Hallo,
Am 29.09.2015 um 07:11 schrieb Juergen P. Meier:
> Alexander Goetzenstein <
alexander_g...@web.de>:
>> Am 28.09.2015 um 05:01 schrieb Juergen P. Meier:
>>> Finde den Rogue DHCP-Server in deinem Netz und deaktiviere ihn.
>>> PS: Sowohl unter Windows (ipconfig /all) als auch unter Linux (mit
>>> Hilfe eines Tools wie z.B. "dhcp-probe") bekommst du die Adresse des
>>> DHCP-servers raus, der dir den falschen Lease zuteilt.
>> dhcp-probe kennt meine SuSE nicht. Bevor ich jetzt wild alles
>> installiere, was nicht bei drei auf dem Bäumen ist: kannst Du mir nähere
>> Hinweise geben, vielleicht sogar einen Paketnamen?
> Unter Debian (*buntu) heist das Paket "dhcp-probe". Das Paket sagt:
> Homepage:
http://www.net.princeton.edu/software/dhcp_probe/
> Vielleicht hilft das bei der Suche nach einem RPM.
da heute mal wieder mein Notebook eine falsche IP bekommen hat:
> No manual entry for arp-a
> linux-t420:~ # arp -a
> ? (192.168.2.253) at <incomplete> on wlp3s0
> linux-t420:~ # ifconfig
> enp0s25 Link encap:Ethernet HWaddr 00:21:CC:68:06:F2
> UP BROADCAST MULTICAST MTU:1500 Metric:1
> RX packets:0 errors:0 dropped:0 overruns:0 frame:0
> TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
> collisions:0 txqueuelen:1000
> RX bytes:0 (0.0 b) TX bytes:0 (0.0 b)
> Interrupt:20 Memory:f3900000-f3920000
>
> lo Link encap:Local Loopback
> inet addr:127.0.0.1 Mask:255.0.0.0
> inet6 addr: ::1/128 Scope:Host
> UP LOOPBACK RUNNING MTU:65536 Metric:1
> RX packets:293 errors:0 dropped:0 overruns:0 frame:0
> TX packets:293 errors:0 dropped:0 overruns:0 carrier:0
> collisions:0 txqueuelen:0
> RX bytes:29216 (28.5 Kb) TX bytes:29216 (28.5 Kb)
>
> wlp3s0 Link encap:Ethernet HWaddr 00:24:D7:E7:96:F4
> inet addr:192.168.2.106 Bcast:192.168.2.255 Mask:255.255.255.0
> inet6 addr: fd00::224:d7ff:fee7:96f4/64 Scope:Global
> inet6 addr: fe80::224:d7ff:fee7:96f4/64 Scope:Link
> UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
> RX packets:1182 errors:0 dropped:0 overruns:0 frame:0
> TX packets:308 errors:0 dropped:0 overruns:0 carrier:0
> collisions:0 txqueuelen:1000
> RX bytes:231444 (226.0 Kb) TX bytes:29475 (28.7 Kb)
>
> linux-t420:~ # ping -c 4 192.168.2.253
> PING 192.168.2.253 (192.168.2.253) 56(84) bytes of data.
> From 192.168.2.106 icmp_seq=1 Destination Host Unreachable
> From 192.168.2.106 icmp_seq=2 Destination Host Unreachable
> From 192.168.2.106 icmp_seq=3 Destination Host Unreachable
> From 192.168.2.106 icmp_seq=4 Destination Host Unreachable
>
> --- 192.168.2.253 ping statistics ---
> 4 packets transmitted, 0 received, +4 errors, 100% packet loss, time 2999ms
> pipe 4
Alsdann wollte ich mit tshark näheres untersuchen, doch beim nächsten
Versuch bekam ich wieder die richtige IP aus dem 192.168.221.0, so dass
ich daraus erstmal keine Erkenntnisse gewann. Also dhcp_probe gefunden,
installiert und:
> linux-t420:~ # dhcp_probe -l /root/dhcp-probe.log wlp3s0
> linux-t420:~ # cat dhcp-probe.log
> 04-Oct-2015 09:25:30 note: starting, version 1.3.0
> 04-Oct-2015 09:25:30 warn: received unexpected response on interface wlp3s0 from BootP/DHCP server with IP source 192.168.221.1 (ether src 8:96:d7:3c:ee:6d).
> 04-Oct-2015 09:25:30 warn: received unexpected response on interface wlp3s0 from BootP/DHCP server with IP source 192.168.22.241 (ether src 80:1f:2:50:99:e6).
> 04-Oct-2015 09:25:31 warn: received unexpected response on interface wlp3s0 from BootP/DHCP server with IP source 192.168.22.254 (ether src 0:13:10:15:29:58).
Dabei sind:
192.168.221.1 Fritz!Box
192.168.22.241 WLAN-Empfänger für Dokumentenscanner im anderen WLAN
192.168.22.254 der andere WLAN-Router
Von
192.168.2.xyz ist nichts zu sehen.
Mein Smartphone bekommt stets die richtig IP, seitdem ich die FRITZ!App
WLAN installiert habe; da ist also auch erst mal nichts zu erfahren.
> Ansonsten hilft natuerlich Wireshark (bzw. tshark wenn man kein X11
> hat) beim identifizieren des DHCP-Servers der die falschen Leases
> ausstellt.
>
> tshark -n -V -i eth0 udp and port 67 | less -ip OFFER
Den Aufruf habe ich mal abgewandelt:
linux-t420:~ # tshark -n -V -i wlp3s0 udp and port 67 | less -ip OFFER
> In den IP und Ethernet-Headern des falschen OFFER-Paktes stehen MAC
> und IP-Adresse des falschen Servers.
Allerdings habe ich da nach dem String "Offer" nur die o.g. Adressen
gefunden. Wundert mich auch nicht so sehr, da ja die richtige IP
vergeben wurde, als der Mitschnitt lief.
Wenn ich die Sache richtig sehe, muss tshark gestartet werden, bevor der
DHCP-Request gesendet wird, also bevor die Verbindung aufgebaut wird. Da
das über den network manager erfolgt, rätsele ich noch, wie ich das am
besten bewerkstellige. Beim zweiten Versuch mit dem Notebook kommt ja
meist die richtige IP...
--
Gruß
Alex