Traffic Statistic + MAC Adressen aus entferntem LAN

[adn77]

Hallo,

meine Traffic Statistik zeigt für einige Stationen unseres LANs ungewöhnlich viel Verkehr (>1GB/Monat). Um dem Verursacher (Windowsupdate/Trojaner/Virus???) auf die Schliche zu kommen, habe ich in der Firewall sämtlichen Verkehr von oder an die betreffende IP mitloggen lassen - bisher ohne Erfolg.

Zur Erklärung kurz mein Setup:

DSL -| Lancom DSL/I-1611 |- 192.168.165.x Netz -| 2x cisco 1721 2MBit SFV |- 192.168.164.x Netz |- betroffener Rechner


Die betreffende IP liegt im entfernten 192.168.164.x Netz.
Der Lancom ist für das lokale Netz der Default GW ins Internet.
Es ist kein ProxyArp konfiguriert. Die Ciscos routen über ein Hilfsnetz (Point-to-Point).

Das Lancom-Accounting Unterscheidungs-Kriterium lautet: MAC-Adresse
Ist das in diesem Setup überhaupt sinnvoll? Woher bezieht der Lancom denn die Mac-adressen für's Accounting?


Ciao,
Alex

[backslash]

Hi adn77

Das Lancom-Accounting Unterscheidungs-Kriterium lautet: MAC-Adresse

das kann hier nicht funktionieren, da alle Rechner hinter den Ciscos unter der MAC-Adresse des Ciscos auftauchen. Du mußt für dieses Szenario das Unterscheidungskriterium auf "IP-Adresse" umstellen...

Gruß
Backslash

[adn77]

Hi Backslash,

das gleich dachte ich mir auch...
Aber warum tauchen entfernte Stationen dann trotzdem in der Statistik auf?

Ich stell's jedenfalls erstmal um.

Danke,
Alex

[backslash]

Hi adn77

Aber warum tauchen entfernte Stationen dann trotzdem in der Statistik auf?

Die Statistik wird in zwei Tabellen geführt, eine für "aktuelle" Accountingdaten und eine "kummulierte" Liste. Alle 30 Minuten werden die aktuellen Daten in die kummulierte Liste übernommen (und ggf. ins Flash geschrieben). Danach wird die Tabelle mit den aktuellen Daten gelöscht.

Das erste Paket, das nun vom Cisco kommt erzeugt einen neuen Eintrag - und dessen Absender-IP wird in die Tabelle aufgenommen. Bei allen nachfolgenden Pakete wird nur noch die MAC-Adresse ausgewertet...

Gruß
Backslash

[adn77]

Vielen Dank Backslash!

Super Erklärung! Wenn ich so drüber nachdenke, komme ich mir wie der letzte Dummkopf vor. Jetzt ergibt alles SOVIEL Sinn.

Alex