Vreemd dhcp?(poort 67,68) verkeer??

[Unicron]

Hoi,

Het valt me op dat mijn firewall(=kerio personal firewall) veel UDP datagrams inbound op de poorten 67 en 68 blocked.
Naar mijn weten worden poorten 67 en 68 gebruikt voor DHCP, maar wat hebben deze computers er dan mee te maken, want deze zijn niet de DHCP server?

Wat mij ook opvalt is het IP 192.168.0.1 , dit is het IP van mijn kabelmodem. Waarom stuurt mijn kabelmodem mij DHCP pakketjes alsof ik hier om gevraagd zou hebben of alsof ik een DHCP server ben?

Ik ben niet bang dat ik gehacked wordt ofzo. Het is pure interesse waarom dit verkeer plaatsvind.

Wie kan dit verkeer verklaren???

Hier een stukje van de log file:

code:

1,[29/Jun/2003 13:16:33] Rule 'Packet to unopened port received': Blocked: In UDP, t-indiv7-118.athome.tue.nl [131.155.242.118:68]->localhost:67, Owner: no owner
1,[29/Jun/2003 13:16:33] Rule 'Packet to unopened port received': Blocked: In UDP, 192.168.0.1:67->localhost:68, Owner: no owner
1,[29/Jun/2003 13:16:40] Rule 'Packet to unopened port received': Blocked: In UDP, t-indiv7-118.athome.tue.nl [131.155.242.118:68]->localhost:67, Owner: no owner
1,[29/Jun/2003 13:16:40] Rule 'Packet to unopened port received': Blocked: In UDP, 192.168.0.1:67->localhost:68, Owner: no owner
1,[29/Jun/2003 13:16:48] Rule 'Packet to unopened port received': Blocked: In UDP, t-indiv7-118.athome.tue.nl [131.155.242.118:68]->localhost:67, Owner: no owner
1,[29/Jun/2003 13:16:48] Rule 'Packet to unopened port received': Blocked: In UDP, 192.168.0.1:67->localhost:68, Owner: no owner
1,[29/Jun/2003 13:16:56] Rule 'Packet to unopened port received': Blocked: In UDP, t-indiv7-118.athome.tue.nl [131.155.242.118:68]->localhost:67, Owner: no owner
1,[29/Jun/2003 13:16:56] Rule 'Packet to unopened port received': Blocked: In UDP, 192.168.0.1:67->localhost:68, Owner: no owner
1,[29/Jun/2003 13:17:31] Rule 'Packet to unopened port received': Blocked: In UDP, 192.168.0.1:68->localhost:67, Owner: no owner
1,[29/Jun/2003 13:17:31] Rule 'Packet to unopened port received': Blocked: In UDP, 192.168.0.1:67->localhost:68, Owner: no owner
1,[29/Jun/2003 13:17:39] Rule 'Packet to unopened port received': Blocked: In UDP, 192.168.0.1:68->localhost:67, Owner: no owner
1,[29/Jun/2003 13:17:39] Rule 'Packet to unopened port received': Blocked: In UDP, 192.168.0.1:67->localhost:68, Owner: no owner
1,[29/Jun/2003 13:17:47] Rule 'Packet to unopened port received': Blocked: In UDP, 192.168.0.1:68->localhost:67, Owner: no owner
1,[29/Jun/2003 13:17:47] Rule 'Packet to unopened port received': Blocked: In UDP, 192.168.0.1:67->localhost:68, Owner: no owner
1,[29/Jun/2003 13:17:55] Rule 'Packet to unopened port received': Blocked: In UDP, 192.168.0.1:68->localhost:67, Owner: no owner
1,[29/Jun/2003 13:17:55] Rule 'Packet to unopened port received': Blocked: In UDP, 192.168.0.1:67->localhost:68, Owner: no owner
1,[29/Jun/2003 13:24:05] Rule 'Packet to unopened port received': Blocked: In UDP, t-indiv7-118.athome.tue.nl [131.155.242.118:68]->localhost:67, Owner: no owner
1,[29/Jun/2003 13:24:05] Rule 'Packet to unopened port received': Blocked: In UDP, 192.168.0.1:67->localhost:68, Owner: no owner
1,[29/Jun/2003 13:24:12] Rule 'Packet to unopened port received': Blocked: In UDP, t-indiv7-118.athome.tue.nl [131.155.242.118:68]->localhost:67, Owner: no owner
1,[29/Jun/2003 13:24:12] Rule 'Packet to unopened port received': Blocked: In UDP, 192.168.0.1:67->localhost:68, Owner: no owner
1,[29/Jun/2003 13:24:20] Rule 'Packet to unopened port received': Blocked: In UDP, t-indiv7-118.athome.tue.nl [131.155.242.118:68]->localhost:67, Owner: no owner
1,[29/Jun/2003 13:24:20] Rule 'Packet to unopened port received': Blocked: In UDP, 192.168.0.1:67->localhost:68, Owner: no owner
1,[29/Jun/2003 13:24:28] Rule 'Packet to unopened port received': Blocked: In UDP, t-indiv7-118.athome.tue.nl [131.155.242.118:68]->localhost:67, Owner: no owner
1,[29/Jun/2003 13:24:28] Rule 'Packet to unopened port received': Blocked: In UDP, 192.168.0.1:67->localhost:68, Owner: no owner
1,[29/Jun/2003 13:25:03] Rule 'Packet to unopened port received': Blocked: In UDP, 192.168.0.1:68->localhost:67, Owner: no owner
1,[29/Jun/2003 13:25:03] Rule 'Packet to unopened port received': Blocked: In UDP, 192.168.0.1:67->localhost:68, Owner: no owner
1,[29/Jun/2003 13:25:11] Rule 'Packet to unopened port received': Blocked: In UDP, 192.168.0.1:68->localhost:67, Owner: no owner
1,[29/Jun/2003 13:25:11] Rule 'Packet to unopened port received': Blocked: In UDP, 192.168.0.1:67->localhost:68, Owner: no owner
1,[29/Jun/2003 13:25:19] Rule 'Packet to unopened port received': Blocked: In UDP, 192.168.0.1:68->localhost:67, Owner: no owner
1,[29/Jun/2003 13:25:19] Rule 'Packet to unopened port received': Blocked: In UDP, 192.168.0.1:67->localhost:68, Owner: no owner
1,[29/Jun/2003 13:25:27] Rule 'Packet to unopened port received': Blocked: In UDP, 192.168.0.1:68->localhost:67, Owner: no owner
1,[29/Jun/2003 13:25:27] Rule 'Packet to unopened port received': Blocked: In UDP, 192.168.0.1:67->localhost:68, Owner: no owner

[ Voor 8% gewijzigd door Unicron op 29-06-2003 16:44 ]

[JeroenT]

Omdat er of iemand een DHCP server aan zijn kabelmodem heeft hangen of je ziet gewoon het DHCP verkeer wat over je segment heen gaat.

Daarom heb je ook altijd wat download als je aan je kabelmodem hangt.

[bobo1on1]

Dhcp is broadcast dacht ik, dus dat is niet direct aan jou gericht, het komt gewoon overal aan.

[Unicron]

Ja ok, maar de pakketjes van 131.155.242.118 zijn duidelijk aan mij gericht dus dan lijkt het me geen broadcast.

En dat van me kabelmodem (192.168.0.1) snap ik dan ook nog niet

[bobo1on1]

Dat is gewoon de interface volgens mij.
Een broadcast kun je niet aan een bepaald IP sturen, daar is het een broadcast voor

[Erkens]

Unicron schreef op 29 June 2003 @ 22:46:
Ja ok, maar de pakketjes van 131.155.242.118 zijn duidelijk aan mij gericht dus dan lijkt het me geen broadcast.

En dat van me kabelmodem (192.168.0.1) snap ik dan ook nog niet

pak eens een packet sniffer en kijk of die packets echt aan jou gericht zijn, want misschien geeft je firewall ze weer alsof ze aan jouw gericht zijn.

bobo1on1 schreef op 29 June 2003 @ 23:03:
Dat is gewoon de interface volgens mij.
Een broadcast kun je niet aan een bepaald IP sturen, daar is het een broadcast voor

dat klopt (afaik)
een broadcast doe je niet naar 1 ontvaner tenslotte

[elevator]

Het ip address wat je ziet (die 131.x.x.x) is het address van de interface waar die packets op binnen komen.

[Unicron]

elevator schreef op 29 juni 2003 @ 23:22:
Het ip address wat je ziet (die 131.x.x.x) is het address van de interface waar die packets op binnen komen.

Daar komen ze juist vandaan. Ik ben de localhost.

[pierre-oord]

Ken wel wat van netwerken, niet alles ofzo maar misschien:

Probeert je provider je opnieuw een IP adres enzo te geven via DHCP omdat je lease verlopen is? Doet je inet het bijvoorbeeld nog wel? Enne, broadcast enzo: Als je ding als router functioneert laat die dat denk ik niet zomaar door aan je lan, hij doet gewoon alsof er 1 pc is aangesloten (je wroute), deze stuurt alle info door die je wilt hebben. Geen dhcp neem ik aan.

Of lul ik maar wat

[Unicron]

pierre-oord schreef op 30 June 2003 @ 08:55:
Ken wel wat van netwerken, niet alles ofzo maar misschien:

Probeert je provider je opnieuw een IP adres enzo te geven via DHCP omdat je lease verlopen is? Doet je inet het bijvoorbeeld nog wel? Enne, broadcast enzo: Als je ding als router functioneert laat die dat denk ik niet zomaar door aan je lan, hij doet gewoon alsof er 1 pc is aangesloten (je wroute), deze stuurt alle info door die je wilt hebben. Geen dhcp neem ik aan.

Of lul ik maar wat

Internet doet het gewoon. Het verkeer tussen mijn computer en de DHCP server van mijn provider wordt niet geblocked dus ik neem aan dat het verlengen van de lease steeds goed gaat. Maar ten controle zal ik weleens kijken of er een overeenkomst is tussen de tijd van het vreemde dhcp verkeer en de tijd waarop de lease wordt verlengd.

Mijn kabelmodem fungeert niet als router en mijn computer hangt direct via een hub aan de kabelmodem. De andere computer die aan de hub hangt staat bijna altijd uit en is het dus ook niet.

Voor de mensen die afvragen waarom ik een hub gebruik i.p.v router. Ik heb de beschikking over meerdere IP's dus heb geen router nodig.

Edit: Heb net gekeken en er zit dus geen overeenkomst tussen het vernieuwen van de lease en het vreemde dhcp verkeer.

[ Voor 5% gewijzigd door Unicron op 30-06-2003 12:05 ]