3
Dauertraffic vom DNS-Server des ISP
Hallo,
ich betreibe an einem ADSL-Anschluss eine Netgear FVS114 Firewall. Seit einiger Zeit stelle ich ständigen Traffic am WAN-Port fest (LEDs Dauerblinken). Die Auswertung der Logs ergab, dass der DNS-Server meines Providers unablässige Pakete an die FIrewall (192.168.33.12) sendet (auch wenn alle Rechner im Netz abgeschaltet sind:
[Wed, 2007-08-01 11:07:47] - UDP Packet - Source:217.237.149.205,53 - Destination:192.168.33.12,17397 - [Receive]
[Wed, 2007-08-01 11:07:48] - UDP Packet - Source:217.237.149.205,53 - Destination:192.168.33.12,17398 - [Receive]
[Wed, 2007-08-01 11:07:48] - UDP Packet - Source:217.237.149.205,53 - Destination:192.168.33.12,17399 - [Receive]
[Wed, 2007-08-01 11:07:48] - UDP Packet - Source:217.237.149.205,53 - Destination:192.168.33.12,17400 - [Receive]
usw.
Eventuell eine Folge waren Einträge im Log, die auf den Verlust der Verbindung hindeuten ("Lost WAN IP"...). Leider habe ich die Einträge nicht kopiert. Sie waren im Log für heute gegen 3 Uhr, 5 Uhr und 7Uhr (aber unregelmäßige Abstände!) verzeichnet. Jeweils nach rund 20-30min war die Verbindung wieder herstellt ("Get WAN IP"...).
Vielleicht habt Ihr Ideen, die dieses Verhalten erklären. Ich würde das gern beseitigen, dass die Verbindung stabil wird!
Besten Dank!
A.Helbig
ich betreibe an einem ADSL-Anschluss eine Netgear FVS114 Firewall. Seit einiger Zeit stelle ich ständigen Traffic am WAN-Port fest (LEDs Dauerblinken). Die Auswertung der Logs ergab, dass der DNS-Server meines Providers unablässige Pakete an die FIrewall (192.168.33.12) sendet (auch wenn alle Rechner im Netz abgeschaltet sind:
[Wed, 2007-08-01 11:07:47] - UDP Packet - Source:217.237.149.205,53 - Destination:192.168.33.12,17397 - [Receive]
[Wed, 2007-08-01 11:07:48] - UDP Packet - Source:217.237.149.205,53 - Destination:192.168.33.12,17398 - [Receive]
[Wed, 2007-08-01 11:07:48] - UDP Packet - Source:217.237.149.205,53 - Destination:192.168.33.12,17399 - [Receive]
[Wed, 2007-08-01 11:07:48] - UDP Packet - Source:217.237.149.205,53 - Destination:192.168.33.12,17400 - [Receive]
usw.
Eventuell eine Folge waren Einträge im Log, die auf den Verlust der Verbindung hindeuten ("Lost WAN IP"...). Leider habe ich die Einträge nicht kopiert. Sie waren im Log für heute gegen 3 Uhr, 5 Uhr und 7Uhr (aber unregelmäßige Abstände!) verzeichnet. Jeweils nach rund 20-30min war die Verbindung wieder herstellt ("Get WAN IP"...).
Vielleicht habt Ihr Ideen, die dieses Verhalten erklären. Ich würde das gern beseitigen, dass die Verbindung stabil wird!
Besten Dank!
A.Helbig
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 65219
Url: https://administrator.de/contentid/65219
Printed on: April 26, 2024 at 23:04 o'clock
3 Comments
Latest comment
Wie waers wenn du mit einem Packet Sniffer wie dem Wireshark oder dem Windows NetMonitor mal direkt in die Packete reinsiehst ? Dort kannst du dann detailiert sehen WAS der DNS Server der Firewall sendet. Auf alle Faelle benutzt er Port TCP 53 was per se erstmal DNS Traffic ist. Allerdings was, das sagt dir erst ein Sniffertrace !
Ohne diese Information kann man hier nur im freien Fall raten....
Ohne diese Information kann man hier nur im freien Fall raten....
Danke für Deine Antwort! Dabei stellt sich mir nur die Frage, ob der Sniffer, den ich ja auf einem PC im LAN laufen lasse, überhaupt die Möglichkeit hat, Pakete zu lesen, die von der Firewall gar nicht ins LAN weitergeleitet werden, da die Pakete ja an die Firewall selbst adressiert sind. (?)
Wo ist das Problem ??? Du nimmst einen kleinen 4 Port Hub und schleifst ihn in die Verbindung zwischen Router und Firewall. An einen der restlichen Ports schliesst du den Sniffer an und kannst bequem den Traffic mitlesen.
Wenn du beim Switchkauf kein Billigsystem vom Blöd Markt genommen hast, dann hast du ggf. einen managebaren Switch. Auf dem lässt sich dann noch leichter ein sog. Mirror Port einrichten mit dem du den Router oder FW Port spiegeln kannst. Dort schliesst du dann einfach den Sniffer an und schneidest den Traffic mit....das geht noch einfacher ohne HW Aufwand...wenn du den richtigen Switch hast !?
Wenn du beim Switchkauf kein Billigsystem vom Blöd Markt genommen hast, dann hast du ggf. einen managebaren Switch. Auf dem lässt sich dann noch leichter ein sog. Mirror Port einrichten mit dem du den Router oder FW Port spiegeln kannst. Dort schliesst du dann einfach den Sniffer an und schneidest den Traffic mit....das geht noch einfacher ohne HW Aufwand...wenn du den richtigen Switch hast !?