Fragen zur Änderungen im Accounting

[Carsten1972]

Leider ja.
Eine Vielzahl Vereinsmitglieder, die von iPhone, Android oder PC auf Kameras zugreifen möchten.
Die gehen alle ins Kameranetz.
Zusätzlich noch eine, damit ich den Switch (Netgear) fernwarten kann. Die feht ins Orga-Netz.

Aufgrund der Anforderungen des lokalen Systemhauses zielen dann noch Weiterleitungen von 1 bis 1337 und 1357 bis 65535 auf die von denen gelieferte Sophos Firewall.

Ja, das ist Scheiße.

[Dr.Einstein]

Ist doch nicht schlimm, aber erklärts evtl. die aktuelle Accounting Darstellung? Das diese ankommenden Sessions anders / doppelt gewertet werden?

[Carsten1972]

Nein, das erklärt es nicht.
Die Kameras tauchen gar nicht unter der Schnittstelle Kameras110 auf, sondern lediglich unter INTERNET.
Ebenso finden sich Clients mit LAN-Schnittstellennamen (welche als WAN bezeichnet werden) im Accounting, zu denen es keine Weiterleitung gibt.
Die Einträge zu 192.168.1.1 und 192.168.105.10 passen aber zu Weiterleitungen.

So soll mein Handy bei einem der letzten Besuche über INTERNET 308 Sitzungen mit 6 MB Empfangen und 10 MB Gesendet gehabt haben (kann gut sein), zusätzlich aber auch 45 Sitzungen über die Schnittstelle VERWALTUNG mit 47 MB Gesendet und 0 MB Empfangen.

Jetzt hatte ich gedacht: OK, vielleicht zählt er es zum Accounting, wenn ich z.B. aus dem Netz VERWALTUNG Daten in ein anderes Netz am Router schicke. Das ist aber gar nicht möglich. Die Netze sind getrennt, es gibt auch keine Regeln die solchen "Querverkehr" zulassen würden.

Einmal die komplette Tabelle (mit Umweg über Excel, um Realnamen zu kürzen):

Bild1.jpg

[Carsten1972]

Ist doch nicht schlimm

Wenn sich hinter der Weiterleitung Clients verbergen, die man guten Gewissens aus dem WAN erreichbar machen kann, dann ja.
Wir reden aber über China-Kameras (HIKvision) und Kennwörter, bei denen ich es mir genau einmal erlaubt hatte sie zu wechseln.
Anschließend durfte ich drei Leute "an die Hand nehmen", Schritt für Schritt die Änderung in der App erklären (eigentlich nicht so schwer, zumal ich allen ein bebildertes PDF geschickt hatte) und durfte mir vorwurfsvoll anhören, was das den überhaupt soll. OK, soll sich doch Mal- oder Spyware da im Kameranetz austoben. Die Netzwerkkomponenten, die dort vorhanden sind, haben alle gute Kennwörter und dürfen nur von definierten Stationen konfiguriert werden.

Ich finde es auch immer noch unglaublich schlecht, dass mir vom Systemhaus-Mitarbeiter gesagte wurde "Welche Ports die Sophos für den VPN Aufbau als Weiterleitung benötigt? Weiß ich nicht. Das ist mir jetzt auch zu aufwändig, da anzurufen. Konfigurieren Sie einfach ALLE." Das ist kein Vorwurf an den Mitarbeiter (einer von Dreien); denn dieses kleine Unternehmen ist laut Eigendarstellung Experte für Cisco, Sophos und Palo Alto, zudem für eine Handvoll anderer Netzwerktechnik-Hersteller und ebenso viele bekannte Softwarehersteller. Da will der Chef halt "einer für alles" sein. Das funktioniert selten gut.

[Dr.Einstein]

So soll mein Handy bei einem der letzten Besuche über INTERNET 308 Sitzungen mit 6 MB Empfangen und 10 MB Gesendet gehabt haben (kann gut sein), zusätzlich aber auch 45 Sitzungen über die Schnittstelle VERWALTUNG mit 47 MB Gesendet und 0 MB Empfangen.
Jetzt hatte ich gedacht: OK, vielleicht zählt er es zum Accounting, wenn ich z.B. aus dem Netz VERWALTUNG Daten in ein anderes Netz am Router schicke. Das ist aber gar nicht möglich. Die Netze sind getrennt, es gibt auch keine Regeln die solchen "Querverkehr" zulassen würden.

Hmm. Da ja immer Rx auf 0 steht, könnten das theoretisch Versuche sein? Ich sehe z.B. oft bei Smartphone, dass die letzten Sessions aus dem alten WLAN Netzwerk inkl Quell und Ziel-IP noch zwei/drei Pakete beim nächsten WLAN nachschicken. Wenn du das nächste mal da bist, kannst du vielleicht ein IP-Routing-Trace auf die entsprechende Quelle legen? Also z.B.

Code: Alles auswählen

trace # ip-router @ +"10.102.115.146" -"INTERNET"

Dadurch sollte man alles sehen können, was der Client richtig Presse102 versucht, aber scheitert aufgrund deiner Tags. Möglicherweise liegt ja doch ein Verbindungsversuch vor?

[Carsten1972]

Da ja immer Rx auf 0 steht, könnten das theoretisch Versuche sein?

Ja da schau her, das hatte ich noch gar nicht gesehen.

In der Tat:
Bei diesem 1800EF und meinem eigenen 1790VA (beide auf 10.80.0450) haben alle EInträge gemeinsam, dass nur TX Verkehr aufgezeichnet wurde.