iPhone TCP Syn With Data

[flashingst]

Ik weet niet of ik in de juiste categorie zit, maar ik stuit op een merkwaardig verschijnsel met betrekking tot een iPhone i.c.m. een ExperiaBox v8 van een kennis van mij. Laatst was ik daar om de instellingen van de router te checken en ik zag in de log dat de iPhone die daar verbonden is met de router op willekeurige momenten data (of iets dergelijks) uit lijkt te wisselen met een IP-adres van Apple. Soms is dit meerdere keren achter elkaar, soms uren niets. Dit ziet er in de log van de router als volgt uit:

16:07:58 **TCP-SYN with data** 192.168.2.2, 49830->> 17.252.43.246, 443 (from WLAN Inbound)
16:05:48 **TCP-SYN with data** 192.168.2.2, 49747->> 17.252.43.246, 443 (from WLAN Inbound)
15:45:21 **TCP-SYN with data** 192.168.2.2, 49585->> 17.252.43.246, 443 (from WLAN Inbound)
15:45:15 **TCP-SYN with data** 192.168.2.2, 49574->> 17.252.43.246, 443 (from WLAN Inbound)
12:42:56 **TCP-SYN with data** 192.168.2.2, 49893->> 17.252.43.246, 443 (from WLAN Inbound)
12:39:20 **TCP-SYN with data** 192.168.2.2, 49875->> 17.252.43.246, 443 (from WLAN Inbound)

Soms komt het ook vanuit poorten zoals nummers boven de 5000 (bijvoorbeeld 5223). Het gaat dus om een iPhone (4S, iOS 9) i.c.m. een ExperiaBox v8 van Telfort. Alle instellingen om automatische informatie naar Apple te sturen staan op de iPhone uitgeschakeld (ook dingen als iCloud, diagnostische info en dergelijke).

Zijn er meerdere mensen die dit hebben en is dit normaal? Of zijn er instellingen in de iPhone die dit soort dingen beïnvloeden?

[GlowMouse]

Bij het inschakelen van Wi-Fi checkt een iPhone of er directe toegang is tot het internet, of dat er eerst een loginscherm is. Wellicht dat het daarmee te maken heeft.

Als ik op dat ip-adres ga zoeken, kom ik wat dingen tegen van Spotlight searches (api.smoot.apple.com). Dat zou het ook kunnen zijn.

[ Voor 18% gewijzigd door GlowMouse op 02-07-2016 17:32 ]

[flashingst]

GlowMouse schreef op zaterdag 02 juli 2016 @ 17:31:
Bij het inschakelen van Wi-Fi checkt een iPhone of er directe toegang is tot het internet, of dat er eerst een loginscherm is. Wellicht dat het daarmee te maken heeft.

Als ik op dat ip-adres ga zoeken, kom ik wat dingen tegen van Spotlight searches (api.smoot.apple.com). Dat zou het ook kunnen zijn.

Zoiets dacht ik al. Waar het mij voornamelijk om gaat is dat het geen kwaad kan. Het treed overigens niet op bij een oudere iPhone 4 met iOS 7...

[Thralas]

flashingst schreef op zaterdag 02 juli 2016 @ 17:08:ik zag in de log dat de iPhone die daar verbonden is met de router op willekeurige momenten data (of iets dergelijks) uit lijkt te wisselen met een IP-adres van Apple.

Tot dusver niets geks toch? Daar is dat ding voor bedoeld..

Zijn er meerdere mensen die dit hebben en is dit normaal? Of zijn er instellingen in de iPhone die dit soort dingen beïnvloeden?

Ik gok dat Apple's TCP stack fast open doet.

Aan firewallregels op consumentenrouters moet je sowieso nooit teveel waarde hechten, die zijn al snel paranoide. Ook hier lijkt me dat het geval. Reden dat je router het meldt is omdat je iemand zou kunnen DoS'en met TCP SYNs opgeblazen met data..

[flashingst]

Inmiddels heeft de eigenaar de telefoon een reset naar fabrieksinstellingen gegeven en dezelfde TCP Syns verschijnen nog steeds op willekeurige momenten in de router log. Voor zover ik weet wordt alles van de iPhone verwijderd bij een herstel via iTunes zonder terugzetten van reservekopie dus het lijkt mij dan dat dit normaal is?

[Glashelder]

Zijn dit niet gewoon pushberichten?

Alle pushberichten op een iPhone worden via de Apple Servers naar je iDevice verstuurd. Apple gebruikt daar normaliter inderdaad poort 5223 voor.

[flashingst]

Glashelder schreef op maandag 04 juli 2016 @ 15:31:
Zijn dit niet gewoon pushberichten?

Alle pushberichten op een iPhone worden via de Apple Servers naar je iDevice verstuurd. Apple gebruikt daar normaliter inderdaad poort 5223 voor.

Klopt, maar het gaat lang niet altijd om poort 5223. Ook verschijnt de melding niet ineens als er een pushbericht binnenkomt op de iPhone.

[Glashelder]

Apple gebruikt meerdere poorten voor de pushservice 443 wordt op wifi ook veelgebruikt.

En de verbinding met de push service wordt 'alive' gehouden dus dat er niet altijd een push bericht binnen komt terwijl je wel data ziet is dus logisch.

[MisteRMeesteR]

De AppleTV hier doet exact hetzelfde op willekeurige momenten; soortvan phone-home.:



(192.168.250.111 is dus de AppleTV)