Neznan promet na routerju v omrežju - Telemach

Torej, nekaj dni smo bivši Teleingovi naročniki na novo pod Telemachom. Ker še čakamo, da bo vse delovalo kot bi naj sem danes delal speedtest, ki je pokazal 30/100 namesto 100/100. To se pod Teleingom ni nikoli dogajalo. Ker imam lasten router za modemom sem malo pogledal kaj se dogaja in kot kaže promet iz nekih tujih IPjev gre preko mene na Telemachov IP, ki pa ni moj. V zadnjih par minutah sta se IPja menjala parkrat, vedno pa gre med 20 in 70 Mbit prometa čez nje. Resetiral sem že router, ga posodobil na najnovejši firmware, edino modema še nisem resetiral. Tudi če iztaknem vse kable iz Mikrotika in imam prazen WiFi promet ostaja.

Na Telemachu ne vedo za kaj se gre.
Kaj za vraga je to?

https://www.dropbox.com/s/k5y807y1o7a16...

https://www.dropbox.com/s/e4whv6oo49831...

Mulo ima vklopljen torrent .

@Invictus Si sploh pogledal sliko ali kar nekaj na prazno nabijaš? Kvečjemu si mulo tukaj ti. A vidiš kje na vmesnikih, da promet kam odhaja v lokalno omrežje?

Točno tako izgleda, kot, da se paketi usmerjajo v moje omrežje, naprej pa potem ne gredo, ker odhodnega prometa ni videti. Se pa Source / Destination IPji vsake nekaj minut menjajo, promet pa ostaja.

https://www.dropbox.com/s/ml5qhzad9bdjr...

Na hitro: nisem gledal slik; ima mogoče to kaj veze z UniFi? Kolikor sem seznanjen z Slo (in okolico Slovenije) Telemachom, imajo modemi 2 wifi vmesnika, drugega "skritega" za UniFi.

Se vidi, da so telesmehovci neki šalabajzerji. Že v Celju, kjer so prevzeli Turnška, je vse v p... Tudi tukaj vam bo kakovost storitev padla.

Če jim ne težiš ne boš nič dosegel. Koliko časa pa to že traja? Pokliči na tehnično pomoč in zahtevaj enega tehnika, naj ti da mail da mu pošlješ rezultate oz naj si jih pogleda tu. Če traja to že več dni jim povej da jim ne boš plačal računa. Več kot to pa ne moreš...

Tole traja od danes. Preden sem pisal sem so me vezali k tehniku, ki pa ni vedel nič narediti, saj ne vidi, da bi bilo kaj narobe. Videl je samo neki lokalni IP od modema, ki pa nima nobene funkcije in povezave s tem. Sem jim še pisal, pa bomo videli.

Manjka mi znanje kako to storiti.

V Torchu daj kljukco pri "port".

91.236.1.132 je push slotech
80.82.77.139 je shodan https://www.shodan.io/ .

https://fullip.info/service/lookup/

Preveri sistem za trojanci/virusi/malware.


Imaš kakšen iptv ?

Tega nimam na OFF ampak kot že omenjeno, tudi če izklopim vse kable iz Mikrotika in vse računalnike in se z Androidnim telefonom povežem na Mikrotik preko Wifi je situacija identična. Saj v zgornjih primerih so bili drugi IPji.

Najkoristnejse orodje tukaj je Wireshark (ker se vidi najvec informacij). Se vec bi se seveda videlo iz zajetih podatkov (pcap-ng datoteka) in ne iz samega screenshota (ampak tu bi moral paziti, da ne bi bilo zraven se kaksnih tvojih podatkov, ki jih morda ne bi zelel razkriti).
Kaj dosti, razen tega, da tezis providerju, itak ne mores storiti, ker je tezava pri njih (floodajo ti paketke, ki so namenjeni drugim in ne samo tebi). Kaj je razlog za to, je pa brez dostopa do njihove opreme tezko reci. Se najbolj koristen nasvet je bil imagodei-ev (samo ni namenjen tebi ampak tvojemu providerju).

Videl bi recimo destination MAC naslove razlicnih paketov, iz tistega, kar si objavil, se je malo vec videlo samo za prvi frame. Videlo se je tudi, kateri paketki so do tebe prisli cca 120 sekund zatem, ko si zacel loviti promet, pa da je to v glavnem SIP promet. Ce bi dal medtem, ko lovis promet, recimo se "ping 8.8.8.8" ali kaj podobnega, da bi se videlo tvoj IP in MAC ter MAC tvojega gatewaya, bi se morda dalo sklepati se kaj. Iz screenshotov pa res bolj tezko, sploh, ker so tisti paketi, ki jih vidis na enem screenu, prakticno vsi enaki (oziroma podobni)...

Daniel je 24. apr 2018 ob 18:48 izjavil:

Žal iz tega ne izvem nič več, oziroma ne vem razvozlati kaj bi ti porti pomenili.

https://www.dropbox.com/s/qh3tdckiiqtec...

Pomoje imaš DNS server navzven odprt. Na fw blokiraj tcp 53.

Npr. tole:

https://www.dropbox.com/s/6sou48q64ldem...

Tukaj sem svoj računalnik priklopil na Ether6 vmesnik in onemogočil vse ostale priklopljene razen bridge in ether1, ki je WAN. Enako prvi vnos povzroča ogromno prometa. Izgleda kot SIP promet.

Saj, da bi vsaj lahko kako blokiral zadevo, pa je nikakor ne moreš. Sem jim že vse pojasnil na FB, me prav zanima kako dolgo bojo rabili, da najdejo vzrok, glede na to, da se jim sedaj po prevzemu Teleinga vse podira (prej je delalo brez težav).

Razumem. Bomo videli, ali bodo jutri uredili.

Trenutno še zmeraj vse enako kot včeraj.

Poberi source IPje in vsaj preveri kdo je lastnik le teh...

Da boš vsaj vedel od kod prihajajo...

In...? Kako se razpleta zgodba?