Всем привет.
Небольшая компьютерная сеть c относительно большим диапазоном (192.168.0.0/23)
Имеет 1 центральный компьютер (шлюз) через который все выходят в инет.
На центральном компьютере установлено несколько интерфейсов.
2 из них локальные 192.168.0.254 и 192.168.1.10 подключены к одному центральному свитчу.
Как Gate для всех используется 192.168.0.254.
С некоторого времени на обычных компьютерах в арп таблице появилось такое соответствие
192.168.0.254 = (МАК Адрес от 192.168.1.10) (Хотя сетевушки на серваке физически разные)
Outpost 2009 стал жаловаться на ARP атаки с (МАК Адрес от 192.168.1.10):
14:46:56 192.168.0.254 Обнаружена атака, узел не заблокирован ARP_UNWANTED_REPLY
14:46:42 192.168.0.254 Обнаружена атака, узел не заблокирован ARP_DUPLICATE_GATEWAY_IP
Заранее спасибо за ответ!
Что может быть ?
Linux version 2.6.18-6-686 (Debian 2.6.18.dfsg.1-23etch1)
LinuxForum.Fans
Debian устраивает ARP атаки?
Автор: Tritus
7 сообщений
4096 просмотров
а шлюз об этом что говорит? он тоже считает что мак адреса одинаковые? смена сетевых карт к чему приводит?
Шлюз по ifconfig -у показывает верно. (Каждому интерфейсу свой МАК)
в Таблице ARP локальные ip адреса отсутствуют
Сетевушка встроенная и внешняя (Местами не поменять :) )
Решил просканировать сервак с локальной машины nmap-ом. Второй сетвевой интерфейс (192.168.1.10)
Получил сообщение от ARP Monitor:
06.04.2010 16:00:37 Flip flop 00-22-15-02-89-E7 takes other's IP: 192.168.1.10
И в командной строке увидел:
192.168.0.254 00-22-15-02-89-e7 динамический
192.168.1.10 00-22-15-02-89-e7 динамический
Хотя через минуту отобразил верно:
192.168.0.254 00-22-15-02-89-e7 динамический
192.168.1.10 00-15-17-7f-52-65 динамический
в Таблице ARP локальные ip адреса отсутствуют
ы а какие присутствуют? о_О
а поменять не встроенную сетевую карту на другую и проверь?
для каких машин путаются маки? для всех? или только из одной подсети? или вообще только парочка машин думает что маки спутаны?
eth1 00:22:15:02:89:E7 inet addr:192.168.0.254
text
# arp -a -i eth1
? (192.168.0.104) at 00:16:E6:8B:00:BE [ether] on eth1
? (192.168.0.122) at 00:1D:BA:B6:E6:09 [ether] on eth1
? (192.168.0.161) at 00:01:6C:ED:A3:C2 [ether] on eth1
? (192.168.0.99) at 00:21:5A:91:90:8B [ether] on eth1
? (192.168.1.175) at 00:0C:76:2A:B0:54 [ether] on eth1
? (192.168.0.51) at 00:24:1D:DE:09:DF [ether] on eth1
? (192.168.0.6) at 00:1E:4F:3C:3F:73 [ether] on eth1
? (192.168.1.165) at 00:15:58:98:08:A0 [ether] on eth1
eth3 00:15:17:7F:52:65 inet addr:192.168.1.10
text
# arp -a -i eth3
? (192.168.0.222) at 00:1E:90:90:73:8C [ether] on eth3
? (192.168.0.164) at 00:00:AA:D2:6A:D2 [ether] on eth3
? (192.168.0.153) at 00:01:03:28:8B:D7 [ether] on eth3
? (192.168.0.6) at 00:1E:4F:3C:3F:73 [ether] on eth3
? (192.168.0.55) at 00:80:48:62:9A:C1 [ether] on eth3
? (192.168.0.65) at 6C:F0:49:15:25:F8 [ether] on eth3
? (192.168.1.142) at 00:16:E6:61:A5:2D [ether] on eth3
? (192.168.1.192) at 00:14:85:CC:2F:BD [ether] on eth3
? (192.168.0.205) at 00:19:66:FD:03:95 [ether] on eth3
? (192.168.0.9) at 00:18:8B:7A:E4:C1 [ether] on eth3
.....(значительно больше чем у eth1)
Сетевушку поменять попробую вечером.
Почти по всей сети (подсеть одна с маской 255.255.254.0) путаются маки, однако больших проблем с инетом никто пока не испытывает.
Некоторые машины в сети зараженные какой то хренью при входе в сеть начинают ее сканировать.
К примеру на машине 192.168.0.208 команда "netstat -n"
text
TCP 127.0.0.1:1698 127.0.0.1:6129 ESTABLISHED
TCP 127.0.0.1:5152 127.0.0.1:1130 CLOSE_WAIT
TCP 127.0.0.1:6129 127.0.0.1:1698 ESTABLISHED
TCP 192.168.0.208:1025 192.168.0.138:445 TIME_WAIT
TCP 192.168.0.208:1027 192.168.0.138:445 TIME_WAIT
TCP 192.168.0.208:1029 192.168.0.138:445 TIME_WAIT
TCP 192.168.0.208:1031 192.168.0.138:445 TIME_WAIT
TCP 192.168.0.208:1033 192.168.0.138:445 TIME_WAIT
TCP 192.168.0.208:1035 192.168.0.138:445 TIME_WAIT
TCP 192.168.0.208:1037 192.168.0.138:445 TIME_WAIT
TCP 192.168.0.208:1039 192.168.0.138:445 TIME_WAIT
TCP 192.168.0.208:1041 192.168.0.138:445 TIME_WAIT
TCP 192.168.0.208:1043 192.168.0.138:445 TIME_WAIT
TCP 192.168.0.208:1045 192.168.0.138:445 TIME_WAIT
TCP 192.168.0.208:1047 192.168.0.138:445 TIME_WAIT
TCP 192.168.0.208:1049 192.168.0.138:445 TIME_WAIT
TCP 192.168.0.208:1051 192.168.0.138:445 TIME_WAIT
TCP 192.168.0.208:1053 192.168.0.138:445 TIME_WAIT
TCP 192.168.0.208:1055 192.168.0.138:445 TIME_WAIT
TCP 192.168.0.208:1057 192.168.0.138:445 TIME_WAIT
TCP 192.168.0.208:1059 192.168.0.138:445 TIME_WAIT
TCP 192.168.0.208:1061 192.168.0.138:445 TIME_WAIT
TCP 192.168.0.208:1063 192.168.0.138:445 TIME_WAIT
TCP 192.168.0.208:1065 192.168.0.138:445 TIME_WAIT
TCP 192.168.0.208:1067 192.168.0.138:445 TIME_WAIT
TCP 192.168.0.208:1069 192.168.0.138:445 TIME_WAIT
TCP 192.168.0.208:1071 192.168.0.138:445 TIME_WAIT
TCP 192.168.0.208:1073 192.168.0.138:445 TIME_WAIT
TCP 192.168.0.208:1075 192.168.0.138:445 TIME_WAIT
TCP 192.168.0.208:1077 192.168.0.138:445 TIME_WAIT
TCP 192.168.0.208:1079 192.168.0.138:445 TIME_WAIT
TCP 192.168.0.208:1081 192.168.0.138:445 TIME_WAIT
TCP 192.168.0.208:1083 192.168.0.138:445 TIME_WAIT
TCP 192.168.0.208:1085 192.168.0.138:445 TIME_WAIT
TCP 192.168.0.208:1087 192.168.0.138:445 TIME_WAIT
TCP 192.168.0.208:1090 192.168.0.138:445 TIME_WAIT
TCP 192.168.0.208:1092 192.168.0.138:445 TIME_WAIT
TCP 192.168.0.208:1094 192.168.0.138:445 TIME_WAIT
TCP 192.168.0.208:1096 192.168.0.138:445 TIME_WAIT
TCP 192.168.0.208:1098 192.168.0.138:445 TIME_WAIT
TCP 192.168.0.208:1100 192.168.0.138:445 TIME_WAIT
TCP 192.168.0.208:1102 192.168.0.138:445 TIME_WAIT
TCP 192.168.0.208:1104 192.168.0.138:445 TIME_WAIT
TCP 192.168.0.208:1106 192.168.0.138:445 TIME_WAIT
TCP 192.168.0.208:1108 192.168.0.138:445 TIME_WAIT
TCP 192.168.0.208:1110 192.168.0.138:445 TIME_WAIT
TCP 192.168.0.208:1112 192.168.0.138:445 TIME_WAIT
TCP 192.168.0.208:1114 192.168.0.138:445 TIME_WAIT
TCP 192.168.0.208:1116 192.168.0.138:445 TIME_WAIT
TCP 192.168.0.208:1118 192.168.0.138:445 TIME_WAIT
TCP 192.168.0.208:1120 192.168.0.138:445 TIME_WAIT
TCP 192.168.0.208:1122 192.168.0.138:445 TIME_WAIT
TCP 192.168.0.208:1125 192.168.0.235:139 TIME_WAIT
TCP 192.168.0.208:1126 192.168.0.235:445 TIME_WAIT
TCP 192.168.0.208:1128 192.168.0.235:445 TIME_WAIT
TCP 192.168.0.208:1131 192.168.0.235:445 TIME_WAIT
TCP 192.168.0.208:1133 192.168.0.235:445 TIME_WAIT
TCP 192.168.0.208:1135 192.168.0.235:445 TIME_WAIT
TCP 192.168.0.208:1137 192.168.0.235:445 TIME_WAIT
TCP 192.168.0.208:1139 192.168.0.235:445 TIME_WAIT
TCP 192.168.0.208:1141 192.168.0.9:445 TIME_WAIT
TCP 192.168.0.208:1142 192.168.0.9:139 TIME_WAIT
TCP 192.168.0.208:1143 192.168.0.9:139 TIME_WAIT
TCP 192.168.0.208:1144 192.168.0.235:445 TIME_WAIT
TCP 192.168.0.208:1146 192.168.0.235:445 TIME_WAIT
TCP 192.168.0.208:1148 192.168.0.235:445 TIME_WAIT
TCP 192.168.0.208:1150 192.168.0.235:445 TIME_WAIT
TCP 192.168.0.208:1152 192.168.0.235:445 TIME_WAIT
TCP 192.168.0.208:1154 192.168.0.235:445 TIME_WAIT
TCP 192.168.0.208:1155 192.168.0.235:139 TIME_WAIT
TCP 192.168.0.208:1156 192.168.0.235:445 TIME_WAIT
TCP 192.168.0.208:1158 192.168.0.235:445 TIME_WAIT
TCP 192.168.0.208:1160 192.168.0.235:445 TIME_WAIT
TCP 192.168.0.208:1162 192.168.0.235:445 TIME_WAIT
TCP 192.168.0.208:1164 192.168.0.235:445 TIME_WAIT
TCP 192.168.0.208:1166 192.168.0.235:445 TIME_WAIT
TCP 192.168.0.208:1168 192.168.0.235:445 TIME_WAIT
TCP 192.168.0.208:1170 192.168.0.235:445 TIME_WAIT
TCP 192.168.0.208:1172 192.168.0.235:445 TIME_WAIT
TCP 192.168.0.208:1174 192.168.0.235:445 TIME_WAIT
TCP 192.168.0.208:1176 192.168.0.235:445 TIME_WAIT
TCP 192.168.0.208:1178 192.168.0.235:445 TIME_WAIT
TCP 192.168.0.208:1180 192.168.0.235:445 TIME_WAIT
TCP 192.168.0.208:1182 192.168.0.235:445 TIME_WAIT
TCP 192.168.0.208:1184 192.168.0.235:445 TIME_WAIT
TCP 192.168.0.208:1186 192.168.0.235:445 TIME_WAIT
TCP 192.168.0.208:1188 192.168.0.235:445 TIME_WAIT
TCP 192.168.0.208:1190 192.168.0.235:445 TIME_WAIT
TCP 192.168.0.208:1192 192.168.0.235:445 TIME_WAIT
...
MacAfee с обновленными базами говорит все впорядке.
Ой, а нафлудил то
text
# netstat -r
Kernel IP routing table
Destination Gateway Genmask Flags MSS Window irtt Iface
...
192.168.0.0 * 255.255.254.0 U 0 0 0 eth3
192.168.0.0 * 255.255.254.0 U 0 0 0 eth1
...
445 порт это самба, и вообще при чем тут заражение, если бы зараженная машина подменяла мак адреса, шлюз об этом вряд ли знал бы и ifconfig показывал бы разные маки.
тестируйте с другой сетевой картой, пока ничего не понятно.
Если на обычном компьютере удалить arp неверную arp запись - то при следующем пинге он верно все находит.
Просто время от времени идет по сетке бродкаст от 00:15:17:7F:52:65 что он якобы 192.168.0.254.
Этот бродкаст Аутпост позиционирует как "ARP_UNWANTED_REPLY" то есть арп ответ без запроса.
Отключил eth3 и все пришло в норму.
Войдите или зарегистрируйтесь, чтобы ответить.
