Detected conflict by ARP respons?

Question

[Игорь Круглов]

Коллеги, вообще не могу сообразить и найти информацию.
Итак стоит маршрутизатор Микротик RB2011iL, он занимается DHCP, в одну подсеть, и держит на CAMsMAN две радио точки.
Недавно провайдер что то менял в оборудовании и я стал видеть при включении WinBox оборудование других компаний.



А дальше я стал видеть в логах ошибку:

Detected conflict by ARP response for 192.168.1.200 from 74:4D:28:4F:85:9D
Detected conflict by ARP response for 192.168.1.201 from 74:4D:28:4F:85:9D
Detected conflict by ARP response for 192.168.1.202 from 74:4D:28:4F:85:9D

И так далее.
В DHCP все свободные IP забились устройствами с нулевым MAC



Чё происходит я не понимаю, где дырка в сети? :(

Comments

[Gansterito]

Winbox запускается из локальной сети?
Кабель от провайдера включен в отдельный порт MikroTik, который не объединен в Bridge с другими портами?

[graf_Alibert]

Неплохо бы посмотреть на конфигурацию микротика и на схему сети (с портами и учетом аплинка)

Answer 1

[ElxkoT]

Выглядит так, будто линк от провайдера заходит в вашу локальную сеть

Comments

[Артём]

Тогда бы у автора пропал интернет, и он бы это заметил. Пока что больше похоже на атаку-истощение DHCP сервера. И ещё бы я сменил пароль от Wi-Fi

[ElxkoT]

Артём, пропадание (или не) интернета зависит от того, насколько провайдеру не пофиг на кривые конфигурации у абонентов. Да и с чего бы вдруг у него тогда в Winbox стали бы светиться чужие желёзки? Очевидно, какие-то беды с тем, что внешний L2 каким-то образом просачивается внутрь. Я бы всё же начал с того, что проверил бы, в какой порт входит провайдерский линк. По-хорошему, порт, куда он входит, НЕ должен быть в одном бридже с LAN-портами. Желательно, чтобы он вообще не был в бридже.

[Игорь Круглов]

В общем мутная история, у нас взламывали офисы, ничего не украли и т.п.
Затем я три недели в свободное время пытался разобраться что за лишняя нагрузка на коммутаторы и микрот идёт, а потом чисто случайно увидел в многочисленных логах ARP конфликт, а потом чисто случайно выдернув кабель ethernet из компа увидел что пинг на этот комп всё еще идёт, я что то понял..
Попросил сходить с провайдером к стойке где стоит наш коммутатор (увы у себя не можем поставить, монополия БЦ и тп), и увидел что в нашем коммутаторе висит новый патчкорд идущий куда то в провайдерскую сеть...
пипец.
По итогу я точно уверен что было ARP отравление и т.п.
ну естественно сейчас микрот в ружиме reply-only а dhcp в режиме static-only...
Потому что следить за нашим коммутатором у провайдера нет возможности, 10 кругов ада надо пройти что бы прийти физически в серверную их.

Answer 2

[Юрий MikroTik]

Порт оператора в одном бридже с lan портами?
Скорее всего это так и нужно убрать.

Answer 3

[osada]

Если вам провайдер выдали инет по определенному VLAN, то, как вариант, он мог ошибочно в этот VLAN вставить дополнительно свою подсеть или подсеть какого-то еще клиента.

Answer 4

[Игорь Круглов]

Спасибо за комментарии, собственно мы столкнулись с ARP отравлением, провайдер накосячил и соединил нашу внутреннюю сеть с внешней, а этим кто то воспользовался..

Comments

[graf_Alibert]

Как такое вообще возможно? Оборудование провайдера и ваше где то пересекается?

[ElxkoT]

graf_Alibert, в серверной офисного центра, например. У нас миллион (ну почти) таких абонентов