Packets voor intern ip krijgen GW mac

[marshallq]

Hallo, ik heb het vreemde probleem dat pakketjes van een internet server met als doel ons interne ip het mac adres van onze default (router) gateway krijgen.

Setup:
<<< Internet server>>> <<< CISCO 90.200.100.1 >>> <Switch> <<< Draytek 90.200.100.2 / 192.168.1.1 >>> <Procurve switch> <hub> <<< Intern apparaat 192.168.1.50 >>>

Draytek heeft als DF GW 90.200.100.1
Interne netwerk apparaten hebben 192.168.1. als DF GW

Pakketje met als doel 192.168.1.50 lijkt aan te komen op de Draytek en dan doorgestuurd te worden naar het interne netwerk alleen met het MAC van de Cisco. De Cisco is een apparaat van onze ISP. De <switch> tussen de draytek en cisco is een 10 euro ding (zitten nog een paar routers aan behalve de draytek).

Ik kwam hierachter via wireshark en dmv. een hub tussen het interne apparaat en een procurve switch.

Draytek routing table:
Key: C - connected, S - static, R - RIP, * - default, ~ - private
* 0.0.0.0/ 0.0.0.0 via 91.219.111.1 WAN1
C 90.200.100.0/ 255.255.255.224 directly connected WAN1
C~ 192.168.1.0/ 255.255.255.0 directly connected LAN

[ Voor 14% gewijzigd door marshallq op 23-03-2011 10:46 ]

[Kompaan]

Als er echt pakketjes op je WAN binnenkomen met een RFC1918 doel aankomen,zou je die moeten droppen.

[marshallq]

Kompaan schreef op donderdag 31 maart 2011 @ 23:57:
Als er echt pakketjes op je WAN binnenkomen met een RFC1918 doel aankomen,zou je die moeten droppen.

Het probleem doet zich nog steeds voor. Maar wat er gebeurd is dat er packets van het WAN binnenkomen en dan intern met het verkeerde MAC geforward worden (namelijk die van de <<< CISCO 90.200.100.1 >>>).

Wat ik ook vreemd vindt is dat ik een test aan het doen was op een laptop met daarop wireshark en dat daar ineens packets met het verkeerde MAC adres wel voorbij kwamen terwijl ze niet voor deze laptop bestemd waren. Met unicast en in een switched omgeving zou dat ook niet mogen denk ik zo.

[Kompaan]

marshallq schreef op dinsdag 12 april 2011 @ 11:50:
[...]
Wat ik ook vreemd vindt is dat ik een test aan het doen was op een laptop met daarop wireshark en dat daar ineens packets met het verkeerde MAC adres wel voorbij kwamen terwijl ze niet voor deze laptop bestemd waren. Met unicast en in een switched omgeving zou dat ook niet mogen denk ik zo.

Als een MAC niet bekend is bij de switch, forward hij op alle poorten.

Maaruh, ik lees net nog je eerste post een keer, heb je niet een DMZ ingesteld staan en worden daarom alle onbekende pakketjes daarheen gestuurd?

[Orion84]

Wellicht begrijp ik je post helemaal verkeerd, maar volgens mij gaat het dus als volgt:

Pakketje komt vanaf internet binnen op jouw Cisco Router, die stuurt het (via een of meer switches) door naar een PC in je netwerk?

Op het moment dat het pakketje bij die PC aankomt is het sender MAC gelijk aan het MAC van de router.

Dat is toch de doodnormaalste zaak van de wereld? MAC adressen zijn voor lokaal node-to-node communicatie, niet voor end-to-end communicatie, daar heb je IP adressen voor. Het is dus volledig normaal dat pakketjes vanaf het internet het MAC adres van de router krijgen, zodra de router ze het interne netwerk op stuurt.

Nogmaals, wellicht lees ik je verhaal verkeerd en is er wel iets opvallends aan de hand, maar op het eerste gezicht klinkt het als iemand die wireshark logs aan het lezen is zonder de juiste kennis van netwerkprincipes om de logs ook te begrijpen.

Edit: ow, wacht, die draytek is ook een router, dan zou je dus verwachten dat je op je interne netwerk MAC adressen van de Draytek ziet langskomen, niet van de Cisco...
Teken even een plaatje anders, want die regel met al die <<< en >>> is lastig te begrijpen om een goed beeld te krijgen van hoe een en ander nu precies in elkaar steekt en wat de functie van die apparaten is.

Maar goed, dan lijkt het me inderdaad een valide vraag hoe er pakketjes met het MAC adres van de CISCO op het netwerk achter de Draytek terecht komen.

[ Voor 25% gewijzigd door Orion84 op 16-04-2011 14:56 ]