[Linux/Ubuntu 8.04] Arp poisoning?

[CrankyGamerOG]

Hallo,

Van de week gebeurde me iets heel erg vreemds.

Ik was bezig met onderhoud aan een server, op deze server moest op eth1 een lokaal ip gezet worden (192.168.1.0 range).

Nadat ik dus in de /etc/network/interfaces de eth1 had toegevoegd,

auto eth1
iface eth1 inet static
address 192.168.1.69
netmask 255.255.255.0

en een network restart had gedaan, werd deze machine onbereikbaar en
gingen er allemaal andere machines (in verschillende externe ranges) plat.....

Nadat ik dus al het rare gevoel had dat deze machine het veroorzaakte, ben ik in de core router gaan kijken naar de arp tabel.
en waarempel, de eth0(althans het mac adres ervan) van de betreffende server nam alle ips van de machines die down gingen.

Ik heb dus de machine meteen van het netwerk getrokken en toen herstelde de situatie zich na een aantal minuten.

Nadat de situatie had hersteld en de machine terug hong bleef het probleem ook weg?

Iemand enig idee hoe dit had kunnen gebeuren ?

Where the F*ck did i make a stupid mistake?

_{Nee de eth0 stond dus niet verkeerd ingesteld oid ( dus dat ik het ip van eth0 verkeerd had (gw ip ofzo) oid)}

[ Voor 10% gewijzigd door CrankyGamerOG op 26-08-2009 11:32 ]

[lamko]

CrankyGamerOG schreef op woensdag 26 augustus 2009 @ 11:30:

en waarempel, de eth0(althans het mac adres ervan) van de betreffende server nam alle ips van de machines die down gingen.

Hoe kan een mac adres nu meerdere ip's aannemen Lijkt me eerder om corruptie te gaan maar probeer hier maar eens achter te komen zonder dat je weet wat er van soort pakketten er over de lijn gingen.

[Verwijderd]

...

[ Voor 95% gewijzigd door Verwijderd op 29-05-2018 17:01 ]

[Verwijderd]

lamko schreef op woensdag 26 augustus 2009 @ 23:09:
Hoe kan een mac adres nu meerdere ip's aannemen

Dat kan prima.

[CrankyGamerOG]

Verwijderd schreef op woensdag 26 augustus 2009 @ 23:23:
post ff:

arp -a

voor je arp tabel.

Dat heeft nu geen zin meer he de situatie was hersteld na 5 minuten

Maar niemand een idee ? ik neig zelf naar een fout in de switch oid.

[leuk_he]

Niet bezig geweest met clonen van een mac address?

proxyarp op een of andere manier actief?

[ Voor 53% gewijzigd door leuk_he op 27-08-2009 11:35 ]

[CAPSLOCK2000]

De twee suggesties van leuk_he zijn ook het eerste wat bij mij op komt. Ik heb in een ver verleden nog wel eens een kleine puinhoop zien ontstaan met een mac adres dat was ingesteld op "00:00:00:00:00:00". ]

Ik zou een defecte NIC of misschien zelfs switch ook niet uit willen sluiten.

[lamko]

Verwijderd schreef op donderdag 27 augustus 2009 @ 10:55:
[...]


Dat kan prima.

Beetje kort door de bocht he ! Heb je ook een bron ?

[blaataaps]

lamko schreef op donderdag 27 augustus 2009 @ 18:02:
[...]


Beetje kort door de bocht he ! Heb je ook een bron ?

Als iets zo triviaal is, kan kort door de bocht prima.
[google=linux multiple ip addresses] heeft al 2.6 miljoen hits, die bijna allemaal vertellen hoe je dat kan bewerkstelligen. En op elk ander OS dat niet uit de steentijd komt is het al bijna net zo triviaal.
Waarom zou het niet kunnen? Bij een IP wordt een mac gezocht door middel van ARP, niet andersom, waarom zou bij diverse ip-adressen niet hetzelfde mac-adres kunnen horen?

[ Voor 7% gewijzigd door blaataaps op 27-08-2009 18:22 ]

[lamko]

Sorry, verkeerde woorden bij google gebruikt.
Excuses voor mijn hele domme vraag en sorry dat het voor mij niet triviaal was, mijn gedachtengang was even iets anders.

[blaataaps]

Dat geeft (natuurlijk) niet, maar het is zeer gangbaar (veel servers doen niet anders), vandaar de kort-door-de-bocht denk ik

[CrankyGamerOG]

leuk_he schreef op donderdag 27 augustus 2009 @ 11:31:
Niet bezig geweest met clonen van een mac address?

proxyarp op een of andere manier actief?

nee niks met proxyarp oid. echt heel vreemd.

De betreffende machine stond al 2 maanden te draaien, ik voegde eth1 toe om de machine te backuppen.
Na de network restart begon de ellende

Dus niks aangepast mbt mac address oid

CAPSLOCK2000 schreef op donderdag 27 augustus 2009 @ 13:02:
De twee suggesties van leuk_he zijn ook het eerste wat bij mij op komt. Ik heb in een ver verleden nog wel eens een kleine puinhoop zien ontstaan met een mac adres dat was ingesteld op "00:00:00:00:00:00". ]

Ik zou een defecte NIC of misschien zelfs switch ook niet uit willen sluiten.

Dat is wat ik ook denk, maar als het echt stuk zou zijn zou het nu problemen moeten geven en hij draait alweer 2 dagen vrolijk.

Ik houd het voor nu maar op een "fluke" in de switch of nic

[ Voor 37% gewijzigd door CrankyGamerOG op 27-08-2009 19:10 ]

[lamko]

Zo had ik laatst ook een switch die geen netwerkverkeer meer doet liet al van de stroom afgehaald opnieuw er weer op. Mee naar de zaak genomen uitvoerig gepinged door de switch maar hij deed het perfect dus maar weer teruggebracht daarna nooit meer wat gehoord.