mysteriöse MAC-Adresse

#6881452
Lesenswert?

Hi

In meinen Heimnetzwerk taucht immer eine MAC-Adresse auf, die ich nicht 
zuordnen konnte. Ich habe mir mal die Mühe gemacht und gesucht, wer 
diese MAC erzeugt:

Es ist ein Switch
D-Link DGS-1016D
Modell-Nr. EGS1016DE....G1G
Enthält den Chip Broadcom BCM13333A0KFSBG

Dieser Switch hat keinerlei Einstellmöglichkeiten, wozu also die MAC?
In den Anleitungen konnte ich auch nichts darüber finden.

Noch merkwürdiger:
Ich habe noch solch einen zweiten Switch, der erzeugt aber keine MAC!

Der einzige Unterschied zwischen den beiden Switchen liegt in der 
Modell-Nr.  ....G1G und ....G2G.

Kann sich jemand das erklären?
Gast #6881552
Lesenswert?

Ein richtiges switch hat eine MAC adresse und Logik um Pakete nur zu 
den Ziel MACs zu schicken.
Ein Switch, was in wirklichkeit das Verhalten eines Hubs nachahmt, 
sendet alle Pakete in alle Richtungen raus.
Dadurch, dass ein Switch eine MAC hat und ein wenig Intelligenz spart 
man sehr viel Datenverkehr ein.

Wie hiessen die Layer? OSI? Danach solltest du mal suchen.
Gast #6881560
Lesenswert?

(prx) A. K. schrieb:
> Könntest du bitte näher beschreiben, wozu ein reiner Layer 2 Switch
> dafür eine MAC Adresse benötigt?

Wenn du von Rechner A an Rechner B ein Paket schicken willst, und von 
Rechner A aus zwei Switches erreichbar sind, dann kannst du ein Paket 
gleich auf den Richtigen Weg schicken (das Switch, an dem Rechner B 
hängt) anstatt an beide zu schicken.

A --+---> SW1 ---> B
    |
    +---> SW2 ---> C
#6881566
Lesenswert?

Keiler schrieb:
> Wenn du von Rechner A an Rechner B ein Paket schicken willst, und von
> Rechner A aus zwei Switches erreichbar sind, dann kannst du ein Paket
> gleich auf den Richtigen Weg schicken (das Switch, an dem Rechner B
> hängt) anstatt an beide zu schicken.

Ich weiss, was Switches, Bridges und Hubs sind. Nur nicht, weshalb man 
im "dummen" Switch eine MAC Adresse benötigt. Der Switch muss lediglich 
lernen, an welchem Port welche MAC-Adressen beheimatet sind, und die 
Pakete entsprechend forwarden.

Die Pakete bleiben dabei aber unverändert, einschliesslich beider 
MAC-Adressen. Eine evtl dem Switch zugeordnete (Management-) Adresse 
tritt dabei nicht in Erscheinung.

Router / Layer 3 Switches benötigen eigene MAC-Adressen. Das ist aber 
eine andere Baustelle.
Moderator Persönliche Seite #6881580
Lesenswert?

Keiler schrieb:
> Ein richtiges switch hat eine MAC adresse und Logik um Pakete nur zu den
> Ziel MACs zu schicken.

Nein, Du verwechselst da was. Ein "richtiger Switch" nach Deiner 
Vorstellung hält in einer Tabelle die MAC-Adressen der 
Kommunikationsteilnehmer fest, damit er die Ethernet-Pakete gezielt über 
seine Ports routen kann. Das ist der Unterschied zum Hub.

Dafür benötigt der Switch selbst keine MAC-Adresse. Deine Behauptung ist 
daher falsch.
Moderator Persönliche Seite #6881585
Lesenswert?

(prx) A. K. schrieb:
> Denkbar wäre, dass der Switch die gleiche Hardware wie ein Switch mit
> Management verwendet, dies aber nicht freigeschaltet ist.

Ja, das vermute ich auch. Laut DLINK-Datenblatt ist der DGS 1016D ein 
unmanaged Switch. Vermutlich wird aber auf einem der beiden Switches des 
TOs (einer mit MAC, der andere ohne) eine generische Firmware 
eingesetzt, bei der das Management einfach "ausgeknipst" ist.
#6881592
Lesenswert?

Frank M. schrieb:
> Vermutlich wird aber auf einem der beiden Switches des
> TOs (einer mit MAC, der andere ohne) eine generische Firmware
> eingesetzt, bei der das Management einfach "ausgeknipst" ist.

Da scheint das "ausknipsen" dann aber nicht richtig funktioniert zu 
haben. Denn:

Niklas G. schrieb:
> Dann häng doch mal Wireshark dran und schau was das für Pakete mit
> dieser MAC-Adresse sind. MAC-Adressen "erscheinen" ja nicht einfach so
> im Netz, die sind immer Teil eines Ethernet-Pakets, und da steht ja noch
> etwas anderes drin.

Der Heimnetz-Router muß da eine Kommunikation mit dem Switch gesehen 
haben.

Oliver
#6881614
Lesenswert?

Frank M. schrieb:
> Ja, wahrscheinlich ist das "Ausknipsen" einfach unvollständig erfolgt.

Vielleicht wurde deshalb die Version G2G nachgeschoben. ;-)

Es ist aber auch ein Zeiteffekt denkbar. Eine irgendwann einmal durch 
das LAN geisternde MAC-Adresse kann auch wieder verschwinden. Die tritt 
ja nur in Erscheinung, wenn sie als Absender eines Frames verwendet 
wird. Ist das selten, wird sie nur bei längerer Protokollierung erfasst. 
Oder per Zufall erwischt.
#6881631
Lesenswert?

Niklas G. schrieb:
> Dann häng doch mal Wireshark dran und schau was das für Pakete mit
> dieser MAC-Adresse sind.
Wireshark ist für mich Netzwerk-Dummuser viel zu kompliziert

> MAC-Adressen "erscheinen" ja nicht einfach so
> im Netz, die sind immer Teil eines Ethernet-Pakets,
Jetzt verstehe ich: Wie ich feststelle, daß da eine MAC ist..

Die taucht in der Fritzbox auf, und ein IP-Scanner findet die auch, da 
die Fritzbox dieser MAC per DHCP eine IP zuweist.

Der IP-Scanner findet zu dieser MAC als einzige Information "broadcom", 
was mit dem Switch-Chip übereinstimmt

Ein Aufrufen dieser IP per Webbrowswer funktioniert nicht wegen 
Zeitüberschreitung.
Persönliche Seite #6881637
Lesenswert?

Peter N. schrieb:
> Wireshark ist für mich Netzwerk-Dummuser viel zu kompliziert

Das ist doch halb so wild...

Peter N. schrieb:
> da
> die Fritzbox dieser MAC per DHCP eine IP zuweist.
Ach! Genau genommen fragt der Switch diese explizit an (DHCP-Client), 
d.h. es ist einiges an Logik/Software dahinter.

Peter N. schrieb:
> Ein Aufrufen dieser IP per Webbrowswer funktioniert nicht wegen
> Zeitüberschreitung.

Dann mach doch mal einen Portscan (nmap o.ä.) dann kannst du sehen ob da 
noch andere Dienste angeboten werden. Versuch mal explizit HTTP im 
Browser statt HTTPS... Wenn keinerlei Ports offen sind, kannst du 
trotzdem mal per Wireshark mitlauschen ob da vielleicht Daten gesendet 
werden. Vielleicht telefoniert der auch nach Hause?
Moderator Persönliche Seite #6881648
Lesenswert?

Peter N. schrieb:
> Wireshark ist für mich Netzwerk-Dummuser viel zu kompliziert

Hm.

> Die taucht in der Fritzbox auf, und ein IP-Scanner findet die auch, da
> die Fritzbox dieser MAC per DHCP eine IP zuweist.

Whoops! Das hast Du bisher verschwiegen. Du sprachst lediglich von einer 
MAC-Adresse, also erfolgtem Netzwerktraffic auf Ethernet-Ebene. Jetzt 
rückst Du damit raus, dass hier nicht nur DHCP gesprochen wurde und das 
Gerät (wenn es der Switch überhaupt ist) sogar eine IP-Adresse erhalten 
hat.

Bist Du sicher, dass die MAC-Adresse von dem Switch stammt? Hast Du alle 
sonstigen Netzwerkteilnehmer von Deiner FritzBox und von dem Switch(!) 
getrennt, dann die FritzBox neu gestartet und anschließend geschaut, ob 
sich das Ding tatsächlich wieder meldet? Und ist das wirklich eine 
LAN-Verbindung und keine über WLAN?

Ich bezweifele, dass Du den Ursprung der MAC-Adresse richtig eingekreist 
hast.

> Ein Aufrufen dieser IP per Webbrowswer funktioniert nicht wegen
> Zeitüberschreitung.

Das wäre auch zu einfach. Wenn Dich Wireshark schon überfordert, 
vielleicht bekommst Du ja wenigstens einen Ping hin? Oder nmap, um die 
offenen Ports auf dem Gerät zu prüfen?

Wenn das von Deiner Seite auch nicht möglich ist: Finde Dich einfach ab, 
dass sich da noch ein Dir unbekanntes Gerät in Deinem Netzwerk tummelt. 
Pech für Dich, wenn es ein "böses" Gerät ist.
#6881773
Lesenswert?

Frank M. schrieb:

> Bist Du sicher, dass die MAC-Adresse von dem Switch stammt?
Ja

> Hast Du alle
> sonstigen Netzwerkteilnehmer von Deiner FritzBox und von dem Switch(!)
> getrennt, dann die FritzBox neu gestartet und anschließend geschaut, ob
> sich das Ding tatsächlich wieder meldet? Und ist das wirklich eine
> LAN-Verbindung und keine über WLAN?
Ich habe mein Netzwerk an verschiedenen Stellen getrennt und den 
IP-Scanner jedesmal neu scannen lassen.

Ist der G1G-Switch angeschlossen, wird diese MAC/IP-gefunden, ist dieser 
Switch nicht angeschlossen, wird die MAC/IP nicht gefunden, auch wenn an 
diesem Switch keine weiteren Geräte hängen.

Ich habe auch verschiedene Ports des Switch ausprobiert (aber noch nicht 
alle 16 durch), an jedem das gleiche Verhalten.
#6881786
Lesenswert?

Peter N. schrieb:
> MaWin schrieb:
>> Was bedeutet denn "erzeugt"?
>
> Schließe ich Switch G1G an mein Netzwerk an, taucht diese ominöse MAC im
> Netzwerk auf.
> Schließe ich Switch G2G an mein Netzwerk an, taucht keine zusätzliche
> MAC auf.

Was heißt "taucht im Netzwerk auf"? Eine MAC ist ja im Netzwerk nicht 
einfach nur so da. Man kann sie nur sehen, wenn von oder an diese Pakete 
gesendet werden. Wenn dem so sein sollte, wäre es sicherlich 
interessant, was für Pakete das sind bzw. in welcher Form die MAC 
"auftaucht".
Moderator Persönliche Seite #6881817
Lesenswert?

Rolf M. schrieb:
> Wenn dem so sein sollte, wäre es sicherlich interessant, was für Pakete
> das sind bzw. in welcher Form die MAC "auftaucht".

Hat der TO mittlerweile aufgeklärt. Zumindest DHCP bis zur Verteilung 
einer IP-Adresse findet statt. Ob diese Adresse pingbar ist oder gar 
Ports offen sind, steht in den Sternen.

Ohne weitere Infos (ping, nmap) ist das alles Spekulation.
Gast #6881923
Lesenswert?

Klingt alles sehr seltsam. Wenn D-Link dem Switch eine eigenständige 
Netzwerkkommunikation in einem Layer >=3 spendiert, würde ich erwarten, 
dass die auch eine D-Link OUI in ihrer MAC verwenden und nicht eine von 
Broadcom.

Zum Thema Wireshark: Einfach downloaden und installieren. Dann Rechner 
und Switch netzwerkmäßig von allem trennen. Wireshark starten und auf 
der Netzwerkkarte horchen lassen. Dann Rechner (mit laufendem wireshark) 
und Switch verbinden (ggf. Switch neu starten). Aufzeichnung stoppen, 
speichern und hier zur Verfügung stellen.
Gast #6882071
Lesenswert?

Peter N. schrieb:

> Schließe ich Switch G1G an mein Netzwerk an, taucht diese ominöse MAC im
> Netzwerk auf.

Wo genau "taucht sie auf"? Welcher Trafic wird darüber abgewickelt?

Der Witz ist nämlich: eine MAC für sich (selbst wenn sie physisch 
existiert), ist erstmal unsichtbar. Sie wird erst sichtbar, wenn 
irgendwelche Traffic darüber läuft.
Gast #6882080
Lesenswert?

Wenn ein freigiebiger DHCP-Server dem Dingens auch noch eine
Gatewayadresse mitteilt, kann die integrierte Schnueffeldrohne
ihre Packettraces bequem "nach Hause" schicken und sich ihre
naechsten "Schnueffelaufgaben" genauso einfach holen.
Dazu muss auf dem Dingens nicht ein Port offsen sein.
Das im Moment kein "verdaechtiger" Traffic zu sehen ist,
kann eben auch bedeuten das die Drohne noch schlaeft und
auf eine bessere Gelegenheit wartet, wenn z.B. besonders
viel Traffic in Richtung Gateway unterwegs ist.

Das mindeste waere die MAC-Adresse zu blacklisten oder eine
statische Zuweisung der 127.0.0.1 zur MAC-Adresse.
Und natuerlich kein Gateway.
Dumm nur, wenn das Dingens bereits einmal gueltige Daten bekommen hat.

Selbst ein Android kramt gerne mal in alten Eintraege
und versucht es damit... wenn es nichts besseres findet.
Gast #6882118
Lesenswert?

(prx) A. K. schrieb:

> Im DHCP. Du hängst.

Ja, ich hatte nicht den ganzen Thread durchgelesen.

Also kann man das Problem so zusammenfassen:

Wir haben da einen Switch, der für seinen Job keine L2-Schnittstelle 
benötigt, aber eine hat. Und zwar eine, die sich offensichtlich sogar 
für L3-Kommunikation präpariert.

Was macht man mit sowas? Wegwerfen, bzw. falls noch in der 
Gewährleistung: Nacherfüllung fordern, dann Zurücktreten. Was denn 
sonst!

Und natürlich temporär, bis zum Austausch durch was Anderes: Traffic 
in's Internet blocken.
Gast #6882137
Lesenswert?

(prx) A. K. schrieb:

> Jemandem schenken, der dabei nicht gleich in Panik verfällt.

Na das ist ist vollkommen asozial. Eine erkannte potentielle 
Sicherheitslücke an einen guten Freund verschenken?

Wer solche Freunde hat, braucht keine Feinde.

Versteh' mal: selbst wenn das Teil von Hause aus noch nicht schädlich 
ist, hat es doch alle Sicherheitslücken seiner Firmware. Und es wird 
natürlich niemals ein Update dafür geben, die sie schließen, da dieses 
Interface an diesem Gerät ja eigentlich aus Sicht des Herstellers 
garnicht existiert.

Irgendwann hat man also ein Gerät an kritischer Stelle der 
Netzwerk-Infrastruktur (ein Switch sitzt immer an einer kritischen 
Stelle, denn er hört immer sehr viel mehr als normale Endgeräte) und 
eine ausnutzbare Sicherheitslücke an diesem Switch.

Wenn das kein Sicherheitsrisiko ist, was denn dann? Hast du den Schuss 
nicht gehört?
#6882141
Lesenswert?

c-hater schrieb:
> Na das ist ist vollkommen asozial. Eine erkannte potentielle
> Sicherheitslücke an einen guten Freund verschenken?

Von einem guten Freund habe ich nicht geschrieben. Ausserdem solltest du 
dann auch darauf verzichten, ihm ein Bier zu spendieren. Das Bier ist 
wahrscheinlich gefährlicher. ;-)

> Versteh' mal: selbst wenn das Teil von Hause aus noch nicht schädlich
> ist, hat es doch alle Sicherheitslücken seiner Firmware.

Wie oben schon geschrieben: Wahrscheinlich wurde nur vergessen, den IP 
Layer komplett abzuschalten, weshalb L3 Grundfunktionen erhalten 
blieben - und das in der nächsten Version nachgeholt wurde.

Wer partout Angst vor seinem Switch hat, der sollte beim PC anfangen. 
Der ist interessanter. Und zwar nicht nur da, wo jeder sucht. Eine NVMe 
SSD hat via PCIe allerhand Zugriffsmöglichkeiten auf Daten im RAM, die 
sie nichts angehen. Darunter unverschlüsselte. Und hat genug Platz, sie 
zu speichern. Was meinst du wohl, was mit deinen Bankdaten und 
Passwörtern passiert, wenn du das Herstellerprogramm für einen 
Firmware-Update startest?

Im nächsten Level hasht der SSD-Controller den eigenen Inhalt und sucht 
nach KiPo - Apple lässt grüssen. Das Herstellerprogramm wird dann 
unnötig, weil er direkt die gängigen Ethernet-Controller anspricht. ;-)
Gast #6882162
Lesenswert?

(prx) A. K. schrieb:

> Wer partout Angst vor seinem Switch hat, der sollte beim PC anfangen.
> Der ist interessanter. Und zwar nicht nur da, wo jeder sucht. Eine NVMe
> SSD hat via PCIe allerhand Zugriffsmöglichkeiten auf Daten, die sie
> nichts angehen. Darunter unverschlüsselte. Und hat genug Platz, sie zu
> speichern. Was meinst du wohl, was passiert, wenn du das
> Herstellerprogramm für einen Firmware-Update startest? ;-)

Da ist leider durchaus was dran. Im Prinzip kann man einem heutigen PC 
absolut nicht mehr vertrauen. Viel zu viel Peripherie hat Firmware, die 
i.d.R. nicht offen und darüber hinaus hochkomplex ist, also die 
Brutvoraussetzungen für potentielle Sicherheitslücken mehr als erfüllt.

Sprich: selbst ohne herstellerseitig geplante (AKA: "zufällig" 
"vergessene") Backdoors bleibt da reichlich Potential...
Gast #6882163
Lesenswert?

c-hater schrieb:
> Da ist leider durchaus was dran. Im Prinzip kann man einem heutigen PC
> absolut nicht mehr vertrauen. Viel zu viel Peripherie hat Firmware, die
> i.d.R. nicht offen und darüber hinaus hochkomplex ist, also die
> Brutvoraussetzungen für potentielle Sicherheitslücken mehr als erfüllt.
>
> Sprich: selbst ohne herstellerseitig geplante (AKA: "zufällig"
> "vergessene") Backdoors bleibt da reichlich Potential...

Alles nicht nötig, wir haben doch die Intel Management Engine, da ist 
alles schon drin...
Gast #6882165
Lesenswert?

Hallo,
Laut Netz ist da ein BCM53333 drin. (Einen BCM13333 gibt es auch nicht).

Der hat einen ARM9 an Board und ist für "Websmart" vorbereitet.
Scheinbar hat DLink die Software nicht richtig eingebunden/konfiguriert. 
Deshalb noch der DHCP request und danach dann Ruhe.

Und die Frage nach der OUI:
Da die PHY im BCM53333 integriert sind haben sie eine Broadcom OUI und 
nicht die von DLink.

Grüße!
#6882169
Lesenswert?

Tim T. schrieb:
> Alles nicht nötig, wir haben doch die Intel Management Engine, da ist
> alles schon drin...

Deshalb beschrieb ich ein etwas bizarreres Szenario, an das nicht 
jeder als erstes denkt ;-). Zumal ich die ME sogar abschalten könnte, 
wenn das nicht negative Folgen für den Akkuverbrauch hätte. Aber bei der 
SSD hätte ich nur die Wahl, welcher Schnüffler für mich direkt zuständig 
wäre. Derzeit also der 국정원.
Persönliche Seite #6882189
Lesenswert?

(prx) A. K. schrieb:
> Wer partout Angst vor seinem Switch hat, der sollte beim PC anfangen.
> Der ist interessanter.

Wenn ich ein Netzwerk angreifen möchte, wäre eine Switch mit löchriger 
Firmware gold wert. Wer kommt schon darauf, dass ausgerechnet eine 
Switch der Bösewicht ist? Arbeitsplätze und Server sind ja meist mit 
Antimalware ausgestattet. Die würden meine Machenschaften schnell 
erkennen. Eine Switch, die dazu noch komplett von mir übernommen ist, 
tut das nicht.

IP-Telefone oder Kameras sind ebenfalls interessant.
Gast #6882197
Lesenswert?

ManWin schrieb:
> (prx) A. K. schrieb:
>> Denkbar wäre, dass der Switch die gleiche Hardware wie ein Switch mit
>> Management verwendet, dies aber nicht freigeschaltet ist.
>
> Und wie denkst du, kann man das freischalten?

Da es einen DHCP-Request gibt, wäre es einen Versuch wert, ihm einen 
TFTP-Server mitzugeben. Mit Glück versucht er dann, dort eine 
Konfiguration und/oder eine Firmware zu bekommen.
Beitrag #6882211 wurde von einem Moderator gelöscht.

Antwort schreiben

Bitte melde dich an, um einen Beitrag zu schreiben.

oder

Mit Google-Account einloggen

Die Registrierung ist kostenlos und dauert nur eine Minute.

Jetzt registrieren