Pomoc Zatruwanie ARP - komunikat z Eset

[jaseku]

Cześć,

Przychodzę po prośbie, od pewnego czasu mój antywir wysyła mi takie powiadomienie, z informacją o ataku zatruwania ARP, obiektem źródłowym i docelowym jest mój qnap (192.168.0.21, MAC różni się tylko ostatnim znakiem), komunikat poniżej:

Podpięte mam dwie sieciówki do switcha, samo urządzenie wskazuje info o wykorzystaniu dwóch LAN jako port 2GBit. Ustawienia Qnap to:

Zauważyłem też, że mam włączony ipv6 (Autokonfiguracja IPv6 (Stateless)), czy ma być wyłączony? Czy mogę prosić o pomoc w rozwiązaniu tego problemu? Wystarczy zmienić tryb?
Być może jest to trywialny problem, ale pierwszy raz się z czymś takim spotykam.

 

[SiewcaRyżu]

Jeśli nie masz IPv6 w sieci , to po prostu je wyłącz. To jedna ze zdrowych zasad , nie używasz, to wyłącz to.
Co do LB - nie wiem.

 

[Kong]

A nie masz jakichś kontenerów które na tym samym IP wysyłają pakiety z własnym MAC adresem? Może z tym eset nie umie sobie poradzić bo ma zasadę 1 IP = 1 MAC

 

[jaseku]

Skanowałem sieć, nie wykrył żadnego urządzenia, które posiadałoby ten sam IP czy też ten sam MAC.

 

[3Qn]

Skanowałem sieć, nie wykrył żadnego urządzenia, które posiadałoby ten sam IP czy też ten sam MAC.

A jednak z pierwszego twojego postu wynika że jest takie urządzenie.

-> docker jeżeli bawisz się z vlanami możesz dostawać takie komunikaty

networks:
  vlan-dhcp-eth1.20-6d6da6:
    external: true

services:
  mariadb:
    image: mariadb:10.5
    restart: always
    networks:
     - vlan-dhcp-eth1.20-6d6da6
...
  mariadb-replica:
    image: mariadb:11.2.2
    networks:
     - vlan-dhcp-eth1.20-6d6da6
...

-> Nie potrzebnie włączone na routerze, switchu z tego co mi wiadomo nie jestem sieciowcem (bierz na to poprawkę) nie zaleca się łączyć/współdzielić VLANów przynajmniej w tym kontekście spotkałem się z ProxyARP

Nie chciało mi się z tym walczyć plus nie mogłem grać w HellDiver2 wywaliłem NOD32 xD

 

[SiewcaRyżu]

nie mogłem grać w HellDiver2 wywaliłem NOD32 xD

zamiast dodać wyjątek na cały folder gry

 

[3Qn]

zamiast dodać wyjątek na cały folder gry

Pokaż załącznik 45929

Kolejne adresy które były raportowane jako ARP zagrożenia ta gra była jedynie już przelaniem czary goryczy miałem też pewne obiekcie co do ich ochrony przeglądarki i web-rankingów ale już nie pamiętam z czym tam się woziłem porostu nie chciało mi się

 

[jaseku]

A jednak z pierwszego twojego postu wynika że jest takie urządzenie.

Ale na drugim zrzucie mam info o połączonych adapterach (1+2) dając dzięki temu sumę 2GBit. Więc pytanie czy jest to jednak wina trybu zbalansowanego? Wyłączenie ivp6 nie rozwiązało problemu, tak jak wspominał @SiewcaRyżu

 

[SiewcaRyżu]

Połączenie balance-tlb [bufor: TLB] z równoważeniem ruchu przychodzącego [bufor RLB] dla ruchu IPv4. Równoważenie otrzymywanego obciążenia osiągane jest poprzez negocjowanie ARP, osiągane przez repliki ARP wysyłane z systemu lokalnego na wyjście i nadpisywanie adresu sprzętu źródłowego unikalnym adresem sprzętowym jednego z interfejsów tak, że różne peery używają różnych adresów sprzętowych dla serwera. ¹Tryb ten zapewnia równoważenie obciążenia sieciowego wejściowe i wyjściowego, oraz ²zwiększa odporność na awarie.

Połączono posty: Czwartek o 13:51

więc .. urządzenie A gada z kartą #1 QNAPa, podczas gdy urządzenie B gada z kartą #2 QNAP , działa to póki klient się nie odłączy bądź nastąpie problem z którąś z kart QNAPa - wtedy druga przejmie jej obowiązki (i więc adres MAC).
a ze adres MAC to rzeczy używana przez protokół ARP - dlatego masz alert.

 

[jaseku]

Dzięki SiewcaRyżu za szybki faqu
Ciekawi nie czemu wcześniej nie występował ten alert... Czyżby eset zbzikował po jakiejś aktualizacji...? Hm...

 

[SiewcaRyżu]

nastąpie problem z którąś z kart QNAPa - wtedy druga przejmie jej obowiązki (i więc adres MAC).