Ich versuch's hier mal, weil hier wahrscheinlich gute Netzwerker sind und mein Firewall unter Debian (noch
Squeeze - Update unterwegs) läuft. Das eine Bein (eth0 - LAN) hängt am Kabel-BW-Modem (eth1) und ich
weiß nicht, wie so ein ISP-Netzwerk wirklich aussieht und was man da erwarten kann, soll oder muß.
Ich habe auch in der Firma mit dem Netzwerkmanagement zu tun gehabt, aber sehr tiefe Kenntnisse
habe ich nicht (z. B. Routing-Protokolle, etc.). Ich schaue gelegentlich (und seit dem ich das erste Mal
geschaut habe mit wachsender Tendenz) auf die WAN-Schnittstelle mit größer werdendem Unbehagen.
Ich habe dort IPv4. So sind dort vor allem ARP-Pakete vertreten - in Zeiten geringen eigenen
Traffics 95% (!!!) - es kommen neben IPv4 gelgentlich auch IPv6 auch Multicasts. Schon die
Netzwerkmaske /23 stinkt mir gewaltig und ich bekomme scheinbar auch die DHCP-Requests/Responses
aus ganz Deutschland. Habe mal aus Jux und Dollerei in etwa 24h etwa 100.000 fremde IP-Adressen
aus DHCP (Request/Response) eingesammel [ja, ich hacke garnichts, ein speicher, was mir die Freunde
anbieten!
]. Auch die ARPs fragen bei mir aus der ganzen für die ganze Welt nach ....Sieht so aus, als wären alle Clients an einer transparenten Bridge ....
Ich habe ein kleines Tool in C# geschrieben (mit Hilfer der SharpPcap-Library), das nur etwas Statsitik
macht und vor allem auch die MAC-Adressen einsammelt (auf Level IPTables lasse ich nur das
Kabel-BW-Gateway durch), sicher ist sicher.
Mein Tool sagt, z. B.:
Total: 7,075,271 packets
ARPs, which do NOT ask for 'me': 4,847,104
ARPs, where 'I' am effected (tot: 5,722)
Also für diesen Lauf waren rund 50% der Pakete ARPs. Das liegt wahrscheinlich nicht an mangelnden
Progarmmierkenntnisse (auf dem Level war ich allerdings noch nie), tcpdump produziert in einer
Konsole "dasselbe" ...
Mein Tool erlaubt sich, die in den ARP-Pakete steckenden Quell/Ziel-Adressen mitzuschreiben und
am Schluß gibt es ein nslookup und Ping darauf. Pervers: Die aus der (vermuteten) Kabel-BW-Infra
mit 10.* antworten alle nicht, während alle anderen Anfragen scheinbaär von öffentlichen Netzen
kommen und nach Hosts in öffentlichen Netzen fragen !!!!! Beispiel:
95.208.164.1 count: 1,175,397 ( HSI-KBW-095-208-164-001.hsi5.kabel-badenwuerttemberg.de [ 6 ms])
Habe ich eine Matsch-Birne ?? Ist das faul ??
Irgendwie sieht mir das eher nach einem NSA-TAP aus, als nach einem Provider-Netzwerwerk, aber
vielleicht habe ich einfach keine Ahnung - vor dem NSA-Skandal war ich auch einer der naiven
IT'ler, die darüber nie nachdedacht haben und als ich noch bei der Telekom mit DSL war, habe
ich naiverweise nie geschaut.
Was noch auffällig ist: Ich benutze freie DNS-Server und nie die von Kabel-BW. Ich hatte schon mehrmals
Störungen (leider nur einmal bei heise.de eingetragen), weil der Port53 Zugriff auf die freien DNS-Server
unterbunden war. Ich habe ihnen offen vorgeworfen, die Netzneutralität zu verletzen und gedroht, die
Bundes-Netzagentur einzuschalten (von denen aich aus anderer Erfahrung leider schon weiß, das sie für
Endbenutzer nur so tun, als würden sie etwas tun ...). In der Zeit dieser Störungen, waren diese
Server pingbar, nur nslookup schlug fehl. Test, Handy: WLAN aus, nslookup mit Server-Angabe: Geht
sofort ! Genau auch während dieser Zeit gehen nslookups per Kabel-BW-DNS und natürlich auch
auf den Super-Spion (8.8.8.
: Aber genau das will ich ja nicht So, vielleicht ist jemand interssiert und sagt mir, wie es bei ihm aussieht
Danke erstmal und viele Grüße,
Manfred
(Ein IP-DNS-Scan (kein Port-Scan) des externen Routing-Segmentes (WAN) vom Debian-Rechner aus wäre vielleicht doch aufschlussreich.)
39377