Auslöser von Netzwerkaktivität identifizieren

[Oystercatcher]

Hallo Forum,

ich habe ein älteres ThinkPad T400 von Windows 7 auf Windows 10 upgedated und dann parallel Debian Buster installiert. Das T400 ist noch ziemlich oldschool und verfügt über diverse LEDs, die einen mit Informationen zu WLAN, Bluetooth usw. versorgen. Mir ist nun aufgefallen, dass unter Debian (fast) permanent die WLAN LED blinkt (= "Data is being transmitted"). Das Geblinke fängt direkt nach dem Hochfahren an und hört auch nach mehrstündigem "Nichtstun" nicht auf. Um dem Verursacher hierfür auf die Schliche zu kommen, habe ich sowohl nethogs als auch tcptrack bemüht: beide listen keine aktiven Verbindungen auf. Ein Trennen des Routers vom Internet ändert nichts am Verhalten, es scheint sich also um Zugriffe innerhalb des lokalen Netzwerks zu handeln.

Kann mir jemand einen Tipp geben, wie ich die Ursache der Zugriffe ermitteln kann? Das Parallel installierte Windows 10 verhält sich weitestgehend ruhig, die LED leuchtet dort die meiste Zeit permanent (= "radio link is ready for use").

Vielen Dank!

[mat6937]

..., wie ich die Ursache der Zugriffe ermitteln kann?

Versuch mal mit:

Code: Alles auswählen

tcpdump -c 150 -vvveni wlan0 multicast

(wlan0 evtl. anpassen).

[wanne]

WLAN LED blinkt (= "Data is being transmitted"). […] die LED leuchtet dort die meiste Zeit permanent (= "radio link is ready for use").

Wie kommst du auf die Idee?!
Was dein Treiber mit der LED macht dürfte der wohl ziemlich nach Lust und Laune machen.

[OrangeJuice]

Installiere dir Wireshark und schau dir an was gesendet wird.

[Oystercatcher]

Danke erst mal für die rege Teilnahme!

Versuch mal mit:

Code: Alles auswählen

tcpdump -c 150 -vvveni wlan0 multicast

(wlan0 evtl. anpassen).

Das habe ich getestet und konnte jede Menge Broadcast vorfinden, der anscheinend von meiner FritzBox kommt. So wie es aussieht, sind auch schon andere Leute darüber gestolpert: z.B. hier und hier

Installiere dir Wireshark und schau dir an was gesendet wird.

Habe ich in der Windows 10 Installation getan und konnte den oben genannten Broadcast auch hier sehen. Einziger Unterschied: die LED blinkt dabei nicht.

WLAN LED blinkt (= "Data is being transmitted"). […] die LED leuchtet dort die meiste Zeit permanent (= "radio link is ready for use").

Wie kommst du auf die Idee?!
Was dein Treiber mit der LED macht dürfte der wohl ziemlich nach Lust und Laune machen.

Nach Lust und Laune hoffentlich nicht , aber hier scheinen sich der Windows und Linux Treiber wohl zu unterscheiden (Die Anmerkungen in den Anführungszeichen kommen aus der Lenovo Dokumentation und beziehen sich vermutlich auf den Windows Treiber). Ich war bislang davon ausgegangen, dass die LED von der Hardware direkt angesteuert wird.
Gibt es irgendwo eine Möglichkeit zur Konfiguration, damit der Broadcast nicht per LED Signal angezeigt wird? Da das Notebook ja nicht direkt an der Kommunikation beteiligt ist sondern nur passiv zuhört (korrekt?), fände ich das irgendwie "eleganter".

Danke!

[TomL]

Das habe ich getestet und konnte jede Menge Broadcast vorfinden, der anscheinend von meiner FritzBox kommt. So wie es aussieht, sind auch schon andere Leute darüber gestolpert

Aufgrund Deines zweiten Links habe ich mal bei mir nachgesehen.... und festgestellt, dass ich fast im Sekunden-Rhythmus die immer gleichen Pakete bekomme. Dabei ist es egal, ob das NIC via IP verbunden ist oder nicht, sobald es UP ist, rappelt es durch:

Code: Alles auswählen

tcpdump -n -i eth0 ether proto 0x088e1 or ether proto 0x08912
11:03:28.802677 ef:17:5e:09:12:18 > ff:ff:ff:ff:ff:ff, ethertype Unknown (0x88e1), length 60: 
	0x0000:  0000 a000 b052 208b ae7f 0000 0000 0000  .....R..........
	0x0010:  0000 0000 0000 0000 0000 0000 0000 0000  ................
	0x0020:  0000 0000 0000 0000 0000 0000 0000       ..............
11:03:28.802797 ef:17:5e:09:12:18 > ff:ff:ff:ff:ff:ff, ethertype Unknown (0x8912), length 60: 
	0x0000:  0170 a000 0000 1f84 8ba3 97a2 5553 bef1  .p..........US..
	0x0010:  fcf9 796b 5214 13e9 e200 0000 0000 0000  ..ykR...........
	0x0020:  0000 0000 0000 0000 0000 0000 0000       ..............

Die Source-MAC ist die Fritte, deshalb kommen die gleichen Pakete auf allen Rechnern an. Muss das so sein?