zappbrannigen
Goto Top

Unbekannte LAN-IP im Netz

Hi,

kein direktes Problem, aber über einen Fakt, den ich mir nicht sicher erklären kann möchte ich gern mit eurer Hilfe Klarheit bekommen.
Und zwar Folgendes:

Habe hier ein LAN mit Router "NETGEAR ProSafe™ Gigabit Dual WAN SSL VPN Firewall FVS336Gv2", dieses ist um WLAN mittels eines TP-Link Archer C8 v1 und eines sehr alten Netgear WGR614 v7 um WLAN erweitert.
Beide WLAN-Router arbeiten lediglich als Switch ohne eigene DHCP-Vergabe, also alle WLAN-Clients werden direkt vom Router mit einer dem LAN-IP-Bereich entsprechenden IP versorgt. Das klappt alles soweit.
WLAN-Zugang wird nur über zusätzlichen MAC-Filter gewährt.

Nun zeigt mir der alte Netgear-Router in seiner Web-Oberfläche unter "attached devices" ein Gerät mit IP xxx.xxx.x.101 an, welches ich nicht zuordnen kann. Im Haupt-Router existiert dieses nicht und auch die IP ist dort nicht unter angeschlossenen Geräten aufgeführt. Es wird auch eine MAC-Adresse im alten Netgear aufgeführt, die ich mit keinem anderen Gerät in Verbindung bringen kann, bzw. auch nirgends als WLAN-Cleint eingetragen ist. Beide WLAN-Zugangspunkte haben keine weiteren angeschlossenen LAN-Geräte.

Was kann das sein, irgendeine "unechte" Switch-IP oder dergleichen? ODer kommt das vom VLAN, da dieser Router über ein (nicht von mir kontrolliertes) VLAN mit meinem Hauptnetz verbunden ist. Eigentlich sollten sich diese Netzwerke aber wie eines verhalten, was sie auch tun.

Content-ID: 285522

Url: https://administrator.de/contentid/285522

Ausgedruckt am: 25.11.2024 um 22:11 Uhr

Tjelvar
Tjelvar 14.10.2015 um 14:45:22 Uhr
Goto Top
Du kannst über die MAC Adresse erstmal ermitteln welcher Hersteller das Gerät hergestellt hat. Das ist meist schon hilfreich um ein zu Grenzen was das für ein Gerät ist.
Lochkartenstanzer
Lochkartenstanzer 14.10.2015 um 14:57:25 Uhr
Goto Top
Moin,

Einfach mal ein nmap drauf loslassen, um zu schauen, was da drauf läuft.

lks
ZappBrannigen
ZappBrannigen 16.10.2015 aktualisiert um 07:38:36 Uhr
Goto Top
Ich bin ein Stück weiter, aber habe noch keine Antwort. Gescant habe ich noch nicht, aber:

Die IP tauchte doppelt auf, aber mit unterschiedlichen MAC-Adressen. Eine Davon sowie die IP gehört dem Archer-Router von TP-Link.
Ich hatte daraufhin dessen IP geändert (xxx.xxx.x.102), schon als ich hier die Frage gestellt habe.

Nun schaue ich wieder in die Übersicht angeschlossener Geräte und jetzt ist die IP mit 101 nicht mehr vorhanden, dabei die IP vom Archer (.102) wieder zwei Mal.
Das Kuriose ist, dass die MAC-Adressen wieder nicht passen. Die eine entspricht dem LAN-Anschluss des Archers (richtig so), die andere beginnt mit 00-und ist komplett anders. Eigentlich dürfte der Archer doch nur die 4 MAC-Adressen haben, die mir vom Archer in dessen Konfig. angezeigt werden. (LAN, WAN, WLAN 2,4 GHZ und WLAN 5 GHz).

PS: Aus der MAC werde ich nicht schlau: 00-24-f7-34-7d-08

EDIT: HAbe mal den Printserver/File-Server (USB) deaktiviert, vielleicht wird damit eine eigene MAC erzeugt, die der alte Netgear-Router als eigenes Gerät interpretiert.
Tjelvar
Tjelvar 16.10.2015 um 08:13:20 Uhr
Goto Top
Moin,

die 00-24-F7 gehört lt. IEEE zu Cisco.

Gruß

Tjelvar
ZappBrannigen
ZappBrannigen 16.10.2015 um 10:38:07 Uhr
Goto Top
Mit dem TP (sowie mit den anderen Routern) sind Geräte verbunden, die Cisco VPN nach draußen nutzen.
Allerdings konnte ich dort die MAC auch noch keinem Gerät zuordnen. Ein Notebook mit Cisco-VPN an diesem Router hat eine andere VPN-MAC, es könnte noch ein Smartphone sein oder ein Tablet. Aber warum dann nur dieses eine mit der IP auftaucht ist mir noch ein Rätsel.
Tjelvar
Tjelvar 16.10.2015 um 11:04:17 Uhr
Goto Top
Bei sowas nehme ich normalerweise erstmal ein Ping auf die IP ob die Erreichbar ist. Anschließend ein nslookup auf die IP Damit ich weiß welcher Hostname das ist. damit kann man teilweise schon einiges heraus bekommen.
ZappBrannigen
ZappBrannigen 16.10.2015 um 11:42:34 Uhr
Goto Top
Ping bringt nicht viel, da die selbe IP ja der Archer-Router hat, den ich dann erfolgreich anping.
nslookup bringt stattdessen einen hostname "resolve.XXXX.de" des Zielnetzwerks vom VPN.

Ich verstehe nur nicht, wieso der netgear-Router ein attached-Device anzeigt, das auf der anderen Seite eines VPN-Tunnels liegt, der von einem CLIENT (nicht vom Router) aufgebaut ist und dessen IP immer die des anderen TP-Link Routers entspricht.
Lochkartenstanzer
Lochkartenstanzer 16.10.2015 um 12:32:54 Uhr
Goto Top
Zitat von @ZappBrannigen:

Ping bringt nicht viel, da die selbe IP ja der Archer-Router hat, den ich dann erfolgreich anping.

Du kannt arping nehmen. damit "pingst" Du die Mac.


lks
ZappBrannigen
ZappBrannigen 30.10.2015 um 11:03:43 Uhr
Goto Top
Ich konnte das Problem jetzt denke ich etwas eingrenzen und denke es könnte mit dem am TP-Link aktivierte IGMP(Internet Group Management Protocol) zusammenhängen. Nach diversen Probieren war der Eintrag kurzzeitig verschwunden, bzw. nur die MAC ohne IP angezeigt (am netgear als "attached device"), jedoch ist nun wieder alles beim alten mit der doppelten IP und alle anderen in Frage kommenden Funktionen sind inzwischen deaktiviert, nur diese hatte ich testweise wieder aktiviert.

Ich werde es mal weiter beobachten.