Top-Themen

Aktuelle Themen (A bis Z)

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit

W2k3, statische ARP-Einträge wurden von selbst erstellt

Mitglied: hm7user

hm7user (Level 1) - Jetzt verbinden

12.10.2011 um 06:01 Uhr, 3221 Aufrufe, 5 Kommentare

unerwartete statische ARP-Cache-Einträge

Hallo!

Auf einem W2k3-SP2-Server tauchten innerhalb von 3 Wochen mindestens bereits 2 statische ARP-Einträge im ARP-Cache auf, die 100%ig nicht manuell am Server gesetzt wurden.

Sie beziehen sich auf IP-Adressen eines DHCP-Ranges , die für Client-PCs gedacht sind.

Es waren beide male verschiedene MAC-Adressen, die Geräte sind noch nicht identifiziert.

Gibt es einen "normalen" Weg für sowas, oder muß ich mit dem Gehacktwordensein des Servers rechnen?


Danke, Harald
Mitglied: msr972
12.10.2011 um 08:41 Uhr
Guten Morgen,

wurde denn am W2k3 Server neue Hardware bzw. Hardware für das Netz installiert und am Server dafür Hardware?
Ich hatte mal RS485-Netzwerk Komponenten, die auch einen Treiber bzw. eine Softwareinstallation benötigten und die ARP Einträge wurden von der Software gesetzt. Sehr sinnvoll natürlich..

Bzw. mal Log von arp -a wäre nicht schlecht
Bitte warten ..
Mitglied: hm7user
14.10.2011 um 05:26 Uhr
Hallo msr972!

Danke für Deine Idee! Nein, keine Installationen in den letzten Wochen/Monanten, nicht mal Software (außer evtl. Updates).


Andere haben solche Effekte offenbar auch:

http://serverfault.com/questions/60033/bad-arp-cache-static-entries

http://forums.whirlpool.net.au/archive/797548


Hier läuft aber kein 3Com Boot Service (und auch kein RIS/WDS).

Allerdings lief mal testweise ein RIS mit BINL, keine Ahnung, vielleicht rennt da ja noch was versehentlich, seit Update zu WDS.

Ist ja fast wahrscheinlich, daß irgendwelche PXE-Server-Dienste sowas verursachen.

Ansonsten habe ich keine Idee, welche Server-Anwendungen noch aktiv statische ARP-Einträge erzeugen könnten. Vielleicht irgendwelche Konfigurations-Software für Netzwerkgeräte (so Drucker-Erstkonfig-Tools oder so).


Soweit erstmal, Harald
Bitte warten ..
Mitglied: msr972
14.10.2011 um 08:28 Uhr
Also wenn die Adresseinträge im Bereich 224.0.0.0 bis 239.255.255.255 geht, sind die statischen Einträge vom Prinzip her ok.
Hier ein kleiner Erläuterungslink: http://www.tcpipguide.com/free/t_IPMulticastAddressing.htm

Ansonsten vielleicht mal bei RIPE nach der IP suchen oder über die MAC den Vendor finden.
Bitte warten ..
Mitglied: hm7user
15.10.2011 um 02:33 Uhr
Hallo msr972!

Nee, nee, sind ganz "normale" IPs aus dem privaten Bereich (192.168...), welche sonst auch per DHCP an die Client-PCs verteilt werden.

So ist's überhaupt aufgefallen: Client-PCs hatten per DHCP IPs bekommen, die am Server als statische ARP-Einträge auf andere MACs zeigten.

Die Hersteller zu den MACs hatte ich natürlich gleich rausgesucht, aber es ist bisher kein Gerät gefunden. Daher vermute ich Gäste-Notebooks oder Spoofing/Fälschung.

Allerdings habe ich noch von keiner Spoofing-Methode gelesen, die statische ARP-Einträge am Server einrichten kann.


Übrigens: Am Server 2003 finden sich auch keine Default-Einträge für Multicast-Adressen. Das ist wohl erst bei 2008 zu sehen.


Harald
Bitte warten ..
Mitglied: hm7user
16.10.2011 um 14:19 Uhr
Die PCs sind inzwischen gefunden. Sind tatsächlich (neuere) Notebooks gewesen, die noch unbekannt waren.

Also ist ARP-Spoofing erstmal unwahrscheinlich, zumindest mit MAC-Fälschungen.

Momentan verursachte ihr Betrieb allerdings keine neuen statischen ARP-Einträge am Server.


Harald
Bitte warten ..
Ähnliche Inhalte
Windows Netzwerk

Statischen ARP Eintrag erstellen klappt nicht

gelöst Frage von aif-getWindows Netzwerk6 Kommentare

Hallo, Bei anlegen eines statischen ARP eintrags kann ich immernoch nicht auf ein gerät (in dem fall einen dlink-switch ...

Router & Routing

Statische Route eintragen

gelöst Frage von mcallister001Router & Routing6 Kommentare

Hallo Zusammen Ich stehe vor folgendem Problem und wollte mal wissen ob ich einen Denkfehler habe oder es funktionieren ...

Hosting & Housing

Wie kann man nachvollziehen wie eine Datei auf einem Webserver erstellt wurde?

Frage von StefanKittelHosting & Housing5 Kommentare

Hallo, ich habe hier einen LAMP-Server (Ubuntu LTS, Apache, PHP, MySQL). Alles ganz frisch. Kein ControlPanel, von Hand konfiguriert. ...

Batch & Shell

Batch soll warten bis Datei erstellt wurde

gelöst Frage von FabixxBatch & Shell2 Kommentare

Hallo liebe Administratoren, ich habe folgende Batch. Diese wandelt eine PDF um und wartet anschließend 15 Sekunden bis die ...

Neue Wissensbeiträge
Verschlüsselung & Zertifikate
Meine Wissenssammlung zu Bitlocker
Erfahrungsbericht von DerWoWusste vor 15 StundenVerschlüsselung & Zertifikate2 Kommentare

Die Motivation für diesen Beitrag waren die vielen Posts rund um dieses Thema, die deutlich machen, wie viele Einzelaspekte ...

E-Mail
Email-Apps und Verhalten bei Pop3
Erfahrungsbericht von kfranzk vor 2 TagenE-Mail11 Kommentare

Hallo Freunde, da mir mein diesbezüglicher Faden als gelöst markiert wurde, muss ich hier neu aufsetzen. Ich arbeite bewusst ...

Hyper-V

Optimiertes Ubuntu per Microsoft Hyper-V-Schnellerstellung verfügbar

Anleitung von Frank vor 2 TagenHyper-V

Für Microsofts Virtualisierungssoftware Hyper-V ist ab sofort auch ein optimiertes Ubuntu 18.04.1 LTS verfügbar. In der "Hyper-V-Schnellerstellung" App, die ...

Sicherheits-Tools

Trend Micro WorryFree Business Security (WFBS) 10 - neuer Patch 1470 verfügbar

Tipp von VGem-e vor 2 TagenSicherheits-Tools1 Kommentar

Servus, mal sehen, ob mit Patch 1470, zu finden unter dann die angeblich fehlerhafte Funktion, die unter W10 im ...

Heiß diskutierte Inhalte
Netzwerke
Hilfe bei der Planung meines Heimnetzwerks
Frage von DHD082Netzwerke14 Kommentare

Hallo zusammen, wir bauen gerade ein Einfamilienhaus, welches ich mit einem Heimnetzwerk ausstatten möchte. Da ich zwar auch in ...

Datenschutz
Gilt ein Ransomware-Befall als Datenpanne nach DSGVO?
Frage von MOS6581Datenschutz13 Kommentare

Moin Kollegen, wenn sich jemand Ransomware einfängt und dadurch bspw. Kundendaten verschlüsselt werden; gilt dies dann als meldepflichtige Datenpanne ...

Tipps & Tricks
Nagstamon und PRTG Monitoring
Frage von Der.ITlerTipps & Tricks13 Kommentare

Hallo Ihr, heute am Sonntag bin ich mal früh aufgestanden um mich mit dem Problem von Gestern zu beschäftigen. ...

Hardware
Sophos SG135 - Routing
Frage von Xaero1982Hardware13 Kommentare

Moin Zusammen, ich ersetze gerade nen alten Cisco DualWAN Router durch eine SG 135. Ich muss bestimmte Ziele über ...