jak nie pojawi się, to podłączyć kolejne urządzenie.

20 godzin temu, BeeMee napisał:

Czemu podczas skanowania jak daj mi znać Eset, nmap potrzebuje się połączyć z DNS googlowym 8.8.8.8?

Bo próbuje sprawdzić nazwę skanowanego hosta.
W pracy mamy jakiś automat DNS łapiący nazwy komputerów i nmap poprawnie wypisał nazwę mojego komputera oraz maszyny wirtualnej na nim osadzonej.

[BeeMee 18]

@Bono[UG]; @rafall93123 Panowie pisałem w jednym z postów, że przy całkowicie odłączonym switchu i kompie podpiętym bezpośrednio do routera to nieznane IP i mac adres się pojawiły. Znam też IP wszystkich podpiętych w sieci urządzeń, mam włączone filtrowanie WiFi po mac adresie, ARP i o ile dobrze rozumiem powinno zablokować ruch dla niedobranej pary IP i maca, ruchu dla tego nieznanego IP jednak nie blokuje.

Wyłączałem już całkowicie WiFi, odłączałem switcha, pozostaje mi tylko do odłączenia NAS i komp i chyba dać popracować sobie routerowi na biegu jałowym ?

@Qwinto po podłączeniu switcha jest jak było, IP na ping nie odpowiada, nmap pokazuje identyczny wynik skanowania.

@Bono[UG] dzięki za wyjaśnienie tych prób połączenia z DNS.

Nie mam za bardzo na razie skąd ale zastanawiam się nad pożyczeniem innego routera do testów i sprawdzenia czy pokaże też coś podobnego w statystykach.

Wiecie co jest najśmieszniejsze, prawdopodobnie gdyby nie chiński odkurzacz to statystyki miałbym wyłączone i żył nieświadomy i szczęśliwy bo oprócz tego, że pokazuje się to kaprawe IP wszystko śmiga bez zarzutu... Jak żyć? ?

[Qwinto 413]

Godzinę temu, BeeMee napisał:

@Bono[UG]; @rafall93123 Panowie pisałem w jednym z postów, że przy całkowicie odłączonym switchu i kompie podpiętym bezpośrednio do routera to nieznane IP i mac adres się pojawiły. Znam też IP wszystkich podpiętych w sieci urządzeń, mam włączone filtrowanie WiFi po mac adresie, ARP i o ile dobrze rozumiem powinno zablokować ruch dla niedobranej pary IP i maca, ruchu dla tego nieznanego IP jednak nie blokuje.

Filtrowanie mac na WiFi działa tylko po WiFi. Możesz ewentualnie dla danego adresu MAC ustawić przydzielanie adresu 0.0.0.0.

Jaki masz teraz router na którym to wszystko sprawdzasz?

[BeeMee 18]

Filtrowanie mac to tylko WiFi, to jak najbardziej kumam.

Nie wiem tylko czy dobrze kumam opcję IP & MAC Binding. Rozumiem to na takiej zasadzie, że łączę ze sobą mac z IP co oznacza, że w przypadku podłączenia urządzenia z danym mac adresem musi ono posiadać takie konkretne IP i na odwrót, w innym przypadku się nie połączy. Dobrze to rozumiem Qwinto?

Mój router to stareńki TL-WDR4300

Dzięki wielkie jeszcze raz za pomoc, zrobiła się z tego już brazylijska telenowela ?

[Qwinto 413]

30 minut temu, BeeMee napisał:

Nie wiem tylko czy dobrze kumam opcję IP & MAC Binding. Rozumiem to na takiej zasadzie, że łączę ze sobą mac z IP co oznacza, że w przypadku podłączenia urządzenia z danym mac adresem musi ono posiadać takie konkretne IP i na odwrót, w innym przypadku się nie połączy.

Jeśli urządzenie zgłosi się do DHCP z konkretnym MACAdresem to otrzyma taki adres jaki będzie do niego przypisany w konfiguracji. Jak zmienisz MAC w urządzeniu na inny to ono dostanie już inny adres IP z serwera DHCP.

34 minuty temu, BeeMee napisał:

Mój router to stareńki TL-WDR4300

Masz tam domyślny soft czy jakieś OpenWRT? Jak domyślne to zobacz to.

[Bono[UG] 1626]

21 godzin temu, BeeMee napisał:

@Bono[UG]; @rafall93123 Panowie pisałem w jednym z postów, że przy całkowicie odłączonym switchu i kompie podpiętym bezpośrednio do routera to nieznane IP i mac adres się pojawiły. Znam też IP wszystkich podpiętych w sieci urządzeń, mam włączone filtrowanie WiFi po mac adresie, ARP i o ile dobrze rozumiem powinno zablokować ruch dla niedobranej pary IP i maca, ruchu dla tego nieznanego IP jednak nie blokuje.

Wyłączałem już całkowicie WiFi, odłączałem switcha, pozostaje mi tylko do odłączenia NAS i komp i chyba dać popracować sobie routerowi na biegu jałowym ?

Może czegoś nie zrozumiałem.

Jak się da to wejdź po ssh na nas-a i podejrzyj jakie ma ip-ki (polecenie: ip addr). Jeżeli się nie da lub polecenie nie potwierdzi adresu, to odłączaj.
Przy okazji co to za nas?

Po głowie chodzi mi jeszcze wbicie się na router po ssh, względnie telnet.
Lub coś podobnego co dał Qwinto tylko przez przeglądarkę: https://zaufanatrzeciastrona.pl/post/wbudowany-root-shell-na-routerach-tp-link/

Jak się wbije na na ssh lub tą webową konsolę to tak samo: ip addr

[BeeMee 18]

W dniu 10.02.2022 o 22:15, Qwinto napisał:

W dniu 10.02.2022 o 21:39, BeeMee napisał:

Nie wiem tylko czy dobrze kumam opcję IP & MAC Binding. Rozumiem to na takiej zasadzie, że łączę ze sobą mac z IP co oznacza, że w przypadku podłączenia urządzenia z danym mac adresem musi ono posiadać takie konkretne IP i na odwrót, w innym przypadku się nie połączy.

Jeśli urządzenie zgłosi się do DHCP z konkretnym MACAdresem to otrzyma taki adres jaki będzie do niego przypisany w konfiguracji. Jak zmienisz MAC w urządzeniu na inny to ono dostanie już inny adres IP z serwera DHCP.

Qwinto brzmi jak rezerwacja adresów przy DHCP nie o tym pisałeś? Bo oprócz rezerwacji IP dla dwóch urządzeń który wykorzystują DHCP mam właśnie dodatkowo łączenie IP i mac adresu.

 

W dniu 10.02.2022 o 22:15, Qwinto napisał:

Masz tam domyślny soft czy jakieś OpenWRT? Jak domyślne to zobacz to.

Mam domyślny soft ale zaktualizowany i z tego co sprawdzałem zabezpieczony już przed tą podatnością ale OpenWRT to dobry pomysł bo spodziewam się, że będzie tam trochę więcej widać niż w statystykach softu TPLinka no i oczywiście będzie widać czy to dziwne IP się pojawi.

Pytanie tylko czy wrzucając np: openwrt-21.02.1-ath79-generic-tplink_tl-wdr4300-v1-squashfs-factory będę miał już GUI? Próbując się zorientować w temacie i chociaż trochę przygotować obiło mi się o oko, że ludzie prosili o przygotowanie firmwareu z LuCI np. Z kolei w instrukcji instalacji pokazują, że powinienem zobaczyć GUI od razu po instalacji i wpisaniu IP routera.

17 godzin temu, Bono[UG] napisał:

Jak się da to wejdź po ssh na nas-a i podejrzyj jakie ma ip-ki (polecenie: ip addr). Jeżeli się nie da lub polecenie nie potwierdzi adresu, to odłączaj.
Przy okazji co to za nas?

Po głowie chodzi mi jeszcze wbicie się na router po ssh, względnie telnet.
Lub coś podobnego co dał Qwinto tylko przez przeglądarkę: https://zaufanatrzeciastrona.pl/post/wbudowany-root-shell-na-routerach-tp-link/

Jak się wbije na na ssh lub tą webową konsolę to tak samo: ip addr

NAS to Synology DS 211j i spróbuję sprawdzić to co napisałeś Bono[UG].

Co do routera to firmware który mam już chyba zabezpiecza przed tą podatnością bo konsola webowa się nie pojawia, jest tylko zwykłe okno logowania. Nigdy też nie zezwalałem na dostęp do routera spoza sieci lokalnej.

[Qwinto 413]

1 godzinę temu, BeeMee napisał:

Qwinto brzmi jak rezerwacja adresów przy DHCP nie o tym pisałeś? Bo oprócz rezerwacji IP dla dwóch urządzeń który wykorzystują DHCP mam właśnie dodatkowo łączenie IP i mac adresu.

Tak, dokładnie.

1 godzinę temu, BeeMee napisał:

Pytanie tylko czy wrzucając np: openwrt-21.02.1-ath79-generic-tplink_tl-wdr4300-v1-squashfs-factory będę miał już GUI? Próbując się zorientować w temacie i chociaż trochę przygotować obiło mi się o oko, że ludzie prosili o przygotowanie firmwareu z LuCI np. Z kolei w instrukcji instalacji pokazują, że powinienem zobaczyć GUI od razu po instalacji i wpisaniu IP routera.

TL-WDR4300 ma tylko 8MB flasha, to o połowę za mało na GUI...