Új hozzászólás Aktív témák

• #14058 soma314 tag Flowtation #14056

  Új Válasz 2018-02-27 12:46:13 #14058

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  soma314

  tag

  válasz Flowtation #14056 üzenetére

  "Csináltam wireshark-al két logot, de sajnos nekem az nem mond semmit. Viszont sikerült kétszer is olyat, hogy hirtelen nagyon megugrott a forgalom (?), pillanatokon belül több mint huszonezer (!) sor keletkezett, a mentett fájl 330 Mb lett. Na ezt viszont nem tudom mitől??"

  Na ilyen egy tipikus storm!
  nézd át a kábelezést nincs-e hurok!
  ha ránézel a switch-re a led-ek folyamatosan villognak ilyenkor rajta. egyenként húzd ki a portokból a kábeleket, ha nem szűnik meg az extrem villogás, akkor dugd vissza. Ha megszűnik, akkor azzal a kábellel bontottad a hurkot.

  privit tudsz irni, de hogy mekkora file-t tudsz küldeni benne azt nem tudom.
  De nem is kell.
  Megnyitod a file-t Wireshark-ban, a jobb alján kiirja a packet-ek számát a file-ban.
  Ezután beirod fellül a csikba: eth.addr == ff:ff:ff:ff:ff:ff ezután a fehér nyil jobb oldalon a sáv végén
  Jobb alul pedig ki fogja irni a megjelenitett és az összes packet-et számát, arányát

• #14057 crok Topikgazda Flowtation #14056

  Új Válasz 2018-02-27 10:30:13 #14057

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  crok

  Topikgazda

  válasz Flowtation #14056 üzenetére

  Írhatsz nekem is.

• #14055 soma314 tag Flowtation #14054

  Új Válasz 2018-02-27 09:57:51 #14055

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  soma314

  tag

  válasz Flowtation #14054 üzenetére

  kezdjük elölről, hogy jól értem-e:

  mi volt pontosan a hibajelenség? (leirok egy lehetséges scenario-t) azt pontositsad, hogy ez volt-e

  eddig is rá volt dugva a switch az egyik "privát" vlan-es port-ra és azon a switch-en voltak számitógépek és egy AP. Nem változtattatok semmit, de azt tapasztaltad, hogy a számitógépek nem kapnak IP cmimet a DHCP szervertől. Viszont, ha átdugod a másik portba, akkor pár percig működik a DHCP szerver felöl a cimek kiadása aztán ismét leáll.
  Ez volt?

  Ha ez akkor továbbra is a következő két dolgot nézném meg: nincs layer 2-es hurok a switch-nél? vagy egyéb storm?
  Ezt egyszerűen meg tudod nézni egy windows-os számitógéppel, ami DHCP-n kérne IP cimet. Fontos, hogy ne statikus IP cim beállitása legyen.
  Kihúzod a mögöttes switch kábelét a Cisco-bül.
  A windows-os gépen elinditod a rendszermonitort és a hálózati terhelést nézed, majd rádugod a switch-ről érkező gépet a számitógépre. Ugye nem fog IP cimet kapni, hiszen nincs DHCP szerver, de kérni fog, ami beindit egy broadcast storm-ot egy hurkolt hálózaton.
  A rendszer monitoron látod, hogy a terhelés nagy, közel a 100%-hoz, akkor éppen egy storm-otok van.
  A Cisco eszköz, ha "bolondbiztosra" van konfigurálva, akkor bizony védekezik a storm-ok ellen és leállitja azt a portot, amin a storm érkezik, ezzel meggátolja annak tovább terjedését.

  Másik lehetőség, hogy valaki meg akarja hack-elni a hálózatotokat (akár véletlenül, akár szándékosan). Mivel emlitetted, hogy van egy AP is, igy szinte bárki rácsatlakozhat wifi-n a hálózatra és a hack-elést DHCP starving-gal kezdi, vagyis lekéri az összes rendelkezésre álló (alapban 253 host cimet) . Most nem mennék bele, hogy miért, de ez lehet egy támadás előkészítő lépése.
  Ez esetben ugye elfogynak a DHCP által kiosztható IP cimek.

  Harmadik lehetőség, hogy valaki egy DHCP szervert kötött a hálózatra nálatok. Ez lehet egy otthon-ról hozott wifi-s home router, de lehet egy éppen GNS3-al (rosszul) gyakorló diák is.
  Ha a Cisco eszköz jól van konfigurálva, akkor ez ellen védekezik, mert ez is lehet egy támadás előkészitése

  Mint látod van sok-sok variáció, amin akkor lehetne szűkiteni, ha a Cisco eszközhőz lehetne hozzáférni és lekérdezni, illetve, ha Wireshark-kal (vagy más programmal) tudsz adatforgalmat rögziteni, elemezni.
  Én elsőnek a következőt nézném meg:
  Lehúznám a kábelt, ami a "privat" port-jára van dugva a Cisco eszköznek. Majd rádugnék egy gépet, ami DHCP-n kér IP cimet. Ezt rögziteném és megnézném, hogy a DHCP DORA (Discovery, Offer, Request, Acknowladgement) szépen lement-e.

  Ha lement, akkor valószínűsítenem, hogy a hiba helyben lesz. Elinditva a rögzitést a gépet ezúttal annak a kábelnek a végére dugnám, amelyik menne a Cisco eszközbe.
  Rögzitenék egy kevés adatot (ha a gép bele nem fagy) majd megnézném, hogy mennyi a csomagokből az L2 Broadcast (ahol az L2 cimzett MAC cim az FFFF.FFFF.FFFF). Ez a teljes rögzített adatforgalomhoz képest kevés kell legyen.

  Viszont a legegyszerűbb, amit rögtön meg tudsz tenni, hogy megnézed, hogy a hibajelenség akkor is fennáll-e, ha az AP-ot lehúzzátok a hálózatról.

  Én nem ismerem a web-es felületet, pláne ennyiből nem tudok mit mondani. Mit értesz az alatt, hogy tudsz ping-elni és hogy jó a net? Mit pingeltél? ping 8.8.8.8 ? vagy ping www.google.com
  Az hogy jó a net azt jelenti, hogy a böngészőn meg tudsz nyitni egy weboldalt?
  A tanári gépre "csináltál net-et" mit jelent? Beállitottál rajta egy statikus IPv4 cimet?

• #14051 soma314 tag Flowtation #14050

  Új Válasz 2018-02-26 14:54:42 #14051

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  soma314

  tag

  válasz Flowtation #14050 üzenetére

  mit dugdosol rá? véletlenül nem egy switch-et ami továbbosztja a LAN-t? esetleg egy gépen belüli virtuális hálózattal kötöd össze?
  mert akkor van pár ötlet mi lehet a gond (port security, L2 hurok, egyéb storm...)
  tudsz csinálni egy wireshark capture-t?

• #14048 crok Topikgazda Flowtation #14047

  Új Válasz 2018-02-26 11:16:33 #14048

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  crok

  Topikgazda

  válasz Flowtation #14047 üzenetére

  Ja, ha már így mondod: mert a DHCP szerver lehet nem is helyi hanem távoli/SUlinet központi - nálad meg csak ip helper van felvéve a router adott interface-e alatt, így a DHCP kérés csak forwardolva van a szervernek majd a válasz a kérő gépnek. Így ha nincs net nincs DHCP.

Új hozzászólás Aktív témák