2 Netzwerkkarten - Anfragen werden über falsche Karte gesendet

Mitglied: leuaner

leuaner (Level 1) - Jetzt verbinden

23.09.2011, aktualisiert 18.10.2012, 8590 Aufrufe, 6 Kommentare

Wir verzeichnen auf unserer Firewall Zugriffe der Domainencontroller auf IP-Adressen, die eigentlich über eine 2.Netzwerkkarte sofort erreicht werden könnten.

Hallo zusammen,

Wir haben folgende Netzwerk-Konstellation:


Internet --- Router+Firewall --- Hausnetz (PCs, Drucker) --- mehrere Server, u.a. DC --- Backbone
(10.0.0.31) (10.0.0.0/16) (haben je 2 Ethernet-Karten) (192.168.6.0/24)

Es gibt also 2 Netze (10er und 192er abgekürzt). Im 10er Netz hängt der Router, der ebenfalls Firewall spielt,
sowie alle Arbeitsstation, Drucker und Server. Alle Server haben noch eine 2.Netzwerkkarte, über die diese
nochmal in einem schnelleren Backbone untereinander verbunden sind. Wir nutzen z.B. viele Terminalserver
und Datenbankserver. So können die Anwendungen auf den TSen schneller auf die Datenbanken üder das
Backbone zugreifen. Alle Server routen nicht, d.h. man kommt nicht von einem Netz in das andere.
Nur die Server können sich gegenseitig untereinander über beide Wege erreichen.
Der DNS-Server läuft auf unseren beiden DCs, dort gibt es zwei forward-Zonen (firma.de und backbone), in denen
jeweils die Server mit den jeweiligen IPs eingetragen sind.

Nun haben wir in dem Protokoll auf der Firewall beobachtet, dass ständig Anfragen unserer beiden Domänencontroller
blockiert werden. Der Haupt-DC hat z.B. die IPs (10.0.0.43 und 192.168.6.43). Das komische ist, dass die Anfragen,
die blockiert werden, eigentlich Ziel-IPs haben, die in unserem Backbone liegen, z.B. zur IP 192.168.6.42 (ein TS).
Meist ist Port 137 betroffen. Die Meldungen sehen etwa so aus:

Deny 10.0.0.43 (Port 137) -> 192.168.6.42 (Port 137) netbios-ns/udp

Die Frage ist, wieso versucht der DC den Terminalserver mit seiner Backbone-Adresse über die falsche Netzwerk-
Karte zu erreichen? Er hat eine 2.Netzwerkkarte, die direkt in dem gesuchten Netz liegt. Die Server sind auch
tatsächlich ohne Probleme über ihre Backbone-Adressen vom DC zu erreichen (z.B. über ping). Durchschnittlich
1 mal in der Sekunde kommt eine Anrfage vom DC zu einem anderen Server über die falsche Karte bei der Firewall
an und wird dort blockiert.

Wir benutzen nur Win2008R2-Server (DCs und TS) und haben eine 2008er Domäne. Die DCs und einige andere Server
sind unter VMWare virtualisiert, so dass die Netzwerkkarten virtuell sind, aber der VMWare-Server hat 2 physikalische
Netzwerkkarten in beide Netze.

Ein Auszug der Config vom DC:

Kann mir da jemand weiterhelfen, oder hat zumindest eine Idee, wie man das Problem eingrenzen
kann?

Danke
Mitglied: Hubert.N
23.09.2011, aktualisiert 18.10.2012
Moin

Klar habe ich ein Idee: Indem du zuallererst einmal den vortrefflichen Artikel von dog zum Thema Multihomed DCs durchliest und auch abarbeitest.

Das, was du da konfiguriert hast ist nicht ganz so trivial, wie es auf den ersten Blick erscheint...


Gruß

Hubert
Bitte warten ..
Mitglied: leuaner
23.09.2011 um 12:18 Uhr
Hallo Hubert,

Danke für den interessanten Link. Ich habe ihn durchgelesen und auf unseren beiden DCs kontrolliert.
Die Einstellungen stimmten weitestgehend mit der Anleitung überein.

Ich glaube aber nicht, dass ein DNS-Problem vorliegt. Der DC hat ja die korrekt IP des TS ermittelt,
jedoch versucht er (manchmal?) diesen über die falsche Ntzwerkkarte zu erreichen.

Gruß
Bitte warten ..
Mitglied: aqui
23.09.2011, aktualisiert 18.10.2012
Hast du Routing aktiviert auf den NICs oder bedienen sie getrennt diese beiden Segmente ??
https://www.administrator.de/wissen/routing-mit-2-netzwerkkarten-unter-w ...
Falls ja, auf allen Servern (Gefahr der Backdoor Route !) oder nur auf einem ?
Bitte warten ..
Mitglied: leuaner
23.09.2011 um 17:41 Uhr
Nein, es ist kein Routing auf den Servern konfiguriert. Man kommt nicht von einem Netz ins andere.
Beide Netze sind daher nur von den Servern selbst gleichzeitig zu erreichen, da sie jeweils zwei
NICs haben.
Das Problem ist aber genau auf zweien dieser Serve, nämlich den beiden DCs. Obwohl alles
funktioniert, kommt aud der Firewall, die nur im 10er-Netz hängt, Anfragen von den beiden DCs für
das 192er-Netz an.
Bitte warten ..
Mitglied: aqui
23.09.2011 um 18:43 Uhr
Folglich hast du also irgendwo im Netz eine "wilde" Backdoor Bridge (Layer 2 Verbindung) die Pakete aus diesem Netz illegalerweise forwardet. Das ist natürlich tödlich für die IP Kommunikation und für die Sicherheit.
Finde also heraus WO diese Löcher sind !! Das ist ganz einfach indem du dir mit dem Wireshark Sniffer oder dem MS NetMonitor einmal diese Pakete ganz genau ansiehst die dort ankommen.
Anhand deren Layer 2 Adresse sprich also der Mac Adresse bekommst du in Minutenschnelle raus WO diese Pakete herkommen bzw. WER sie sendet.
Dann kannst du diese Loch stopfen und das sollte dein Problem im Handumdrehen lösen !!
Bitte warten ..
Mitglied: leuaner
28.09.2011 um 16:23 Uhr
Ich habe Wireshark mal auf einem der Server installiert, von denen die falschen Pakete ausgehen.
Auf dem Server mit den IPs 10.0.0.43 bzw. 192.168.6.43 habe ich beide NICs mal separat getracet.
Die 192er NIC schient in Ordnung zu sein, Dort gibt es nur Datenpakete aus dem eigenen 192er Netz.

Das Problem scheint aber auf der 10er NIC zu liegen. Dort werden manchmal Pakete rausgeschickt,
die eigentlich in das 192er-Netz gehören. Sende- und Empfangsport ist immer 137 (NetBios).

Beispiel eines solchen Datenpakets:

Source Dest Protocol Length Info
10.0.0.43 192.168.6.140 NBNS 98 Name query response, Requested name does not exist

Diese Pakete kommen bei unserer Firewall an und werden dort blockiert. Sie stammen also direkt vom
Absender und kommen nicht durch eine Backdoor-Bridge. Der sendende Server schickt die NetBios-Anfrage
einfach fälschlicherweise über das falsche Interface raus (10.0.0.43) und nicht über das Interface (192.168.6.43).

Ich habe gerade durch Tests festgestellt, dass die WINS-Einstellungen in den Eigenschaften der NICs eine
Rolle spielen:

Wenn ich die NetBIOS-Einstellungen dort ändere auf "NetBIOS über TCP/IP deaktivieren", dann erscheinen die
Pakete nicht mehr. Sicherlich liegt dies daran, dass ich damit NetBIOS ganz ausschalte. Hat vielleicht jemand
eine Lösung bei eingeschaltetem NetBIOS?
Bitte warten ..
Heiß diskutierte Inhalte
MikroTik RouterOS
Simples VLAN bringt mich zur Verzweiflung
gelöst Daniel26Vor 23 StundenFrageMikroTik RouterOS27 Kommentare

Moin, ich bin sehr neu im Mikrotik-Bereich, aber schon dabei, aufzuegeben. Wir verbauen in unserer Hardware Switche von Mikrotik. Bisher waren da Netgear-Teile drin, ...

LAN, WAN, Wireless
Switch läuft, ist aber nicht erreichbar
gelöst AndiPeeVor 1 TagFrageLAN, WAN, Wireless19 Kommentare

Hallo zusammen, mein Problemfall einleitend kurz umrissen: Privates Netzwerk Es funktioniert grundsätzlich, allerdings habe ich immer mal ein paar Ausfälle im WLAN-Netzwerk und bin ...

Microsoft
STRG + ALT + ENTF
TezzlaVor 16 StundenAllgemeinMicrosoft11 Kommentare

Mahlzeit zusammen, wir haben gerade im Kollegenkreis über Sinn und Unsinn der Sperrbildschirmentriegelung STRG + ALT + ENTF unter Win10 diskutiert. Mich würde hierzu ...

VB for Applications
Auf SQL Datenbank schreiben welche Sich im Firmennetzwerk befindet
RSST-SORVor 1 TagFrageVB for Applications12 Kommentare

Hallo Ich habe ein funktionierendes VBA Makro im EXCEL welches mit: conn.Open "driver={SQL Server};" & _ "server=RSST-OFFICEIII\RSSTSQLSERVER;database=RSSTZeiterfassung;" Daten in die Tabelle schreibt Nun würde ...

Windows 10
SMB Performance VPN
Guhl22Vor 1 TagFrageWindows 104 Kommentare

Hallo zusammen, wir stellen bei uns in der Firma ein sehr merkwürdiges Phänomen fest. Zugriffe über VPN auf gemappte Netzlaufwerke (über vbs Logon Skript ...

E-Mail
Alternative zu horde webmail
fisch56Vor 1 TagFrageE-Mail6 Kommentare

Hallo, ich habe das horde webmail auf meinem Server, macht allerdings Probleme. Suche daher eine Alternative. Das Postfach hat viele Unterordner, die z.B. bei ...

Video & Streaming
Streamingplattform mit eigenen Servern
gelöst icegetVor 18 StundenFrageVideo & Streaming5 Kommentare

Hallo liebe Community, ich würde gerne via Amazaon AWS (oder andere Cloudanbietern) mehrere Serverinstanzen (Streaming) starten, um z.B. 2000 Personen den selben Stream den ...

Microsoft Office
PST Verschwunden
shnu125Vor 1 TagFrageMicrosoft Office8 Kommentare

Guten Tag, ich habe aufgrund diverser Outlook Probleme , das Office neu installiert und unter AppData Local und AppData Roaming die dazugehörigen Ordner unter ...