ARP Antwort vom falschen Client mit falscher MAC

[srkonus 10]

Hallo zusammen,

 

wir haben seit Freitag ein Phänomen im Netzwerk, was wir uns im Moment nicht erklären können. Wir haben an unseren Switchen festgestellt, das Rechner mit einer falschen MAC Adresse auf ARP Anfragen antworten. Ich versuche dies zu erklären:

 

5 Rechner

• 172.30.71.6 (XX:XX:XX:F7:52:75)

• 172.30.41.1 (XX:XX:XX:38:d1:a8)

• 172.30.63.1 (XX:XX:XX:c2:b0:b9)

• 172.30.14.1 (XX:XX:XX:88:c7:4f)

• 172.30.59.1 (XX:XX:XX:7b:67:4d)

Wireshark läuft auf 172.30.71.6, promiscuous mod off

 

Mit Wireshark sehen wir das 172.30.14.1 (XX:XX:XX:88:c7:4f) eine ARP Anfrage stellt und wissen will, welcher Rechner die 172.30.41.1 haben will - soweit so gut und auch normal. Allerdings ist bei 172.30.41.1 zu diesem Zeitpunkt das Netzwerkkabel abgezogen.

Nun antwortet 172.30.71.6 (XX:XX:XX:F7:52:75) und gibt als Source MAC Adresse die XX:XX:XX:38:d1:a8 an und sagt das die IP 172.30.41.1 die MAC Adresse XX:XX:XX:38:d1:a8 hat.

 

Hat jemand so etwas schon einmal erlebt und könnte es mit dem letzten Patchday zusammen hängen?

 

 

Danke für die Antworten

 

srkonus

 

 

[NilsK 3.046]

Moin,

 

läuft auf dem antwortenden Rechner evtl. Bonjour? (Kommt mit der iTunes-Installation.)

Da gibt es ein Verhalten, das dem beschriebenen ähnelt, zumindest der Beschreibung nach.

 

https://en.wikipedia.org/wiki/Bonjour_Sleep_Proxy

 

Gruß, Nils

[srkonus 10]

Hallo Nils,

 

ich habe gerade auf einem Rechner Bonjour gefunden und deinstalliert. Seit dem sieht es besser aus - werde es weiter beobachten. Das ist aber ein Verhalten, welches ich nicht verstehe und nachvollziehen kann.

[NilsK 3.046]

Moin,

 

ist in dem Wikipedia-Artikel eigentlich ganz gut erklärt. In einem Unternehmensnetz will man das normalerweise nicht, aber da will man iTunes sowieso nicht. :D

 

Gruß, Nils

[srkonus 10]

Ja, frage mich aber warum das Bonjour gerade seit Freitag zicken macht und vorher nicht - es war vorher auch schon installiert.

[srkonus 10]

Es war nicht Bonjour sondern der Wake-up Proxy vom SCCM.

[NilsK 3.046]

Moin,

 

gut zu wissen. Danke für die Auflösung!

 

Gruß, Nils