philipp711
Goto Top

Serverfarm telefoniert nach Hause

Hallo Leute,

in dem Wochenbericht unserer Firewall ist mir aufgefallen, dass einige öffentliche IP-Adressen extrem oft angefragt und geblockt werden:

65437226562d74b31c4324fe03c64780

die 191er & 131er-Adressen gehören laut Whois zu Microsoft. Die 2er Adressen allesamt zu Akamai.

Nahezu jeder Server in unserem Netzwerk mit beliebiger Windows-Version (Srv2008R2, Srv2012R2, Hyper-V-Server2012R2) zählt zu den "anfragern" - allesamt MS-Systeme. Die Linux-Farm will logischerweise von MS bzw. Akamai nichts wissen.

Ich kann keine Regelmäßigkeit erkennen....wisst ihr evtl. mehr - ein doofes Update, dass nach Hause telefonieren will??

Nebenfrage:
Kauft MS "Cloudpower" von Akamai?


Nachtrag vom 09.09.2015

Das Aufzeichnen des Traffics über den halben Tag hat nur folgendes Ergebnis gebracht:

9e9d2d0dbb838345aabb36776e6239b6

Er hat auf Akamai-Adressen zugegriffen...allerdings werde aus den weitern Info's nicht schlauer....

Content-Key: 282252

Url: https://administrator.de/contentid/282252

Ausgedruckt am: 19.03.2024 um 07:03 Uhr

Mitglied: 117643
Lösung 117643 08.09.2015 um 09:01:16 Uhr
Goto Top
Lass doch mal Wireshark laufen, dann siehst du was übertragen wird face-smile

"Nebenfrage:
Kauft MS "Cloudpower" von Akamai?"
--> Jap, wie fast jedes große Unternehmen dass im Web vertreten ist.
Mitglied: ukulele-7
ukulele-7 08.09.2015 um 09:05:38 Uhr
Goto Top
Hast du die üblichen Verdächtigen im Einsatz?

- Windows Update
- MS Azure
- MS Office
- MS Live
- Fehlerberichterstattung
- Windows 10
- ...

Hier steht was zu diagnostic tracking service. KB3022345
https://www.reddit.com/r/sysadmin/comments/3dw8x5/windows_servers_outbou ...
Mitglied: emeriks
emeriks 08.09.2015 um 09:09:53 Uhr
Goto Top
Hi,
Akamai ... Ist das nicht dieser Donwload-Manager, über den MS seit ner Weile seine angebotenen Downloads "bevorzugt" heruntergeladen haben möchte?

E.
Mitglied: exellent
exellent 08.09.2015 um 09:37:00 Uhr
Goto Top
Hi Philipp,

bei Akamai wird nahezu jeder Download Content gehostet. Wenn auf deinen Servern Java, Flash, wasauchimmer installiert ist dann versuchen sich diese Tools zwecks Update auch zu Akamai zu verbinden.

Kann deine Firewall zusätzlich zu den IP Adressen auch die URLs auflösen? Dann bekommst du mehr Einsicht was wo wie angefragt wird.

Grüße
-exellent
Mitglied: 108012
108012 08.09.2015 um 10:42:50 Uhr
Goto Top
Hallo,

Die 2er Adressen allesamt zu Akamai.
Akamai ist einer der größten am Markt tätigen Tier1 Carrier, CDN, Hoster die auch andere Dienste
anbieten und das für fast alle großen Firmen am Markt und auch schon seit Jahren!

- Akamai hostet Spieleserver für die großen Spielehersteller
- Windowsupdate Server
- Adobe
- Office365

Kaum etwas was die nicht machen können, aber ließ einmal selber Akamai

Gruß
Dobby
Mitglied: Philipp711
Philipp711 08.09.2015 aktualisiert um 11:45:54 Uhr
Goto Top
Zitat von @ukulele-7:

Hast du die üblichen Verdächtigen im Einsatz?

- Windows Update

Eigentlich sollen die Server nur mit dem internen WSUS über updates "sprechen"....nicht mit MS....

- MS Azure

nicht im Einsatz

- MS Office

wir nutzen zwar Office....aber nicht auf den Servern

- MS Live

nicht im Einsatz

- Fehlerberichterstattung

das könnte es natürlich sein - das KB3022345 macht ja anscheinend genau das...

- Windows 10
- ...

Hier steht was zu diagnostic tracking service. KB3022345
https://www.reddit.com/r/sysadmin/comments/3dw8x5/windows_servers_outbou ...

Ich denke ich werde mal weiter in Richtung "KB3022345" schauen...dieses "plötzliche" aufkommen des Traffics kann natürlich mit der gleichzeitigen Installation der Updates auf allen Servern zusammenhängen....

-> ich werfe mal den WireShark auf einem Server für einen Tag an und schaue was sich ergibt....

---


Zitat von @exellent:

Kann deine Firewall zusätzlich zu den IP Adressen auch die URLs auflösen? Dann bekommst du mehr Einsicht was wo wie angefragt wird.


Leider nein....die internen Server haben keine Möglichkeit "alleine" ins Internet zu kommen....Updates kriegen sie über den WSUS. Applikationsupdates wie Java oder Flash (sofern der schiss überhaupt installiert ist) über die interne Softwaredeployment-Lösung. Die Server die eine Internetverbindung benötigen haben einen Proxy konfiguriert sodass die Firewall da eig. nichts zu blocken hat...
Mitglied: 108012
108012 08.09.2015 um 11:49:49 Uhr
Goto Top
Leider nein....die internen Server haben keine Möglichkeit "alleine" ins Internet zu
kommen....Updates kriegen sie über den WSUS. Applikationsupdates wie Java oder Flash
(sofern der schiss überhaupt installiert ist) über die interne Softwaredeployment-Lösung. Die > Server die eine Internetverbindung benötigen haben einen Proxy konfiguriert sodass die
Firewall da eig. nichts zu blocken hat...

Und wie kommt dann der Netzwerkverkehr zustande?

Gruß
Dobby
Mitglied: Philipp711
Philipp711 08.09.2015 aktualisiert um 13:50:03 Uhr
Goto Top
Ein Standardgateway (Core-Switch) ist schon definiert...dieses Routet weiter in einige VLAN's. Wenn das Core-Switch allerdings nicht mehr weiter weiß geht's ab zur FW/ zum Gateway (die Default-Route geht zur FW).

Wer ins Internet will muss über den Proxy oder ich definiere eine passende FW-Rule - ist aber im momentan Fall nicht so...die Server kommen nicht durch die FW. Der Screenshot zeigt ja auch nur die Top10 der geblockten URL's...
Mitglied: Philipp711
Philipp711 09.09.2015 um 08:09:48 Uhr
Goto Top
Habe den Wireshark-Ausschnitt in die ursprüngliche Frage eingefügt.