Router: Tx undef 60-Byte-Frames (5060/udp) an SIP-Client/LAN

[Rougu]

Hallo,

Wenn ich einen aktiven SIP-Client im INTRANET habe, der
- eine eigene SIP-Verbindung (ohne Proxyfunktion des Routers) offenhält und
- die Firewall eine entsprechende Verbindung über den SIP-Signalierungsport 5060 offenhält,
kann man im INTRANET Pakete beobachten, die ich mir nicht erklären kann.

Der LANCOM-Router (1811, LCOS 7.22) schickt alle 14 s ein:

- 60 Byte langes Frame mit IP-Inhalt und Trailer mit dem Text „!try www.lanco“. ****
- src = IP (gefälscht) des externen SIP-Peers mit offener Verbindung
- dst = SIP-Client im LAN
- Inhalt: UDP-Paket sp=5060, dp=5060
- UDP-DATA 4 Byte (4 x 0x00)

Diese Frames kommen nicht aus dem WAN, sondern werden offensichtlich vom Router erzeugt und im Intranet an den Client geschickt, der eine aktive Verbindung durch die Firewall hindurch offen hat.

Hat jemand das auch ersniffert? Und wer kennt die genaue Funktion dieser Pakete? Ein LANCOM-proprietärer Keepalive? Für welchen Typ Client?

Gruß,
Rougu

[backslash]

Hi Rougu

Wenn ich einen aktiven SIP-Client im INTRANET habe, der
- eine eigene SIP-Verbindung (ohne Proxyfunktion des Routers) offenhält und
- die Firewall eine entsprechende Verbindung über den SIP-Signalierungsport 5060 offenhält,

ohne "Proxyfunktion des Routers" erzeugt das LANCOM kein SIP-Paket, d.h. das SIP des LANCOMs muß schon beteiligt sein.

60 Byte langes Frame mit IP-Inhalt und Trailer mit dem Text „!try www.lanco“. ****

nun ja, der Trailer heißt komplett "!try www.lancom.de - for your SoHo solutions!" und dient dazu Ethernet-Paketen, die kürzer als 64 Bytes sind aufzufüllen, damit keine alten Daten, die ggf. noch im Speicher lagen ausgesendet werden.

src = IP (gefälscht) des externen SIP-Peers mit offener Verbindung

der Trailer deutet mitnichten darauf hin, daß das LANCOM die Pakete erzeugt hat - wenn es "zu kurze" Pakete routet, dann fügt es den Trailer auch ein, d.h. das Paket könnte tatsächlich von der Gegenseite kommen.

Diese Frames kommen nicht aus dem WAN, sondern werden offensichtlich vom Router erzeugt und im Intranet an den Client geschickt, der eine aktive Verbindung durch die Firewall hindurch offen hat

das kann ich mir nicht vorstellen - zumindest nicht, wenn as SIP des LANCOMs nicht beteiligt sein sollte (wie gesagt: das LANCOM erzeugt von sich aus keine SIP-Pakete... Die Firewall kennt SIP nichteinmal...)

Gruß
Backslash