merkwürdig hoher traffic

maceis schrieb:
Und was spricht gegen einen simplen tcpdump, um sehr schnell und sehr einfach zu sehen, was hier eigentlich passiert?
Zum Vergrößern anklicken....

z.B. das ich das runtergeladen habe und nicht weiß, was ich damit anfangen soll... ;)
 
Da muss man nix ruterladen.
Du beendest alle Programme, startets das Terminal (als admin User), gibst folgende Zeile ein, dann Dein Passwort und wartest ein bisschen:
Code: 
sudo tcpdump
Nachdem einige Daten gesammelt wurden, gibst Du ctrl-c ein, kopierst den Inhalt des Terminals und postest das Ganze hier (am besten innerhalb von code Tags).

Dann sehen wir weiter.
 
Bevor ich das mache, dumme Frage: Ist das irgendwie Sicherheitsrelevant? Ich meine, bevor das hier öffentlich gepostet ist...
 
Nein, ich habs auch eben ausprobiert, da wird nichts Sicherheitsrelevantes aufgelistet. Nur reine TCP/IP Daten
 
Da wird der Datenverkehr sichtbar, der über die Ethernetverbindung dDeines Macs geht, sonst nichts.
Allerdings nur die TCP/IP Daten, nicht der Inhalt der Datenpakete selbst.

Du kannst mir das aber gerne auch per PN schicken, wenn Dir das lieber ist.
 
okay. hier ein auszug:

tcpdump: WARNING: en0: no IPv4 address assigned
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on en0, link-type EN10MB (Ethernet), capture size 96 bytes
12:19:50.591305 PPPoE [ses 0x42d] IP dyndsl-085-016-046-073.ewe-ip-backbone.de.51986 > 63.209.100.241.http: P 2860143162:2860143448(286) ack 3523036378 win 65535 <nop,nop,timestamp 108225228 3038077>
12:19:50.733062 PPPoE [ses 0x42d] IP 63.209.100.241.http > dyndsl-085-016-046-073.ewe-ip-backbone.de.51986: . 1:1389(1388) ack 286 win 64000 <nop,nop,timestamp 3038096 108225228>
12:19:50.735787 PPPoE [ses 0x42d] IP 63.209.100.241.http > dyndsl-085-016-046-073.ewe-ip-backbone.de.51986: . 1389:2777(1388) ack 286 win 64000 <nop,nop,timestamp 3038096 108225228>
12:19:50.736006 PPPoE [ses 0x42d] IP dyndsl-085-016-046-073.ewe-ip-backbone.de.51986 > 63.209.100.241.http: . ack 2777 win 65535 <nop,nop,timestamp 108225229 3038096>
12:19:50.738465 PPPoE [ses 0x42d] IP 63.209.100.241.http > dyndsl-085-016-046-073.ewe-ip-backbone.de.51986: . 2777:4165(1388) ack 286 win 64000 <nop,nop,timestamp 3038096 108225228>
12:19:50.741422 PPPoE [ses 0x42d] IP 63.209.100.241.http > dyndsl-085-016-046-073.ewe-ip-backbone.de.51986: . 4165:5553(1388) ack 286 win 64000 <nop,nop,timestamp 3038096 108225228>
12:19:50.741565 PPPoE [ses 0x42d] IP dyndsl-085-016-046-073.ewe-ip-backbone.de.51986 > 63.209.100.241.http: . ack 5553 win 65535 <nop,nop,timestamp 108225229 3038096>
12:19:50.744126 PPPoE [ses 0x42d] IP 63.209.100.241.http > dyndsl-085-016-046-073.ewe-ip-backbone.de.51986: . 5553:6941(1388) ack 286 win 64000 <nop,nop,timestamp 3038096 108225228>
12:19:50.746832 PPPoE [ses 0x42d] IP 63.209.100.241.http > dyndsl-085-016-046-073.ewe-ip-backbone.de.51986: . 6941:8329(1388) ack 286 win 64000 <nop,nop,timestamp 3038096 108225228>
12:19:50.746938 PPPoE [ses 0x42d] IP dyndsl-085-016-046-073.ewe-ip-backbone.de.51986 > 63.209.100.241.http: . ack 8329 win 65535 <nop,nop,timestamp 108225229 3038096>
12:19:50.747878 PPPoE [ses 0x42d] IP 63.209.100.241.http > dyndsl-085-016-046-073.ewe-ip-backbone.de.51986: P 8329:8712(383) ack 286 win 64000 <nop,nop,timestamp 3038096 108225228>
12:19:50.840839 PPPoE [ses 0x42d] IP dyndsl-085-016-046-073.ewe-ip-backbone.de.51986 > 63.209.100.241.http: . ack 8712 win 65535 <nop,nop,timestamp 108225229 3038096>
12:19:51.437233 PPPoE [ses 0x42d] IP dyndsl-085-016-046-073.ewe-ip-backbone.de.52048 > resolver0.ewetel.de.domain: 54949+ PTR? 241.100.209.63.in-addr.arpa. (45)
12:19:51.447556 PPPoE [ses 0x42d] IP resolver0.ewetel.de.domain > dyndsl-085-016-046-073.ewe-ip-backbone.de.52048: 54949 NXDomain 0/1/0 (104)
12:19:51.591304 PPPoE [ses 0x42d] IP dyndsl-085-016-046-073.ewe-ip-backbone.de.51986 > 63.209.100.241.http: P 286:572(286) ack 8712 win 65535 <nop,nop,timestamp 108225230 3038096>
12:19:51.736551 PPPoE [ses 0x42d] IP 63.209.100.241.http > dyndsl-085-016-046-073.ewe-ip-backbone.de.51986: . 8712:10100(1388) ack 572 win 64000 <nop,nop,timestamp 3038106 108225230>
12:19:51.739012 PPPoE [ses 0x42d] IP 63.209.100.241.http > dyndsl-085-016-046-073.ewe-ip-backbone.de.51986: . 10100:11488(1388) ack 572 win 64000 <nop,nop,timestamp 3038106 108225230>
12:19:51.739230 PPPoE [ses 0x42d] IP dyndsl-085-016-046-073.ewe-ip-backbone.de.51986 > 63.209.100.241.http: . ack 11488 win 65535 <nop,nop,timestamp 108225231 3038106>
12:19:51.741730 PPPoE [ses 0x42d] IP 63.209.100.241.http > dyndsl-085-016-046-073.ewe-ip-backbone.de.51986: . 11488:12876(1388) ack 572 win 64000 <nop,nop,timestamp 3038106 108225230>
12:19:51.744670 PPPoE [ses 0x42d] IP 63.209.100.241.http > dyndsl-085-016-046-073.ewe-ip-backbone.de.51986: . 12876:14264(1388) ack 572 win 64000 <nop,nop,timestamp 3038106 108225230>
12:19:51.744789 PPPoE [ses 0x42d] IP dyndsl-085-016-046-073.ewe-ip-backbone.de.51986 > 63.209.100.241.http: . ack 14264 win 65535 <nop,nop,timestamp 108225231 3038106>
12:19:51.747385 PPPoE [ses 0x42d] IP 63.209.100.241.http > dyndsl-085-016-046-073.ewe-ip-backbone.de.51986: . 14264:15652(1388) ack 572 win 64000 <nop,nop,timestamp 3038106 108225230>
12:19:51.750136 PPPoE [ses 0x42d] IP 63.209.100.241.http > dyndsl-085-016-046-073.ewe-ip-backbone.de.51986: . 15652:17040(1388) ack 572 win 64000 <nop,nop,timestamp 3038106 108225230>
12:19:51.750258 PPPoE [ses 0x42d] IP dyndsl-085-016-046-073.ewe-ip-backbone.de.51986 > 63.209.100.241.http: . ack 17040 win 65535 <nop,nop,timestamp 108225231 3038106>
12:19:51.751144 PPPoE [ses 0x42d] IP 63.209.100.241.http > dyndsl-085-016-046-073.ewe-ip-backbone.de.51986: P 17040:17423(383) ack 572 win 64000 <nop,nop,timestamp 3038106 108225230>
12:19:51.841056 PPPoE [ses 0x42d] IP dyndsl-085-016-046-073.ewe-ip-backbone.de.51986 > 63.209.100.241.http: . ack 17423 win 65535 <nop,nop,timestamp 108225231 3038106>
12:19:52.456991 PPPoE [ses 0x42d] IP dyndsl-085-016-046-073.ewe-ip-backbone.de.52049 > resolver0.ewetel.de.domain: 51132+ PTR? 140.108.6.212.in-addr.arpa. (44)
12:19:52.467822 PPPoE [ses 0x42d] IP resolver0.ewetel.de.domain > dyndsl-085-016-046-073.ewe-ip-backbone.de.52049: 51132 1/4/4 (235)
12:19:52.591354 PPPoE [ses 0x42d] IP dyndsl-085-016-046-073.ewe-ip-backbone.de.51986 > 63.209.100.241.http: P 572:858(286) ack 17423 win 65535 <nop,nop,timestamp 108225232 3038106>
12:19:52.732674 PPPoE [ses 0x42d] IP 63.209.100.241.http > dyndsl-085-016-046-073.ewe-ip-backbone.de.51986: . 17423:18811(1388) ack 858 win 64000 <nop,nop,timestamp 3038116 108225232>
12:19:52.735373 PPPoE [ses 0x42d] IP 63.209.100.241.http > dyndsl-085-016-046-073.ewe-ip-backbone.de.51986: . 18811:20199(1388) ack 858 win 64000 <nop,nop,timestamp 3038116 108225232>
 
dyndsl :)
 
PPPoE? Ich denk, du gehst über einen Router raus?
 
admartinator schrieb:
PPPoE? Ich denk, du gehst über einen Router raus?
Zum Vergrößern anklicken....

Ja, ist so. Router von Arescom. Nix anderes.
 
So, bevor wieder jemand meckert, dass ich nicht antworte... ;)
Bin eine Weile offline.
 
Und dennoch hast du in den Netzwerkeinstellungen PPoE aktiviert? Musst du nicht. DHCP im TCP/IP-Reiter aktivieren sollte völlig ausreichen - gesetz dem Fall, dass du den DHCP-Server des Routers aktiviert hast.
 
Okay,
hier sieht man nun einige Dinge:
  1. Dein "Router" arbeitet nicht als Router sondern als DSL Modem (ist das zufällig ne FritzBox? [edit:] Schon gelesen: ad hat aber Recht, du bist per PPPoE direkt mit dem Internet verbunden[/edit])
  2. Es läuft ne Menge Datenverkehr über eine bestimmte Adresse, die vermutlich in USA lokalisiert ist.

Um diesen Datenverkehr zu unterbinden kannst Du einen entsprechenden Eintrag in der ipfw anlegen. Das ist aber nur eine Notlösung, Du solltest versuchen herauszufinden, woher dieser Datenverkehr kommt.

Code: 
sudo ipfw add 02000 deny ip from 63.209.100.241 to any in
sudo ipfw add 02001 deny ip from any to 63.209.100.241 out
Damit sollte der Traffic zunächst mal gestoppt werden.
Die Regeln werden bei einem Neustart gelöscht.
Falls also irgend etwas nicht mehr geht -> Neustart.

Vor Du die Regeln eingibst, gib ruhig mal die IP Adresse im Browser ein, damit Du siehst, mit was für einer Junk Seite Du dauerhaft verbunden bis.

Ich hoffe, das hilft fürs erste.

[edit:]die andere Adresse, die man sieht ist die reverse lookup Adresse, der IP Adresse, die er vom Provider bekommen hat.[/edit]
 
BTW:

wohin ist eigentlich qwertzy0815 verschwunden?
RFCs lesen? (SCNR :D)
 
Hi,

dann schalte mal zum Test LDAP und SMB aus.

Viele Grüße
Olli
 
@OliverM

Wo siehst Du in dem Datenstrom irgendwelche SMB oder LDAP Daten?
Ich seh nur HTTP (Safari ist aus) und ein paar domain (=DNS) Pakete.
 
maceis schrieb:
@OliverM

Wo siehst Du in dem Datenstrom irgendwelche SMB oder LDAP Daten?
Ich seh nur HTTP (Safari ist aus) und ein paar domain (=DNS) Pakete.
Zum Vergrößern anklicken....

Ich war nur zu langsam. Die Antwort galt einem Posting vorher.


Grüße
Olli
 
Bin grad erst hier dazugekommen und will jetzt nicht alle 11 Seiten lesen, aber hast du sicher alle widgets geschlossen? Ich hatte mal ein widget (traffic stats oder so ähnlich) welches permanent 10Kb down und 5Kb up-traffic verursacht hat. Falls du die Frage schon beantwortest hast, meinen Post einfach ignorieren ;-)
 
Äh, vielleicht wurde es schonmal gefragt, aber ist vielleicht ein Firlesharing Daemon aktiv?

Viele Grüße
Olli
 
OT: Den Günni könnten sie gut in den nächsten Tatort-Folgen gebrauchen. Der hält den Spannungsbogen durch geschickt platzierte Abwesenheit mächtig aufrecht! :D
 
HeroProtagonist schrieb:
Habe mir gerade cstat widget installiert, um den DSL traffic zu überwachen.
Zum Vergrößern anklicken....

Würdest du mir bitte mal den genauen Link zu genau diesem Programm geben? Ich kann leider nix finden. Und das an anderer Stelle genannte Widget scheint nicht so ganz toll zu sein.
 
Du musst dich einloggen oder registrieren, um hier zu antworten.
Zurück
Oben Unten