Войти в систему

Home
    - Создать дневник
    - Написать в дневник
       - Подробный режим

LJ.Rossia.org
    - Новости сайта
    - Общие настройки
    - Sitemap
    - Оплата
    - ljr-fif

Редактировать...
    - Настройки
    - Список друзей
    - Дневник
    - Картинки
    - Пароль
    - Вид дневника

Сообщества

Настроить S2

Помощь
    - Забыли пароль?
    - FAQ
    - Тех. поддержка



Пишет pe3yc ([info]pe3yc)
@ 2007-05-19 10:00:00
Previous Entry  Add to memories!  Tell a Friend!  Next Entry
Ничего не понимаю.

Если подключиться в сеть по проводу, все работает нормально. Если подключиться через вайфайную точку доступа (Cisco IOS 1200), то откуда-то появляется жуткий флуд - с моего компа льётся вчетверо-впятеро больше, чем в него. Netstat показывает, что эта цисковская точка доступа долбит во все порты подряд, начиная с 3766 и до 3965.

Как лечить?

(Добавить комментарий)


[info]sashnik@lj
2007-05-19 05:31 (ссылка)
* посмотреть нет ли других клиентов, подключенных к AP. возможно соседский script kiddie балует.
* если нет, поставить на AP последний релиз IOS, сбросить конфигурацию на ноль и сделать заново.
будут вопросы - обращайтесь, с сиськой и их AP знаком близко.

(Ответить) (Ветвь дискуссии)


[info]pe3yc@lj
2007-05-19 08:41 (ссылка)
На сайте сиськи нельзя сгрузить релиз без авторизации, у меня там доступа нету.

http://www.cisco.com/public/sw-center/

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]simpot@lj
2007-05-19 09:02 (ссылка)
Не думаю что онон тебе надо, но если что - найдём.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]pe3yc@lj
2007-05-19 09:04 (ссылка)
Я смотрю, сейчас флуд идёт и при подключении через LAN.

Странно, может где-то руткит поймал? Хотя вроде через файрвол только работаю..

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]sashnik@lj
2007-05-19 09:32 (ссылка)
сиська, значит, ни при чём.
нужно посмотреть что за трафик идёт.
если есть желание разобраться самому, можно взять wireshark с http://www.wireshark.org/download.html и послушать что за пакеты идут из машинки. записать с минуту фонового трафика в файл и отправить мне на емел.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]pe3yc@lj
2007-05-19 09:53 (ссылка)
На тот, который в профайле, хотмайловский?

Ща сделаем..

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]sashnik@lj
2007-05-19 09:59 (ссылка)
ага, он самый.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]pe3yc@lj
2007-05-19 10:11 (ссылка)
Что характерно, пока качался 17 мег wireshark, исходящего трафика набежало аж 13 мег за то же время.

Учитывая то, что это ADSL с медленным аплоадом (128 всего, а по факту меньше), это неприятно тормозит.

(Ответить) (Уровень выше)


[info]pe3yc@lj
2007-05-19 10:26 (ссылка)
А что значит фонового? Если закрыть все приложения, связаные с интернетом (ну типа Эксплорер или Аутлук), то трафика вроде никакого и нету.

Но стоит только инициировать хоть какой входящий трафик - например загрузить файло или релоаднуть страницу - как исходящий трафик начинает бежать посильнее входящего.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]sashnik@lj
2007-05-19 10:39 (ссылка)
о! подозреваю какую-нибудь дрянь в инетексплорере (аутлук использует движок от ИЕ). а если инетексплорер закрыть (и остаточные процессы iexplore.exe в таскменежере прибить), шум прекращается?
чисто для проверки, попробуйте фаерфоксом открыть какую-нибудь страницу.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]pe3yc@lj
2007-05-19 10:46 (ссылка)
Файерфокса нету, а если эксплорер и аутлук не закрывать и не убивать, а просто не трогать, то шума тоже нету.

Шум появляется вместе с полезным трафиком - но в другую сторону.

Ща пришлю файлы - там по Ethernet раз в минуту чего-то броадкастит сиська, а по Generic Dialup/VPN - раз в 10 секунд чего-то типа LLC - видимо DSL модуль.

И всё, больше ничего нет, если не трогать IE или аутлук.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]simpot@lj
2007-05-19 11:20 (ссылка)
Ну так закрой все IE/Outlook/etc > start > run > cmd > ftp ftp.technion.ac.il > user: anonymous > pass: anything > hash > bin > cd pub > cd utils > cd gnu > get octave-2.1.73-1-inst.exe

Качаешь этот большой файл и смотришь/сравниваешь upload/download

(Ответить) (Уровень выше)


[info]simpot@lj
2007-05-19 07:13 (ссылка)
show run в студию.

(Ответить) (Ветвь дискуссии)


[info]pe3yc@lj
2007-05-19 08:33 (ссылка)
А где его взять?

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]simpot@lj
2007-05-19 09:01 (ссылка)
Еачаешь это: http://the.earth.li/~sgtatham/putty/latest/x86/putty.exe

Запускаешь, в connection type выбираешь telnet (если не сработает, то пробуй ssh), в окне Host Name пишешь ip address твоего AccessPoint'a и жмёщь open.

Вводишь твой user/pass для еправления cisco'й.

пишешь: show run

жмёшь пробел раз 5-10, пока конф. файл не отразится весь.

копи-пастишь файл (учти, там могут быть видны пароли и ip address'a), так что ксли что - то на msn/icq/mail

(Ответить) (Уровень выше) (Ветвь дискуссии)

(Комментарий удалён)

[info]sashnik@lj
2007-05-19 09:39 (ссылка)
не стоит вывешивать в открытом доступе строчки сиськиной конфигурации с "password 7".
см.
http://www.google.com/search?hl=en&q=cisco+%22password+7%22+decrypt&btnG=Google+Search

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]pe3yc@lj
2007-05-19 09:43 (ссылка)
А что, разве можно получить ascii пароль по этим данным?

Ну пусть будет так тогда - вверху потру сейчас.

!
version 12.2
no service pad
service timestamps debug datetime msec
service timestamps log datetime msec show-timezone
service password-encryption
!
hostname ap
!
enable secret 5 $1$F4qo$9HwhtRn23F5vVTbhNkiGR0
!
username ***** privilege 15 password 7 000000000000000000
username ***** privilege 15 password 7 000000000000000000
ip subnet-zero
!
dot11 adjacent-ap age-timeout 1
!
bridge irb
!
!
interface Dot11Radio0
no ip address
no ip route-cache
!
ssid 0000
authentication open
!
speed basic-1.0 basic-2.0 basic-5.5 basic-11.0
rts threshold 2312
no preamble-short
channel 2462
station-role root
bridge-group 1
bridge-group 1 subscriber-loop-control
bridge-group 1 block-unknown-source
no bridge-group 1 source-learning
no bridge-group 1 unicast-flooding
bridge-group 1 spanning-disabled
!
interface FastEthernet0
no ip address
no ip route-cache
duplex auto
speed auto
bridge-group 1
no bridge-group 1 source-learning
bridge-group 1 spanning-disabled
!
interface BVI1
ip address 10.0.0.1 255.0.0.0
no ip route-cache
!
ip default-gateway 10.0.0.138
ip http server
ip http help-path http://www.cisco.com/warp/public/779/smbiz/prodconfig/help/eag/ivory/1100
logging history size 20
bridge 1 route ip
!
!
line con 0
line vty 0 4
login local
line vty 5 15
login
!
end

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]sashnik@lj
2007-05-19 09:59 (ссылка)
> А что, разве можно получить ascii пароль по этим данным?
ага. причём мгновенно.
см. напр. http://www2.tongzweb.com/tools/cisco.asp
"reversible encryption", то есть, считай, и не encryption вовсе.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]pe3yc@lj
2007-05-19 10:03 (ссылка)
Не думал, что в сиське так лоховски действуют.

Впрочем, верю. Зарегистрировался у них на сайте, подтвердил мылом, все в порядке вроде бы. Логинюсь - не пускает, incorrect типо. Ладно, запрашиваю смену пароля, присылают новый пароль и старый логин. Пытаюсь снова залогиниться - снова хуйтам.

Короче, лохи какие-то пафосные.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]simpot@lj
2007-05-19 10:07 (ссылка)
В сиске есть пароли с "password 5"/"secret 5" - они не ломаемы, а 7-ой - кстаревший давно.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]pe3yc@lj
2007-05-19 10:08 (ссылка)
Дык и сама точка не новая, и фирмвер в ней соответственно, вот я и хотел найти апгрейд.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]sashnik@lj
2007-05-19 10:42 (ссылка)
если всё работает, апгрейд не нужен.
проблема, видимо, не в AP.
хотя, если интересно, могу в понедельник с работы прислать последнюю версию IOS. для этого понадобится точная модель AP.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]pe3yc@lj
2007-05-19 10:54 (ссылка)
Да она старая, модель 1200. Думаю, что там фирмвера нового на неё и нету..

Файло послал.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]simpot@lj
2007-05-19 11:12 (ссылка)
Да ладно прибедняться 1200 - хорощая штука!

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]pe3yc@lj
2007-05-19 11:18 (ссылка)
Не вижу ничего хорошего - антенны слабые, 11g не поддерживается, интерфейс недружественный, сделан через жопу.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]simpot@lj
2007-05-19 11:23 (ссылка)
Инетфйс как-раз очень даже дружелюбный, но ты наверное WEB'овским пользуешься...

(Ответить) (Уровень выше)


[info]sashnik@lj
2007-05-19 16:37 (ссылка)
файло получил. в "спокойном" режиме - всё в порядке, ничего подозрительного не видно.
надо теперь понюхать когда шумит. пришлите сниф когда обновляется какая-нибудь лёгкая страничка по http.
победа за нами!

(Ответить) (Уровень выше)


[info]sashnik@lj
2007-05-19 10:35 (ссылка)
да нет, оборудование отличное. а пасворд-7 они держат из соображений совместимости с древними версиями; можно форсировать пасворд-5, алгоритм шифрования в котором значительно лучше.

(Ответить) (Уровень выше)


[info]simpot@lj
2007-05-19 09:59 (ссылка)
С точкой доступа всё нормально, она тебя не мучает.

Но вот security точки доступа - никакой!!!
Зачем ты раздаёшь беспроводнкю сеть всем кому ни поподя?...
Скорее всего твоя проблема именно в этом.

Да и непонятно зачем не настроил ноддержку 802.11G (который 55 Mbps), удобно на 11 Mbps работать?...

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]pe3yc@lj
2007-05-19 10:07 (ссылка)
Секурити убрал временно, чтобы разобраться с проблемами, потом включу. Да и некому тут воровать - до ближайших людей не добивает, а я смотрю - ни одного лишнего DHCP клиентa нету.

11G эта точка не поддерживает, старенькая потому что. Только 11В.

И карточка в ноуте воткнута 11В, она помимо прочего и батарею меньше сажает, чем 11G.

Не вижу смысла в 54Mbps при ADSL-коннекте 1024/128. Узкое место явно не в WiFi.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]simpot@lj
2007-05-19 10:35 (ссылка)
Отсутствие DHCP клиентов ни о чём не говорит, ip address можно прописать ручками.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]pe3yc@lj
2007-05-19 10:42 (ссылка)
Я весь сегмент вижу, нету там никого.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]simpot@lj
2007-05-19 11:12 (ссылка)
Ну значит продолжай копать снифером и.т.д.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]pe3yc@lj
2007-05-19 11:14 (ссылка)
Копать снифером трудно, потому что вся паразитка идёт только тогда же, когда и полезный трафик.

То есть мёд и говно в одной бочке.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]simpot@lj
2007-05-19 11:27 (ссылка)
Ну тогда сделай проверку через ftp (я выше описал процедуру) и если всй по ftp будет хорошо - то Add/Remove Programs и Adware тебе помогут.

(Ответить) (Уровень выше)


[info]_slw@lj
2007-05-19 12:07 (ссылка)
AIR-MP20B-A-K9=/AIR-MP21G-A-K9=
AIR-MP20B-I-K9=/AIR-MP21G-I-K9=
AIR-MP20B-E-K9=/AIR-MP21G-E-K9=

один из этих модулей -- и она будет поддерживать.
вообще, там вроде как стандартный miniPCI, вот только не уверен чей модуль, вероятно Atheros.


(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]pe3yc@lj
2007-05-19 12:41 (ссылка)
Какой именно заливать? Есть риск, что убьётся при перепрошивке?

И потом, если радиочасть не поддерживает 11g, то как софт может помочь?

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]_slw@lj
2007-05-19 12:46 (ссылка)
заливать?
это и есть партномера радиочастей не замену.
20 -- более старые, 21 -- более новые. I -- израиль, E -- европа, A -- америка. разница в максимальной разрешенной мощности и наборах разрешенных каналов.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]pe3yc@lj
2007-05-19 12:50 (ссылка)
А, тю. Я-то думал это прошивки :)

А где взять и сколько стоит? Не дешевле ли будет просто купить другую точку нецисковую и не париться? Циска сцуко дорогая..

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]_slw@lj
2007-05-19 12:55 (ссылка)
А где взять и сколько стоит?
на ebay?

Не дешевле ли будет просто купить другую точку нецисковую и не париться? Циска сцуко дорогая..

я разные точки доступа щупал -- поверь, все остальные -- в подметки не годятся. cisco своих денег стоит.

сигнал наиболее мощный у американской версии.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]pe3yc@lj
2007-05-19 13:00 (ссылка)
Вот у меня сейчас американская, так она и пяти метров не пробивает по квартире.

А фуфловая дешевая китайская ANT без проблем держала десять метров, правда я её кому-то подарил сдуру.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]_slw@lj
2007-05-19 13:11 (ссылка)
Вот у меня сейчас американская, так она и пяти метров не пробивает по квартире

[в ахуе]
а ты мощность сигнала не задавил случайно?
а антенку-то хоть пальчиковую накрутил?
1230 в отличии от 1100 серии не имеет встроенной антены для B/G диапазона вообще.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]pe3yc@lj
2007-05-19 13:16 (ссылка)
У этой точки две антенны, торчат рожками. А как я мог мощность задавить?

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]_slw@lj
2007-05-19 13:28 (ссылка)
антены, кстати, тоже правильно направлять надо. и не располагать точку около металических стен.

http://www.cisco.com/en/US/docs/wireless/access_point/12.2_11_JA/configuration/guide/b12211sc.html
конкретно http://www.cisco.com/en/US/docs/wireless/access_point/12.2_11_JA/configuration/guide/s11rf_ps430_TSD_Products_Configuration_Guide_Chapter.html#wp1017196

но вроде как нет. это странно. может провода какие внутри отлетели?
5 метров это сквозь стены? стены железобетонные?

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]pe3yc@lj
2007-05-19 13:38 (ссылка)
Стена одна, без железа, кирпичная.

Железобетон есть, да. Но с другой стороны точки. Может как-то отражать?

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]_slw@lj
2007-05-19 13:46 (ссылка)
Стена одна, без железа, кирпичная.

а сколько того кирпича? метр будет?

Железобетон есть, да. Но с другой стороны точки. Может как-то отражать?

да, может. отодвинуть помогает?

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]pe3yc@lj
2007-05-19 13:47 (ссылка)
Ща поиграюсь с местоположением, вроде можно улучшить.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]_slw@lj
2007-05-19 14:00 (ссылка)
вот тут http://www.cisco.com/en/US/products/hw/wireless/ps430/products_installation_guide_chapter09186a0080799be9.html#wp1056262
советуют на 3 фута от стены отойти

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]pe3yc@lj
2007-05-19 14:01 (ссылка)
Ну разве что посреди комнаты положить..

(Ответить) (Уровень выше)


[info]pe3yc@lj
2007-05-19 12:56 (ссылка)
C каналами ясно, там вроде у кого-то до 8-го, у кого-то до 11-го и у кого-то до 13-го, не помню точно где как. Но я думал, что каналы и мощность ограничиваются программно прошивкой, а железо всё равно умеет все 13 каналов и максимальную мощность.

Буква после 20 или 21 (B или G) она и определяет 11b / 11g или не имеет отношения?

Вроде бы по логике мне нужно мой 1230В поменять на 1230G, если он существует.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]_slw@lj
2007-05-19 13:00 (ссылка)
Но я думал, что каналы и мощность ограничиваются программно прошивкой, а железо всё равно умеет все 13 каналов и максимальную мощность.

я думаю там в EPROM модуля стоит байтик, который говорит для какой страны его сертифицировали и глядя на него прошивки и не дает тебе пареметры за оговоренные диапазоны задавать. IOS-то один на все страны.

Буква после 20 или 21 (B или G) она и определяет 11b / 11g или не имеет отношения?

да. нужна G.

Вроде бы по логике мне нужно мой 1230В поменять на 1230G, если он существует.

кто ж тебе его менять будет?
есть 1232G.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]pe3yc@lj
2007-05-19 13:09 (ссылка)
Ну, если там внутри miniPCI и разъемы одинаковые, то поменять карту я смогу :)

Хотя смысл какой? Экономится только корпус, а он ничего не стоит, как я понимаю.

Да и так у этой циски есть много лишних возможностей, которыми мне никогда не пользоваться - какой-то разъем для консоли, потом ещё какая-то коробочка с надписью PWRINJ2 - видимо power injector для передачи питания через ethernet, что ли.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]_slw@lj
2007-05-19 13:18 (ссылка)
Ну, если там внутри miniPCI и разъемы одинаковые, то поменять карту я смогу :)

http://www.cisco.com/en/US/products/hw/wireless/ps430/products_installation_guide_chapter09186a0080799c1a.html

Хотя смысл какой? Экономится только корпус, а он ничего не стоит, как я понимаю.


кроме корпуса там еще CPU, память, флэш, езернет... а насчет стоит или нет -- смотри ценники. я бы так не сказал :)

Да и так у этой циски есть много лишних возможностей, которыми мне никогда не пользоваться

это тебе кажется. у cisco гораздо лучше с диагностикой, чем у всех остальных

какой-то разъем для консоли

на случай, если совсем прошивку запорешь

потом ещё какая-то коробочка с надписью PWRINJ2 - видимо power injector для передачи питания через ethernet, что ли.

ага, оно самое.
зато 220 не надо под потолок тянуть.

(Ответить) (Уровень выше)


[info]pe3yc@lj
2007-05-19 12:48 (ссылка)
Сейчас стоит вот что:

System Software Version: IOS (tm) C1200 Software (C1200-K9W7-M)

Product/Model Number: AIR-AP1230B-A-K9
Top Assembly Serial Number: FHK0740J00Z
System Software Filename: c1200-k9w7-tar.122-11.JA1
System Software Version: 12.2(11)JA1
Bootloader Version: 12.2(8)JA



(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]_slw@lj
2007-05-19 12:52 (ссылка)
да я все это уже понял -- вывешенное было CDP пакетами с этой точки, в которых (почти) вся эта информация была. ну и плюс IP-адрес.

(Ответить) (Уровень выше)


[info]simpot@lj
2007-05-19 11:37 (ссылка)
И кстати, у тебя раутер какой? ломаный безековский модем (я так понимая ты в Израиле), али как?

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]pe3yc@lj
2007-05-19 11:42 (ссылка)
Да. Но не ломаный, а просто недокументированный.

Aztec DSL-600E, он по жизни раутер, а не модем.

Хотя говно конечно.

(Ответить) (Уровень выше)


[info]pe3yc@lj
2007-05-19 12:30 (ссылка)
Значит, отфильтровал я трафик от своей станции при скачивании файла.

Внешне всё пристойно - никаких посторонних IP нету.

От сервера ко мне все пакеты HTTP с пометкой "Continuation or non-HTTP traffic", как и должно быть.

От меня к серверу тоже куча трафика, весь TCP и весь через порт 3000. Это в основном АСК, но много и "TCP dup ACK" - несколько серий по 12-17 пакетов в каждой, это, возможно, повторные ACK. Кроме АСК есть ещё шесть пакетов RST, это запросы на прекращение загрузки в конце процесса.

То есть ничего стремного я не вижу.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]sashnik@lj
2007-05-19 16:47 (ссылка)
о! его то мне и надо!
дайте посмотреть.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]pe3yc@lj
2007-05-20 17:22 (ссылка)
Ну и какие выводы?

Что-то прояснилось?

Под подозрением роутер, но проверить это подозрение нечем, другого под рукой нету..

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]sashnik@lj
2007-05-21 06:14 (ссылка)
ничего не могу сказать, бо не видел паразитного трафика.
"в спокойном состоянии" (два файла с минутными записями) ничего подозрительного нет.
запишите мне сниф перекачки по фтп или хттп небольшого файла, чтобы был виден паразитический исходящий трафик.

(Ответить) (Уровень выше)


[info]sashnik@lj
2007-05-21 07:17 (ссылка)
из снифа не видно ничего особо страшного, не понятно откуда столько исходящего трафика, бо станция 10.0.0.140 шлёт только короткие ACK пакеты, подтверждения дескать "получил, давай дальше".
видны проблемы с потерей пакетов где-то по дороге (рутер?), что весьма дурно сказывается на скорости закачки, но никак не генерит исходящего трафика.
а нельзя ли взглянуть на полный сниф в формате .cap (родном ваершарковом), а не в тексте?
в ваершарк встроены некоторые прибамбасы, которые сильно помогают в диагностике.

(Ответить) (Уровень выше)


[info]simpot@lj
2007-05-19 19:42 (ссылка)
Ну значит надо смотреть ближе, а не со слов.

(Ответить) (Уровень выше)


(Анонимно)
2007-05-19 09:30 (ссылка)
точка доступа? не верю.

давай подробности

(Ответить) (Ветвь дискуссии)


[info]pe3yc@lj
2007-05-19 09:39 (ссылка)
Похоже, что не она всё-таки, а безековский раутер..

Но флуд серьёзный, от меня идёт много трафика.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]_slw@lj
2007-05-19 10:57 (ссылка)
wireshark тебе уже посоветовали.
запусти его с указанием грабить вместе с ethernet-заголовками и десяток-третий строк что награбил давай сюда

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]pe3yc@lj
2007-05-19 11:13 (ссылка)
Да вот они, всё там чисто, если эксплорер не трогать.

http://pe3yc.pisem.net/capture1
http://pe3yc.pisem.net/capture1

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]_slw@lj
2007-05-19 11:29 (ссылка)
ну а если трогать, ведь интересен-то именно этот случай?

(Ответить) (Уровень выше)


[info]_slw@lj
2007-05-19 11:31 (ссылка)
да, вывесить имелось в виду в текстовом, дешифрованном виде.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]pe3yc@lj
2007-05-19 11:37 (ссылка)
Нэ умэю :(

Как его дешифровывать?

А если трогать - то там я сам не разберусь, полно всякого трафика, я ж не спец, чтобы понять, где мухи, а где котлеты.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]_slw@lj
2007-05-19 11:49 (ссылка)
ну он же текстом в окошке пишет, да?
наверное там cut-paste работает (у меня не винда)?
ну или сохранить так умеет.

так весь трафик и надо, что бы мы (спецы) посмотрели. естественно, без разбору.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]pe3yc@lj
2007-05-19 12:40 (ссылка)
Там в plain text не сохраняет.

Есть много опций Save As для разных программ, но именно текстового формата нету.

The following file formats can be saved by Wireshark (with the known file extensions):

libpcap, tcpdump and various other tools using tcpdump's capture format (*.pcap,*.cap,*.dmp)

Accellent 5Views (*.5vw)

HP-UX's nettl (*.TRC0,*.TRC1)

Microsoft Network Monitor - NetMon (*.cap)

Network Associates Sniffer - DOS (*.cap,*.enc,*.trc,*fdc,*.syc)

Network Associates Sniffer - Windows (*.cap)

Network Instruments Observer version 9 (*.bfr)

Novell LANalyzer (*.tr1)

Sun snoop (*.snoop,*.cap)

Visual Networks Visual UpTime traffic (*.*)

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]_slw@lj
2007-05-19 12:49 (ссылка)
а file->export->as plain text
есть?

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]pe3yc@lj
2007-05-19 13:05 (ссылка)
Точно, есть.. :)

Какой взять дамп? Скачать файло какое-нибудь или большой http сайт загрузить?

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]_slw@lj
2007-05-19 13:13 (ссылка)
да нет, я думаю что-нибудь маленькое. ведь проявляется независимо от объема?

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]pe3yc@lj
2007-05-19 13:29 (ссылка)
Вот дамп загрузки pe3yc.livejournal.com

Причем суповский счетчик 195.161.116.13 у меня отключен в hosts, но трафик к нему почему-то всё равно идёт..

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]pe3yc@lj
2007-05-19 13:31 (ссылка)
Тьху, забыл линк дать

вот дамп (http://pe3yc.pisem.net/dump1.txt)

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]_slw@lj
2007-05-19 13:40 (ссылка)
ух. все не просмотрел еще, но вот уже что видно:

ответы приходят к тебе не в порядке отправления.
это либо твой провайдер дурит, либо роутер. попробуй начать с роутера и дерни ему питание.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]pe3yc@lj
2007-05-19 13:43 (ссылка)
Дергал уже неоднократно, он под подозрением с самого начала.

Вот уж кто китаец, так это роутер.

Там и настроек-то немного, неясно чего ковырять.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]_slw@lj
2007-05-19 13:50 (ссылка)
а заменить его можно?
или без него попробовать?

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]pe3yc@lj
2007-05-19 13:55 (ссылка)
А как я без него к ADSL подключусь?

Нет, сейчас другого под рукой нет.

Был другой, Samsung, он чего-то иногда не синхронился с линией, а вчера приходил техник и поменял по гарантии на этот Aztec.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]_slw@lj
2007-05-19 13:58 (ссылка)
Cisco 871W -- выбор настоящих пацанов!
И ADSL и WiFi в одном флаконе. Правда стоит денег...

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]pe3yc@lj
2007-05-19 14:00 (ссылка)
У меня в Москве такой 3Com есть - четыре порта ethernet, adsl и wifi 11g, все в одном флаконе.

Но правда иногда перегревается, падло.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]_slw@lj
2007-05-19 14:02 (ссылка)
на перегревание cisco мне не жаловались (а в одном месте именно такое и стоит).

(Ответить) (Уровень выше)


[info]_slw@lj
2007-05-19 14:50 (ссылка)
попробуй по-максимуму отключить всякие проверки, нормализации, файрволы и все прочее.

но вообще в твоем дампе левого трафика не видно.
не могло это получиться когда у тебя качалась куча мелких картинок?

самый мелкий http-запрос -- это около 300 байт.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]pe3yc@lj
2007-05-19 15:16 (ссылка)
Файрвол не стремно отключать?

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]_slw@lj
2007-05-19 15:19 (ссылка)
по идее за nat -- не особо

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]pe3yc@lj
2007-05-19 15:30 (ссылка)
ОК, понял.

(Ответить) (Уровень выше)


[info]sashnik@lj
2007-05-21 06:17 (ссылка)
ага, простите, проглядел.
это тот самый сниф, что я от Вас хотел.

(Ответить) (Уровень выше)


[info]_slw@lj
2007-05-19 13:35 (ссылка)
хде дамп?
ну значит не отключен, по другому имени обращаются или вообще по ip

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]pe3yc@lj
2007-05-19 13:41 (ссылка)
По ip, да.

Но если в hosts есть строчка 127.0.0.1 195.161.116.13 - то вроде бы не должен по iр обращаться, или я неправ?

дамп комментом ниже

ну, или тут (http://pe3yc.pisem.net/dump1.txt)

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]_slw@lj
2007-05-19 13:47 (ссылка)
Но если в hosts есть строчка 127.0.0.1 195.161.116.13 - то вроде бы не должен по iр обращаться, или я неправ?

не прав

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]pe3yc@lj
2007-05-19 13:48 (ссылка)
А как я могу запретить обращаться к определенному ip?

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]_slw@lj
2007-05-19 13:53 (ссылка)
ну фильтр на роутере.
возможно, файрволом в виндах (не копенгаген).

и [мерзко хихикая] access-list можно нарисовать на 1200: http://www.cisco.com/en/US/docs/wireless/access_point/12.2_11_JA/configuration/guide/s11filt_ps430_TSD_Products_Configuration_Guide_Chapter.html

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]pe3yc@lj
2007-05-19 13:57 (ссылка)
Это да, но у меня же не всё через вайфай, сейчас, например я по ethernet работаю.

В роутере есть IP filter, ага.

(Ответить) (Уровень выше)


[info]pe3yc@lj
2007-05-19 13:13 (ссылка)
Ну ни хера себе, оказывается pop3 передаёт логин и пароль в открытом виде.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]_slw@lj
2007-05-19 13:18 (ссылка)
как много нам открытий чудных...

(Ответить) (Уровень выше)


[info]_slw@lj
2007-05-19 14:04 (ссылка)
стена имелась в виду металическая (ну и железобетон наверное тоже).
на кирпич вроде как можно вешать. ну и еще потолок есть.

(Ответить)

ответ, как всегда, прост --
[info]forgers@lj
2007-05-19 15:20 (ссылка)
mac or linux.)

(Ответить)