Veel ARP verkeer van buitenaf

[jenr]

Is er een reden waarom ik ARP verkeer van buitenaf op mijn intern netwerk zie passeren? Zie de screenshot hieronder van een wireshark trace die ik uitvoer op mijn pc die achter de modem zit op het intern netwerk. Ik zie makkelijk 800 zo'n ARP paketten per minuut passeren op bedraad en draadloos netwerk.

Het source mac adres van deze ARP berichten is niet het mac adres van mijn modem/router volgens mij.

Is dit verkeer van de digibox? Moet dit niet op een andere VLAN zitten? Of is dit een probleem met mijn modem/router?

Afbeelding ook hier te zien als dit niet werkt: http://imgur.com/BPt9cgh

[jenr]

Ik heb al bij 2 andere mensen die ook telenet hebben gekeken, en zij hebben dit gedrag niet op hun netwerk, dus normaal lijkt het me niet.

Ik zal zien wat ze antwoorden via twitter, heb ze mn klantennummer doorgestuurd en ze bekijken het.

[igvfer]

Ga gewoon naar een center. Ze hebben daar meestal toch geen oude modems meer om om te ruilen. Dus je zal een nieuw krijgen. En dat zal een docsis 3.0 zijn. Vraag expliciet naar een modem only. En het zal je geen 75€ kosten.  Dat zal gratis zijn. Misschien ook het moment om je  abonnement te upgraden of aan te passen.

[Arthur2]

@igvfer ik denk niet dat hij een modem-only wil. Hij heeft een gewoon netwerk zonder extra router ofzo dus een HGW lijkt me beter.

[igvfer]

Het kan dat hij een Home gateway heeft. Maar dan is het eigenaardig dat hij dit ARP verkeer ziet.

Als zijn PC gewoon rechtstreeks op een modem only is aangesloten dan heeft hij een publiek IP adres en dan zit hij ook effectief op dat publiek netwerk en kan hij daar wel dat ARP verkeer volgen.

Van voornamelijk het netwerk 178.23.x.x wat een blok IP adressen is die toegewezen zijn aan Telenet. En uiteraard stuurt Telenet ARP request om te zien welke mac adressen allemaal aangesloten zijn (modem PC, enz.)

[Arthur2]

Zijn lan zit in 192.168.0.x en hij zegt zelf dat hij een modem/router heeft daarom is het ook zo vreemd...

[igvfer]

---

@jenr schreef:

Ik heb een standaard thuisnetwerk met een oude docsis 2.0 modem/router. Dit verkeer heeft niets met mijn intern netwerk te zien aangezien deze IP's publiek zijn, en er intern NAT gebruikt wordt.

De afbeelding is ook hier te zien als die in de eerste post niet werkt: http://imgur.com/BPt9cgh

---

Dit is wat hij schrijft. Dat is de oude  Home gateway. Dat is dan zeer eigenaardig. Als de bliksem gaan omruilen in een Center (gratis).

[Area57]

Gebruik je misschien powerline adapters (zonder Telenet-logo) ?

Soms kunnen onbeveiligde powerline adapters communiceren via het externe stroomnetwerk met onbeveiligde powerline adapters van de buren.

In dat geval kan je best deze powerline adapters beveiligen.

[jenr]

Ik heb dus inderdaad een oude home gateway, en ik gebruik geen powerline adapters.

Volgens mij is het gewoon een probleem met de HGW zelf, maar via die check dat ze bij telenet doen kunnen ze dat niet detecteren blijkbaar.

Volgende week komen ze van telenet in het kader van de Helemaal Mee Tournee om dan m'n HGW te vervangen, ze erkennen dus zeker dat er een probleem is. 

[5lot5]

Ik heb excact hetzelfde probleem. De telenet technieker is net vertrokken. zonder dat het is opgelost. Ik merkte dit op toen ik mijn switch had vervangen door een gigabit model. Bij de oude 10/100 was dit ook zo, maar dat was me nooit opgevallen. Een 'normale' router stuurt elke x aantal seconden een arp-request om te weten welke ip's er op het netwerk aanwezig zijn. Ik ontvang er ongeveer 1000 per minuut. Dit is een probleem omdat een switch die zo'n groot aantal ARP's moet verwerken na een tijd in 'failsafe' mode gaat. Dat wil zeggen dat deze alle paketten doorstuurt naar ALLE aangesloten toestellen... Het is nu de 2e keer dat ze zijn komen kijken en ze kunnen geen oplossing bieden. Volgende week komt er iemand van backoffice SWAT een kijkje nemen. Je bent dus niet de enige met dit probleem...

[5lot5]

Ik heb dus exact hetzelfde probleem. Contact opgenomen met de klantendienst.

Na 2x een technieker over de vloer te hebben gekregen, is vandaag iemand van backoffice SWAT zelf langsgeweest.

Hij constateerde het groot aantal arp requests en de daarbijhorende Kerstboomverlichting op mijn switch...

1 telefoontje naar een collega en deze wist te zeggen dat dit NORMAAL is.

Blijkbaar zijn ze bij Telenet overgestapt naar een andere leverancier van hardware en deze is zo ontworpen wist de collega hem te vertellen.

Jammer alleen dat er sinds de melding van mijn kant tot op de dag van vandaag 3,5 weken, 3 huisbezoeken, 3 techniekers en 1 verantwoordelijke moesten voorbijgaan....

Beetje frustrerend toch....

[Arthur2]

@5lot5 Best even de modem gaan omruilen.

[Froggy]

Ik heb exact hetzelfde probleem.
Maar ik vraag me af of de modem omwisselen iets zal uitmaken want dit is al niet zo lang geleden gebeurd. Bij de vorige modem was dit probleem volgens mij ook aanwezig.

Symptomen
De lampjes (leds) van de switchen knipperen voortdurend (indicatie van netwerkverkeer), zelfs wanneer alle gebruikstoestellen in slaapstand of helemaal uit staan. Uiteindelijk toch eens op onderzoek gegaan.
Na de kabels één voor één uitgetrokken te hebben, blijkt de Telenet modem de dader te zijn. Van zodra deze losgekoppeld wordt is alles rustig (maar dan is de digicorder niet meer interactief).

Analyse

Analyse met WireShark geeft hetzelfde resultaat als de topicstarter: de modem begint onophoudelijk met het flooden van ARP-requests (afkomstig van IP-adressen van Telenet (hostnamen eindigend op static.telenet.be , access.telenet.be en interne IP-adressen beginnend met 10.152. (komt niet van mijn intern netwerk want de adressen daarvan beginnen met 192.168))).

Er worden 15 tot 70 ARP broadcasts per seconde verstuurd!

In elk request wordt er naar het MAC-adres van een IP-adres gevraagd. Vaak 10-tallen keren hetzelfde IP-adres (exact dezelfde pakketinhoud) in één seconde.

Situatie nu:
- 1 modem-only (< 1 jaar geplaatst). Dient enkel voor de interactiviteit van de digicorder (geen Telenet internet).

Situaties vroeger:

- Telenet Internet (Basic) (naast digitale kabel-tv).
- 1 modem-only (ouder model, Motorola dacht ik met een max. snelheid van 30 of 50 Mbit/s)
Maar toen was dit fenomeen ook al aanwezig.

De Telenet kabelmodem en de digicorder zijn via een apart VLAN met elkaar verbonden (dus niet via router). Dit om deze te scheiden van de rest van het netwerk en de internetverbinding. Maar dit heeft er volgens mij niets mee te maken. Zodra ik de modem op het andere VLAN zet, begint deze hierop te flooden. Je ziet het ook onmiddellijk aan alle hevig knipperende leds van de netwerkaansluitingen en switch op deze VLAN.

Oplossing?

Omdat het me irriteert en de Telenet-modem de power-saving mode (802.3az EEE) van de switch grotendeels verhindert, heb ik de modem uitgetrokken (aangezien ik interactieve tv zelden tot nooit gebruik en ik wel kan leven dat ik maar 2 dagen vooruit kan kijken in de tv-gids).

Maar weet iemand een betere oplossing?

Zou het kunnen dat het niet aan de modem ligt maar aan een configuratie bij Telenet?

Alvast bedankt voor het meedenken!