2GB DSL upload in einer Woche - normal?

[rwkraemer]

Hallo,

ich habe ja in letzter Zeit öfter Sicherheitsthemen angeschnitten, und hier ist wieder eins. Bei der Fritzbox (7430) kann man ja den up und download einsehen. Letzte Woche stand da bei download 4GB, und bei upload 2 GB, also die Hälfte. Sonst ist der upload viel kleiner. Ist das normal? Ich zocke nicht, treibe mich aber oft auf youtube herum. Ansonsten surfe ich häufiger im Internet. Bei der angefangenen neuen Woche ist das Verhältnis wieder normal. Ich habe ein Notebook und einen PC, beide per LAN mit der Fritzbox verbunden. Mein PC war übrigens unter Netzwerk zweimal aufgelistet, aber da er schon mal per WLAN mit der Box verbunden war, liegt das wohl daran. Muss ich mir Sorgen machen?

[willy4711]

Ich zähle das Datenvolumen im Conky mit vnstat Das stimmt ziemlich genau mit den Daten der Fritte überein.
Verkehr innerhalb des LANs habe ich so gut wie gar nicht.

Code: Alles auswählen

		
				Conky (Vnstat):
		        rx	tx		total
 2019-09   	 62,37 GiB |    2,08 GiB |   64,45 GiB |  rx/tx 3,3%
 2019-10     	 27,29 GiB |  864,17 MiB |   28,13 GiB | 

				 Fritz!Box (MB)
			total	     tx	     rx
Aktueller Monat 	39566	|  1485 |  38080	rx/tx  3,9 %
Vormonat 		81760	|  3515	|  78245		

Das unterschiedliche Volumen kommt dadurch zustande, dass ich ein Multiboot- System habe, und vnstat, naturgemäß
ja nur das Volumen des jeweiligen Systems zählt.

Wenn du nicht nach irgendwohin einen größeren Upload gemacht hast würde ich das schon als ziemlich schräg bezeichnen.

Da die Fritte sagt

In der Zählung wird jedoch nur das Datenvolumen der Internetverbindung berücksichtigt.

sollte der Datenverkehr im LAN an sich nicht gezählt werden.
Ich würde das zumindest genau beobachten. Sehr merkwürdig ist das schon.
Mein Surf- Verhalten ist deinem ähnlich. Allerdings ist YouTube bei mir eher selten in Gebrauch. Bei mit ist mehr Download
im Gebrauch.

[uname]

Könntest auch mal wireshark installieren.

[jph]

Nutzt du das VPN der Fritz!Box?

[MSfree]

Letzte Woche stand da bei download 4GB, und bei upload 2 GB, also die Hälfte.

Mir kommen eher die 4GB Download komisch vor. 2GB Upload pro Woche wäre jedenfalls nicht so ungewöhnlich.

Bei mir ist das Verhältnis Upload/Download etwa 1/50. Bei 2GB Upload sollten da also um die 100GB Download entstehen, wobei 1/50 hier nicht in Stein gemeisselt zu verstehen sind.

Die Fritte hat aber vermutlich nur eine 32Bit CPU, kann also nur bis (2³²-1) zählen, bevor sie wieder bei Null anfängt. Ich denke, der Fehler liegt in deinem Fall bei der falschen Angabe für Download. Die Zahl solltest du mal alle 1-2h auslesen, um ein Int-Overflow auszuschließen.

Mein ehemaliger als Router eingesetzter PC mit 32Bit-CPU hatte das gleiche Problem. Mein aktueller Linuxrouter hat eine 64Bit CPU und zeigt kein Int-Overflow alle 4GB.

[rwkraemer]

Ich habe offenbar nicht genau hingesehen. Die Zahlen beziehen sich nicht auf die Vorwoche, sondern auf die aktuelle Woche. Gesendet: 2417MB, Empfangen: 4667MB.

VPN nutze ich nicht. Aber ich habe vor einigen Tagen Debian Stretch auf meinem PC und Notebook neu installiert (netinstall). Aber das war schon vor einer Woche oder so. Ich experimentiere häufig mit verschiedenen Distributionen.

[schwedenmann]

Hallo

bei mir liegen die Werte im Verhältnis 1:30 (letzte Woche) und 1:24 /letzter Monat).

mfg
schwedenmann

[rwkraemer]

Ich habe mal wireshark laufen lassen, und bei 95% wird unter "source" "AvmAudio_a1:61:e5" angegeben. Google hat keine vernünftige Treffer gebracht.

Code: Alles auswählen

1	0.000000000	AvmAudio_a1:61:e5		HomePlug AV	62	MAC Management, Get Device/SW Version Request
2	0.000014326	AvmAudio_a1:61:e5		0x8912	62	Broadcast
154	67.653624727	Liteon_4b:d7:3d		ARP	44	192.168.178.29 is at xxx

Ich benutze kein Audio Streaming Gerät. Wie gesagt nur Youtube, und einen TV-USB-Stick. Aber der dürfte ja bei Wireshark nicht auftauchen. Ich habe bei Wireshark die Suche auf "any" gestellt. Es gibt noch mehr Ausgaben, aber nur ein paar einzelne Zeilen. Ich hatte Vivaldi offen, als Wireshark aufgezeichnet hat. Das "xxx" war offenbar meine ipv6 Adresse, sofern ich mich nicht irre. Die Adresse vorher dürfte meine lokale ipv4 Adresse sein. Ach ja, ich habe gufw aktiviert.

Edit: Auch wenn ich wireshark auf "any" gestellt habe, ist es doch hoffe ich nur mein eigener Netzwerkverkehr? Mein Netzwerk besteht aus einer Fritzbox 7340, einem Notebook und einem PC (LAN), die nur ich nutze. Ich wohne in einem Mietshaus.

Edit2: Wenn ich meine LAN-Schnittstelle bei wireshark eingebe, kommt eine ähnliche Ausgabe heraus. Es müsste sich also nur um meinen Netzwerkverkehr handeln.

[dufty2]

0x8912 in der zweiten Zeile sollte WakeOnLAN sein.
Denke mal "AvmAudio" ist Deine Fritzbox (AVM) und nicht der Hifi-Hersteller.
Kannst ja mal die ersten 3 Bytes nehmen und nach MAC-Suche gehen.

[uname]

Ich hätte bei Wireshark Ziele im Internet erwartet. Kann man es nach Menge sortieren?

[rwkraemer]

Hier ist noch eine Ausgabe von Wireshark, die ich noch nicht gepostet habe:

Code: Alles auswählen

37	17.568945816	192.168.178.29	74.125.140.188	TCP	68	60154 → 5228 [ACK] Seq=1 Ack=1 Win=310 Len=0 TSval=1670144 TSecr=719784273

Die Ausgabe 1 und 2 von oben wiederholen sich immer wieder, sie tauchen mehrere hundert mal in wenigen Minuten auf, wie gesagt machen sie 95% der Ausgabe aus. Ich habe 2 Mitschnitte gespeichert, aber irgendwie bekomme ich sie nicht als Text hin, ich kenne mich mit Wireshark nicht sehr gut aus.

Ach ja, die hohen upload-Zahlen scheinen sich wieder zu normalisieren.

Im 2. Mitschnitt (LAN Schnittstelle des PCs) tauchen immer folgende Ausgaben auf:

Code: Alles auswählen

11	3.408207451	AvmAudio_a1:61:e5	AtherosC_00:00:01	HomePlug AV	60	MAC Management, Get Device Attributes Request

[uname]

Die IP 74.125.140.188 und Port 5228 zeigt auf https://markmonitor.com . Nutzt du sowas?

Was läuft auf Cient-Port 60154? Schau ps -ef oder lsof.
Falls es der Browser ist, nutze mal einen anderen. Evtl. ein Problem mit SSL-Zertifikaten.

[rwkraemer]

Ich habe die Ausgabe von lsof und ps -ef mit der Terminalsuchfunktion durchsucht, aber da steht nirgendwo etwas von 60154. Von markmonitor habe ich bisher nichts gehört. Wahrscheinlich ist es vernünftiger, zu Firefox zu wechseln.

Edit: Ich bin jetzt von Vivaldi zu Firefox gewechselt. Eine Frage habe ich noch: Vivaldi basiert ja auf Google Chrome. Vor einiger Zeit wurde bei Chrome festgestellt, dass er lokale Dateien auf der Festplatte scannt. Angeblich scannt die Engine nur Signaturen und greift natürlich keine Inhalte ab. Könnte diese Enigne auch bei Vivaldi aktiv sein?

https://www.trojaner-board.de/189584-go ... s-pcs.html

[uname]

Der Client-Port war vielleicht durch Neustart anders. Du musst die Client-Software wie z.B. Browser ermitteln.

[reox]

Hier ist noch eine Ausgabe von Wireshark, die ich noch nicht gepostet habe:

Code: Alles auswählen

37	17.568945816	192.168.178.29	74.125.140.188	TCP	68	60154 → 5228 [ACK] Seq=1 Ack=1 Win=310 Len=0 TSval=1670144 TSecr=719784273

auf 74.125.140.188 ist port 5228 jedenfalls offen und die IP gehört google. Laut https://www.speedguide.net/port.php?port=5228 rennt darüber auch der Chrome sync.

[rwkraemer]

Ich wollte mich bedanken, dass ihr euch so ausführlich mit meinem Problem beschäftigt habt. Ich habe jetzt die upload-Zahlen für diese Woche nicht im Kopf, aber sie liegen im Verhältnis zu den Downloads wieder im grünen Bereich. Der Wechsel zu Firefox scheint geholfen zu haben. Ich fürchte, ich habe auch nicht das nötige Fachwissen, um den ganzen auf den Grund zu gehen.

[rwkraemer]

Ich wollte nur noch sagen, dass die Fritzbox wieder unentwegt Daten sendet, obwohl ich sie vor einigen Tagen resetet und ein neues Passwort vergeben habe. Tagsüber bin ich so gut wie nie im Netz, aber offenbar wird da das meiste gesendet. Ich habe jetzt die Funktion abgestellt, dass Diagnosedaten gesendet werden, mal sehen, obs hilft. Unter System - Ereignisse war nichts auffälliges zu finden. Dasteht nur, wann sich die Box mit dem Internet verbunden hat und wann ich die Benutzeroberläche aufgerufen habe. Dass die meisten Daten gesendet werden, wenn ich offline bin, habe ich durch Ausschlussverfahren herausbekommen. Also z. B.die Fritzbox-Oberfläche gleich nach dem Einloggen in Linux aufgerufen, Windows mal einen Tag nicht benutzt, usw. (ich habe ein Dualbootsystem). Also scheint die Box der Übeltäter zu sein.

Ach ja, ich habe beim erstmaligen installieren eine Mail-Adresse eingegeben, ich habe dann mehrmals Mails von AVM bekommen mit Diagnosedaten. Das würde ich gerne wieder rückgängig machen. Reicht da das reseten und das Deaktivieren vom Senden von Diagnosedaten?

[rwkraemer]

Code: Alles auswählen

36	27.145940	77.7.xxx.xxx	45.136.110.44	ICMP	82	Destination unreachable (Communication administratively filtered)

Als Destination wird eine Adresse der Russischen Föderation angezeigt (whois). Ist das normal? Es ist ein Mitschnitt meiner Fritzbox, den ich mit Wireshark geöffnet habe. Ich habe dazu die Adresse http://fritz.box/html/capture.html geöffnet.

Edit:

Offenbar steht die Adresse auf einem Index:

https://www.abuseipdb.com/check/45.136.110.44

Edit2:
Bei dem Link wird als Land Deutschland und als Stadt Nürnberg angezeigt. Die Domain hat aber eine russische Endung. Whois zeigt auch eine konkrete Adresse in Russland an. Ich bin ebenfalls aus Nürnberg. Die Adresse, die mit 77 anfängt gehört wohl zu Telefonica, also zu O2, ist also meine Adresse. Ist das normal, das mein Router versucht, Kontakt zu einer offenbar kompromitierten Adresse aufzunehmen?

[debianoli]

Kann es sein, dass da jemand über dein Wlan deinen Anschluss mitbenutzt?

[OrangeJuice]

Hast du ein gutes Passwort für die Box(max. 32 Zeichen) und das WLan vergeben? Hast du die aktuelle Version für die Box installiert(hier)?

Ansonsten hat die Box die Möglichkeit ein virtuelles Wlan zu betreiben, wodurch der Name des Wlans evtl. zweimal auftaucht. Ich würde bei der Box die Hardwarebeschleunigung abschalten. Die hat bei meiner Box Probleme bereitet. Die wird allerdings bei jedem Neustart wieder aktiviert.

Zu finden unter "Inhalte", "Avm Dienste" Hardwarebeschleunigung. Hier eine Erklärung dazu.

Sonst sind alle Ports geschlossen? Voip aktiviert? Was gibt "lsof -Pni" aus?

[rwkraemer]

Vor einigen Tagen habe ich die Box resetet und ein neues Passwort vergeben. Ich hatte gelegentlich Störungen. WLAN ist deaktiviert, Ich bin mit LAN im Netz. Laut O2 habe ich gestern nur im zweistelligen Bereich gesendet. In der Box stand aber unter gesendet 700mb. Ein AVM-TIcket ist eröffnet, die haben die von mir erwähnte IP-Adresse (45.136.110.44) aber nicht in den Daten gefunden. Zu dem Datenvolumen haben sie sich noch nicht geäusert. Hier die Ausgabe von lsof -Pni:

Code: Alles auswählen

firefox-b 3965 rainer   68u  IPv4  36181      0t0  TCP 192.168.178.23:42710->216.58.210.4:443 (ESTABLISHED)
firefox-b 3965 rainer   88u  IPv4  37919      0t0  TCP 192.168.178.23:42712->216.58.210.4:443 (ESTABLISHED)
firefox-b 3965 rainer  125u  IPv4  29196      0t0  TCP 192.168.178.23:51034->54.186.97.86:443 (ESTABLISHED)

Die Ausgabe habe ich aber jetzt vom Notebook gemacht. In letzter Zeit war ich aber häufiger am PC. Das Notebook ist aber wie der PC per LAN mit der Box verbunden.

[reox]

aber wenn wirklich deine fritzbox die daten sendet, dann kannst du bei lsof noch so viel schauen - die verbindung kommt ja dann nicht von dir. Oder lässt du lsof auf der fritzbox laufen?
vor allem was heißt "zweistelliger bereich"? 20GB?

Der erste test wäre mal das Ding stromlos schalten und schauen ob immer noch Daten hochgeladen werden. Also zB mal einen Tag nicht anstecken und schauen ob das Accounting von o2 das korrekt erfasst.
Falls dann wirklich keine Daten mehr gesendet werden, musst du wohl herausfinden wo das problem genau herkommt.
Du könntest einen zweiten PC mit einem Network-Throwing-Star https://greatscottgadgets.com/throwingstar/ zwischen einen PC und die Box hängen und beinhart alle Pakete aufzeichnen. wenn es eine differenz zwischen der Summe der gesammelten Pakete und dem upload gibt, dann ist wohl die box schuld.
Andernfalls einfach mal ein accounting tool am PC rennen lassen.

Die IP 45.136.110.44 - wo kommt die jetzt her? Unter lsof taucht die ja offenbar nicht auf oder doch?

216.58.210.4 ist wieder Google und 54.186.97.86 ist AWS - das ist an sich nicht verdächtig.

[rwkraemer]

Über http://fritz.box/html/capture.html kann man den Netzwerkverkehr, den die Box erfasst, miitschneiden. Ich habe aber nur ein paar Sekunden mitgeschnitten. Die Ausgabe einer Zeile steht weiter oben. Ich warte jetzt die endgültige Aussage von AVM ab. Weiter oben gibt es auch einen Link, wo weitere Informationen über die verdächtige IP stehen. Aber vielleicht habe ich mich da nur in was verrannt. O2 sagte glaube ich etwas von 30 oder 40MB, die ich gestern gesendet hätte.

[spiralnebelverdreher]

Hallo,

ich habe ja in letzter Zeit öfter Sicherheitsthemen angeschnitten, und hier ist wieder eins. Bei der Fritzbox (7430) kann man ja den up und download einsehen. Letzte Woche stand da bei download 4GB, und bei upload 2 GB, also die Hälfte. Sonst ist der upload viel kleiner. Ist das normal? Ich zocke nicht, treibe mich aber oft auf youtube herum. Ansonsten surfe ich häufiger im Internet. ...

Hängt an deiner Fritzbox noch ein Telefon dran?

[rwkraemer]

@Spiralnebelverdreher

Ja, ein analoges Funktelefon. Wenn ich mich richtig erinnere, ist DECT deaktiviert. Könnte das die Ursache sein? Ich dachte Telefonie wird bei den Daten nicht berücksichtigt. Ich telefoniere aber nicht jeden Tag.