unerklärlicher Internet-Traffic

[wolfgangA]

Du musst schlicht und ergreifend SELBST deine Rechner genauest checken, ein "ich habe nichts verändert und von einen tag auf den anderen ist das passiert" wird dir nicht weiterhelfen....

Wer lesen kann ist klar im Vorteil

tommyboy hat doch geschrieben dass er alle PC's und das WLAN ausgeschaltet hat.
Kennst Du Malware die auch bei ausgeschaltetem PC Daten schickt oder saugt?

[tommyboy]

hallo,

vielen danke für eure zahlreichen antworten bisher.

möchte ein paar sachen ergänzen bzw. klar stellen.

1. als tarif nutzen wird inode business adsl silber mit 5 gb datenguthaben (adsl aus dem grund da am standort kein xdsl verfügbar ist). die einwahl erfolgt somit per pptp. bei diesem tarif sind 8 fixe ip adressen inkludiert, davon sind 5 frei nutzbar, da drei reserviert sind (netzwerk, broadcast, gateway). dabei ist es so, dass ich bei der einwahl eine ip adresse fix zugewiesen bekomme, dabei handelt es sich um die gateway-adresse.
2. der router ist aus diesem grund so konfiguriert dass er immer eingewählt ist, da im normalbetrieb ein "kleinerer" terminalserver dahinter steht, auf den von auswärts zugegriffen wird. im normalbetrieb ist diese maschine 24/7 erreichbar. aufgrund des urlaubes rund um die weihnachtszeit ist halt jetzt die ideale testzeit um herauszufinden, woran es liegt. schließlich haben wir nur 5 gb datenguthaben, und da fallen 30*120MB --> 3,6 GB ganz schön ins gewicht, weil ab 5 gb wird extra verrechnet. und 3,6 gb für nichts......naja
3. der providerwechsel war KEIN rausgeschmissenes geld. da man beim aon speed nur eine dynamische ip adresse bekommt hat das oft zu problemen geführt da der server eigentlich immer problemlos erreichbar sein soll. dyndns hat immer problemlos funktioniert, es hat halt immer so 10 - 15 minuten gedauert bis sämtlichen dns servern die neue ip adresse bekannt war, und das nervte. beim neuen inode business adsl haben wir hingegen eine fixe ip adresse, die auch fix im dns unserer domain eingetragen ist.
4. wlan-einbruch, virus oder trojaner kann ich 100%ig ausschließen!!! kann ja auch gar nicht sein wenn der hohe traffic auch dann ist wenn nur modem und router angeschlossen sind und auch kein wlan aktiv ist. diesen test habe ich durchgeführt um wirkliche alle anderen komponenten (z.b. switch) ganz sicher ausschließen zu können.

kanns vielleicht sein dass das modem was hat?
bin weiters noch auf ein interessantes detail draufgekommen. ziemlich gleichzeitig mit dem auftreten dieses problems wurde ein einer nachbarwohnung (wird als arztpraxis genutzt) eine neue zusätzliche telefonleitung für den dortigen e-card anschluss installiert. der bautrupp musste damals ein eigenes neues kabel für die telefonsteckdose vom hausverteiler in die nachbarwohnung legen. kann das vielleicht irgendwie damit zusammenhängen, vielleicht gibts mit der verkabelung im haus irgendein problem?

grüße
thomas

[mich66i]

interessant...

also eher ist auszuschliessen dass der Bautrupp hier damit was zu tun hat.

du sagst selbst dass du verschieden HW-Geräte getestet hast, bei allen das gleiche

dh entweder alle kaput oder eben nicht

du sagst selbst das du einen server laufen hast, rund um die uhr.

es wird dir nichts anderes sinnvoll weiterhelfen, als das lokale Problem zu lösen, da setzen meine Kenntnisse aus.

aber klar ist, dass du eben ausserhalb nicht suchen musst, da wirst einfach eben nicht fündig werden.

lg

[computerherby]

Schon OHNE Router probiert ....?

[tommyboy]

nein, ohne router hab ich es noch nicht versucht. werde ich jetzt tun, und euch dann berichten!

grüße
thomas

[superracer]

hört mir eigentlich keiner zu?

bei diesem tarif sind 8 fixe ip adressen inkludiert, davon sind 5 frei nutzbar, da drei reserviert sind

hast du die in deinem router auch richtig geroutet???

[tommyboy]

wie meinst du das ob ich die richtig geroutet habe? am router habe ich gar nichts besonderes eingestellt. er wählt sich nur über pptp ein (so wie bei aon speed halt auch)
im moment verwenden wir diese adressen noch nicht, derzeit verwenden wir nur die gateway adresse. das ist die (statische) adresse, die wir bei der einwahl zugewiesen bekommen.
über diese ip gehen wir ins internet bzw. wird von ausserhalb auf den server zugegriffen.
mehrere ip adressen zu nutzen ist dem dem router gar nicht möglich, dieser router wird aber bald durch eine ipcop firewall ersetzt
ich glaub aber trotzdem nicht dass es an der ip adresse oder am provider liegt, weil bei aon speed hatte ich das problem auch schon

[superracer]

wie meinst du das ob ich die richtig geroutet habe? am router habe ich gar nichts besonderes eingestellt. er wählt sich nur über pptp ein (so wie bei aon speed halt auch)
im moment verwenden wir diese adressen noch nicht, derzeit verwenden wir nur die gateway adresse. das ist die (statische) adresse, die wir bei der einwahl zugewiesen bekommen.

und was macht dein router mit den paketen, die für diese zusätzlichen ips reinkommen? schickt er sie ins lan weiter? verwirft er sie? schickt er sie an seinen default gateway, also wieder zurück ins internet? sammelt er sie ein bis er genug davon hat und macht sich dann nen pizza-belag draus?

[al]

Hint: was ist beim Router LANseitig zu konfigurieren?

/al

[tommyboy]

@superracer: keine ahnung was er mit diesen paketen macht. bin aber der meinung dass er sie verwirft oder irre ich da?

@al: was meinst genau?

[superracer]

@superracer: keine ahnung was er mit diesen paketen macht. bin aber der meinung dass er sie verwirft oder irre ich da?

das mußt schon du selbst wissen, ist ja dein router. jedenfalls kannst du hoffen, daß er sie besser nicht einfach wieder retour schickt (was er eigentlich machen müßte). prüfen kannst du das, indem du (von extern!) ein traceroute auf eine der zusätzliche ips machst...

[tommyboy]

also ein tracert von extern auf eine der zusätzliche ip's bringt folgendes resultat:


tracert 62.99.2XX.XXX


Routenverfolgung zu 62-99-2XX-XXX.static.adsl-line.inode.at [62.99.2XX.XXX] übe
r maximal 30 Abschnitte:

1 <1 ms <1 ms <1 ms 192.168.254.1
2 1 ms 1 ms <1 ms 81.189.12.33
3 4 ms 4 ms 4 ms wmich12-11-9.net.uta.at [81.189.11.9]
4 166 ms 69 ms 26 ms C76vix2-tengigE-3-2.net.uta.at [212.152.192.173]

5 9 ms 5 ms 5 ms C76vix2-tengigE-3-2.net.uta.at [212.152.192.173]

6 5 ms * 5 ms tele2-TGigE-vie.net.uta.at [212.152.189.66]
7 5 ms 5 ms 5 ms vix2.core01.vie01.atlas.cogentco.com [193.203.0.
113]
8 200 ms 229 ms 100 ms inode.demarc.cogentco.com [130.117.20.190]
9 5 ms 5 ms 5 ms bord-gb-01-001-shuttle.vien.inode.at [62.99.170.
6]
10 29 ms 41 ms 6 ms mac6-fe-00-000.shuttle.vien.inode.at [213.229.45
.254]
11 * * * Zeitüberschreitung der Anforderung.
12 * * * Zeitüberschreitung der Anforderung.
13 * * * Zeitüberschreitung der Anforderung.
14 * * * Zeitüberschreitung der Anforderung.
15 * * * Zeitüberschreitung der Anforderung.
16 * * * Zeitüberschreitung der Anforderung.
17 * * * Zeitüberschreitung der Anforderung.
18 * * * Zeitüberschreitung der Anforderung.
19 * * * Zeitüberschreitung der Anforderung.
20 * * * Zeitüberschreitung der Anforderung.
21 * * * Zeitüberschreitung der Anforderung.
22 * * * Zeitüberschreitung der Anforderung.
23 * * * Zeitüberschreitung der Anforderung.
24 * * * Zeitüberschreitung der Anforderung.
25 * * * Zeitüberschreitung der Anforderung.
26 * * * Zeitüberschreitung der Anforderung.
27 * * * Zeitüberschreitung der Anforderung.
28 * * * Zeitüberschreitung der Anforderung.
29 * * * Zeitüberschreitung der Anforderung.
30 * * * Zeitüberschreitung der Anforderung.

Ablaufverfolgung beendet.

[jutta]

es waere noch interessant, da parallel etheral mitlaufen zu lassen. und natuerlich alle 5 adressen anpingen, nicht nur die eine oder einen portscan machen.

[tommyboy]

hallo jutta,

wenn ich ethereal während dem ping von extern auf eine von den 5 ip adressen laufen lasse dann sieht das auf dem externen pc so aus:

No. Time Source Destination Protocol Info
154 19.873381 192.168.254.31 62.99.2XX.XXX ICMP Echo (ping) request

Frame 154 (74 bytes on wire, 74 bytes captured)
Arrival Time: Jan 4, 2006 14:18:29.127516000
Time delta from previous packet: 0.151970000 seconds
Time since reference or first frame: 19.873381000 seconds
Frame Number: 154
Packet Length: 74 bytes
Capture Length: 74 bytes
Protocols in frame: eth:ip:icmp:data
Ethernet II, Src: 192.168.254.31 (00:40:ca:61:34:93), Dst: 192.168.254.2 (00:09:0f:02:15:cf)
Destination: 192.168.254.2 (00:09:0f:02:15:cf)
Source: 192.168.254.31 (00:40:ca:61:34:93)
Type: IP (0x0800)
Internet Protocol, Src: 192.168.254.31 (192.168.254.31), Dst: 62.99.2XX.XXX (62.99.2XX.XXX)
Version: 4
Header length: 20 bytes
Differentiated Services Field: 0x00 (DSCP 0x00: Default; ECN: 0x00)
0000 00.. = Differentiated Services Codepoint: Default (0x00)
.... ..0. = ECN-Capable Transport (ECT): 0
.... ...0 = ECN-CE: 0
Total Length: 60
Identification: 0xfc3b (64571)
Flags: 0x00
0... = Reserved bit: Not set
.0.. = Don't fragment: Not set
..0. = More fragments: Not set
Fragment offset: 0
Time to live: 128
Protocol: ICMP (0x01)
Header checksum: 0x675f [correct]
Good: True
Bad : False
Source: 192.168.254.31 (192.168.254.31)
Destination: 62.99.2XX.XXX (62.99.2XX.XXX)
Internet Control Message Protocol
Type: 8 (Echo (ping) request)
Code: 0
Checksum: 0xb75a [correct]
Identifier: 0x0400
Sequence number: 0x9201
Data (32 bytes)

0000 61 62 63 64 65 66 67 68 69 6a 6b 6c 6d 6e 6f 70 abcdefghijklmnop
0010 71 72 73 74 75 76 77 61 62 63 64 65 66 67 68 69 qrstuvwabcdefghi


kannst du damit was anfangen?

[Neptunus]

Interessant wäre es zu beobachten, dass in einem Fall wie deinem immer wieder das selbe Paket ankommt.

Dazu wirst du aber zwangsweise die Ethereal-Infos von mehreren Paketen aufzeichnen/posten müssen.

Erkennbar wäre so ein Im-Kreis-Senden daran, dass die Time to live sinkt, d.h. beim 2. Mal 127 ist, dann 126, usw. bis 1 (oder 0?)