Auteur Sujet: [SUIVI] K-Net/Covage 14 - Problèmes APIPA, mDNS et spam DHCPv6  (Lu 40993 fois)

0 Membres et 1 Invité sur ce sujet

pju91

  • Abonné Free fibre
  • *
  • Messages: 878
  • 91
Merci pour ton retour de spécialiste :)
Voir pour ce qui te concerne par exemple : https://fibre.guide/deploiement/rip/fibre-calvados-normandie. On y lit :
Citer
Les investissements représentent 170 millions d’euros, dont 96 millions d’euros de participation publique (Département, Région, État et Union européenne).
C'était vrai à la date de rédaction, je ne sais pas de quand date cette page, les montants ont pu évoluer.

Le reste est donc de l'investissement privé, avec financement par les actionnaires investisseurs (voir par exemple à qui appartenait Covage avant le rachat par SFR) et des emprunts auprès d'établissements bancaires, garantis ou pas par les collectivités délégantes.


bolemo

  • AS2027 MilkyWan
  • Professionnel des télécoms
  • *
  • Messages: 1 625
  • Grandcamp Maisy (14)
24/05 7h40 : fin de l'incident DHCPv6

bolemo

  • AS2027 MilkyWan
  • Professionnel des télécoms
  • *
  • Messages: 1 625
  • Grandcamp Maisy (14)
Alors le paquet magique (envoyé toutes les 3 minutes) semble bien fonctionner…

À part quelques brèves émissions APIPA irrégulières pendant l'incident DHCPv6, je ne vois plus de fuites de type APIPA venant de K-Box.

Maintenant, pourquoi le fait d'envoyer un ARP Request en broadcast depuis 00:26:86:00:00:00 résout ce problème ? C'est un mystère…
Je soupçonne que cela provoque une réponse locale au sein de la K-Box qui croit recevoir une demande de son SoC Quantenna (réponse qui elle ne fuit pas mais remet des choses en place). C'est comme si le SoC Quantenna de ces K-Box envoyait les ARP Request au mauvais endroit ou de mauvaises requêtes, et que celui que j'envoie arrive lui au bon endroit.
Probablement donc une histoire de routage interne dans la K-Box… (le problème avec ebtables)

Cela règle-t'il la fuite en soi ou simplement l'émission de paquets APIPA… je ne sais pas.

Ce paquet ne fait rien par rapport aux fuites mDNS que je vois : je vois toujours les fuites mDNS de clients avec K-Box (des fuites venant de leur LAN, les mêmes que celles reportées il y a quelques mois…)
Ici, K-Box qui fuie ou LAN mal conçu ? Pareil, je ne sais pas…

Le paquet magique « stop » pour APIPA qui semble donc arrêter toutes les fuites APIPA venant de K-Box dans la collecte :
ff ff ff ff ff ff
00 26 86 00 00 00
08 06
00 01 08 00 06 04
00 01
00 26 86 00 00 00
A9 FE 01 03
00 00 00 00 00 00
A9 FE 01 01
00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00

Après cela, hors K-Box, il y a quand même :
– 5 appareils Synology qui fuient en mDNS sur le WAN  :-[ (à priori des routeurs…)
– Un appareil Niko NV qui n'est à priori pas un routeur, donc ça vient soit d'un LAN mal conçu ou qui fuit (K-Box fuyant ?)
– Un appareil Asus
– Un appareil Belkin avec une importante fuite permanente mDNS (1,7 paquets par seconde)
– et ce mystérieux appareil 00:11:33:55:77:cc (et :bb)
« Modifié: 25 mai 2022 à 14:19:52 par bolemo »

pju91

  • Abonné Free fibre
  • *
  • Messages: 878
  • 91
Alors le paquet magique (envoyé toutes les 3 minutes) semble bien fonctionner…
À part quelques brèves émissions APIPA irrégulières pendant l'incident DHCPv6, je ne vois plus de fuites de type APIPA venant de K-Box.
Tant mieux !
En espérant que ça arrête aussi les paquets avec des adresses LAN "régulières" en 192.168/16.
Maintenant, pourquoi le fait d'envoyer un ARP Request en broadcast vers 00:26:86:00:00:00 résout ce problème ? C'est un mystère…
Heuu pour moi c'est depuis 00:26:86:00:00:00
- source Ethernet dans l'entête Ethernet
- sender MAC address dans la requête ARP.
Je soupçonne que cela provoque une réponse locale au sein de la K-Box depuis le SoC Quantenna (réponse qui elle ne fuit pas mais remet des choses en place). C'est comme si les K-Box envoyaient les ARP Request au mauvais endroit ou de mauvaises requêtes, et que celui que j'envoie arrive lui au bon endroit.

Cela règle-t'il la fuite en soi ou simplement l'émission de paquets APIPA… je ne sais pas.
difficile à dire effectivement
Ce paquet ne fait rien par rapport aux fuites mDNS que je vois : je vois toujours les fuites mDNS de clients avec K-Box (des fuites venant de leur LAN, les mêmes que celles reportées il y a quelques mois…)
Ici, K-Box qui fuie ou LAN mal conçu ? Pareil, je ne sais pas…
Ces paquets MDNS "fuyards" présentent moins de risques d'affecter le bon fonctionnement des clients de K-Net.
Après cela, hors K-Box, il y a quand même :
– 5 appareils Synology qui fuient en mDNS sur le WAN  :-[ (à priori des routeurs…)
– Un appareil Niko NV qui n'est à priori pas un routeur, donc ça vient soit d'un LAN mal conçu ou qui fuit (K-Box fuyant ?)
– Un appareil Asus
– Un appareil Belkin avec une importante fuite permanente mDNS (1,7 paquets par seconde)
– et ce mystérieux appareil 00:11:33:55:77:cc (et :bb)
Tu ne peux rien faire, et les propriétaires de ces équipements ne lisent certainement pas ce forum.


bolemo

  • AS2027 MilkyWan
  • Professionnel des télécoms
  • *
  • Messages: 1 625
  • Grandcamp Maisy (14)
Tant mieux !
En espérant que ça arrête aussi les paquets avec des adresses LAN "régulières" en 192.168/16.Heuu pour moi c'est depuis 00:26:86:00:00:00
- source Ethernet dans l'entête Ethernet
- sender MAC address dans la requête ARP.difficile à dire effectivementCes paquets MDNS "fuyards" présentent moins de risques d'affecter le bon fonctionnement des clients de K-Net.Tu ne peux rien faire, et les propriétaires de ces équipements ne lisent certainement pas ce forum.

Oui oui, c'est bien depuis, je corrige…
Merci d'avoir remarqué la bévue  ;)

Sinon, pour les paquets avec les adresses régulières 192.168… ils sont toujours là, c'est justement les fuites mDNS passant par la K-Box 00:1e:80:9b:2f:90…

pju91

  • Abonné Free fibre
  • *
  • Messages: 878
  • 91
Sinon, pour les paquets avec les adresses régulières 192.168… ils sont toujours là, c'est justement les fuites mDNS passant par la K-Box 00:1e:80:9b:2f:90…
Tu as déjà vu autre chose que du mDNS, par exemple lors des analyses faites sur l'incident de superpicsou :
https://lafibre.info/k-net-internet/perte-de-la-resolution-des-dns-mac-ocs/msg943522/#msg943522

bolemo

  • AS2027 MilkyWan
  • Professionnel des télécoms
  • *
  • Messages: 1 625
  • Grandcamp Maisy (14)
Tu as déjà vu autre chose que du mDNS, par exemple lors des analyses faites sur l'incident de superpicsou :
https://lafibre.info/k-net-internet/perte-de-la-resolution-des-dns-mac-ocs/msg943522/#msg943522

Ça semble plus calme de ce côté là (ARP impliquant 192.168.0.0/16), mais une petit écoute pour laquelle on ignore les APIPA, les mDNS, ce qui est IPv6 ou ARP donne ceci :
root@HERMES:~$ tcpdump -i ethwan -Q in -vvvt 'not (ip6 or arp) and not (ether src 20:e0:9c:53:7a:09 or net 224.0.0.0/16 or net 169.254.0.0/16)' 
tcpdump: listening on ethwan, link-type EN10MB (Ethernet), capture size 262144 bytes
IP (tos 0x0, ttl 64, id 16806, offset 0, flags [DF], proto UDP (17), length 48)
    124-236-59-2.ftth.cust.kwaoo.net.49150 > 255.255.255.255.49152: [udp sum ok] UDP, length 20
IP (tos 0x0, ttl 64, id 55174, offset 0, flags [DF], proto UDP (17), length 78)
    2.59.236.229.netbios-ns > 2.59.239.255.netbios-ns: [udp sum ok] UDP, length 50
IP (tos 0x0, ttl 64, id 55183, offset 0, flags [DF], proto UDP (17), length 78)
    2.59.236.229.netbios-ns > 2.59.239.255.netbios-ns: [udp sum ok] UDP, length 50
IP (tos 0x0, ttl 64, id 55184, offset 0, flags [DF], proto UDP (17), length 78)
    2.59.236.229.netbios-ns > 2.59.239.255.netbios-ns: [udp sum ok] UDP, length 50
IP (tos 0x0, ttl 64, id 55289, offset 0, flags [DF], proto UDP (17), length 78)
    2.59.236.229.netbios-ns > 2.59.239.255.netbios-ns: [udp sum ok] UDP, length 50
IP (tos 0x0, ttl 64, id 55290, offset 0, flags [DF], proto UDP (17), length 211)
    2.59.236.229.netbios-dgm > 2.59.239.255.netbios-dgm: [udp sum ok] UDP, length 183
IP (tos 0x0, ttl 64, id 46991, offset 0, flags [DF], proto UDP (17), length 78)
    128-239-59-2.ftth.cust.kwaoo.net.netbios-ns > 2.59.239.255.netbios-ns: [udp sum ok] UDP, length 50
IP (tos 0x0, ttl 64, id 17500, offset 0, flags [DF], proto UDP (17), length 48)
    124-236-59-2.ftth.cust.kwaoo.net.49150 > 255.255.255.255.49152: [udp sum ok] UDP, length 20
IP (tos 0x0, ttl 64, id 47090, offset 0, flags [DF], proto UDP (17), length 78)
    128-239-59-2.ftth.cust.kwaoo.net.netbios-ns > 2.59.239.255.netbios-ns: [udp sum ok] UDP, length 50
IP (tos 0x0, ttl 64, id 47091, offset 0, flags [DF], proto UDP (17), length 78)
    128-239-59-2.ftth.cust.kwaoo.net.netbios-ns > 2.59.239.255.netbios-ns: [udp sum ok] UDP, length 50
IP (tos 0x0, ttl 64, id 47188, offset 0, flags [DF], proto UDP (17), length 78)
    128-239-59-2.ftth.cust.kwaoo.net.netbios-ns > 2.59.239.255.netbios-ns: [udp sum ok] UDP, length 50
IP (tos 0x0, ttl 64, id 47189, offset 0, flags [DF], proto UDP (17), length 211)
    128-239-59-2.ftth.cust.kwaoo.net.netbios-dgm > 2.59.239.255.netbios-dgm: [udp sum ok] UDP, length 183
IP (tos 0x0, ttl 64, id 18111, offset 0, flags [DF], proto UDP (17), length 48)
    124-236-59-2.ftth.cust.kwaoo.net.49150 > 255.255.255.255.49152: [udp sum ok] UDP, length 20
IP (tos 0x0, ttl 64, id 18684, offset 0, flags [DF], proto UDP (17), length 48)
    124-236-59-2.ftth.cust.kwaoo.net.49150 > 255.255.255.255.49152: [udp sum ok] UDP, length 20
IP (tos 0x0, ttl 64, id 55796, offset 0, flags [DF], proto UDP (17), length 229)
    2.59.236.229.netbios-dgm > 2.59.239.255.netbios-dgm: [udp sum ok] UDP, length 201
IP (tos 0x0, ttl 64, id 19219, offset 0, flags [DF], proto UDP (17), length 48)
    124-236-59-2.ftth.cust.kwaoo.net.49150 > 255.255.255.255.49152: [udp sum ok] UDP, length 20
PPPoE PADI [Service-Name] [Host-Uniq 0x00]
IP (tos 0x0, ttl 64, id 50061, offset 0, flags [DF], proto UDP (17), length 229)
    2.59.238.177.netbios-dgm > 2.59.239.255.netbios-dgm: [udp sum ok] UDP, length 201
IP (tos 0x0, ttl 64, id 19662, offset 0, flags [DF], proto UDP (17), length 48)
    124-236-59-2.ftth.cust.kwaoo.net.49150 > 255.255.255.255.49152: [udp sum ok] UDP, length 20
IP (tos 0x0, ttl 64, id 20474, offset 0, flags [DF], proto UDP (17), length 48)
    124-236-59-2.ftth.cust.kwaoo.net.49150 > 255.255.255.255.49152: [udp sum ok] UDP, length 20
IP (tos 0x0, ttl 64, id 20708, offset 0, flags [DF], proto UDP (17), length 48)
    124-236-59-2.ftth.cust.kwaoo.net.49150 > 255.255.255.255.49152: [udp sum ok] UDP, length 20
IP (tos 0x0, ttl 64, id 21495, offset 0, flags [DF], proto UDP (17), length 48)
    124-236-59-2.ftth.cust.kwaoo.net.49150 > 255.255.255.255.49152: [udp sum ok] UDP, length 20
IP (tos 0x0, ttl 64, id 22443, offset 0, flags [DF], proto UDP (17), length 48)
    124-236-59-2.ftth.cust.kwaoo.net.49150 > 255.255.255.255.49152: [udp sum ok] UDP, length 20
^C
23 packets captured
1034 packets received by filter
0 packets dropped by kernel

Du NetBios, du PPPoE :o et de l'UDP avec le port 49150 (à priori les mêmes que ceux que j'avais vu en 2020 ICI.

bolemo

  • AS2027 MilkyWan
  • Professionnel des télécoms
  • *
  • Messages: 1 625
  • Grandcamp Maisy (14)
D'ailleurs, les fuites NetBios, elles viennent surtout d'appareils Synology… Les mêmes qui fuient en mDNS (+ d'autres).

Ça donne envie les routeurs Syno  :o

bolemo

  • AS2027 MilkyWan
  • Professionnel des télécoms
  • *
  • Messages: 1 625
  • Grandcamp Maisy (14)
[SUIVI] K-Net/Covage 14 - Problèmes APIPA, mDNS et spam DHCPv6
« Réponse #176 le: 26 mai 2022 à 12:28:36 »
Je viens de remarquer quelque chose :
J'ai retrouvé les IP de tous les appareils qui fuient, et un traceroute m'indique qu'ils sont tous dans le 14… Je pense donc que le jour où les fuites venant des deux freebox et d'autres appareils ont disparues simultanément (le 7 mai), Covage a rendu étanche la collecte 14 par rapport à la collecte 91 (ex-Tutor). C'est déjà ça !

Donc je ne vois maintenant à priori que ce qu'il se passe dans la collecte Covage Calvados (14).
Il y a fort à parier que les fuites, spam DHCPv6 et autres joyeusetés que l'on peut voir sur la collecte 14 existent toujours dans la collecte 91 ex-Tutor, mais je ne suis plus en mesure de le voir.

Sinon, grâce aux IP, j'ai identifié une partie du matériel qui fuit en mDNS… certains sont des moulins à vent (ports http ouverts pour l'administration des routeurs ou NAS, ou encore un Jeedom…) ; d'autres sont en https, d'autres enfin utilisent des listes blanches ou occultent leurs ports. J'ai retrouvé un site web avec un nom d'une personne avec une fuite Syno, je vais essayer de contacter la personne pour l'informer du problème… Les autres, je n'ai pas moyen de savoir qui ils sont, mais j'ai leur MAC, leur IP, les ports ouverts…
« Modifié: 26 mai 2022 à 12:54:13 par bolemo »

Steph

  • Abonné K-Net
  • *
  • Messages: 7 712
  • La Balme de Sillingy 74
    • Uptime K-net
[SUIVI] K-Net/Covage 14 - Problèmes APIPA, mDNS et spam DHCPv6
« Réponse #177 le: 26 mai 2022 à 14:44:26 »
C'est des IP K-net?

bolemo

  • AS2027 MilkyWan
  • Professionnel des télécoms
  • *
  • Messages: 1 625
  • Grandcamp Maisy (14)
[SUIVI] K-Net/Covage 14 - Problèmes APIPA, mDNS et spam DHCPv6
« Réponse #178 le: 26 mai 2022 à 14:47:15 »
C'est des IP K-net?

Oui, je ne vois que des IP publiques K-Net (ou APIPA ou privées venant de LANs), jamais d'autres FAI.

Steph

  • Abonné K-Net
  • *
  • Messages: 7 712
  • La Balme de Sillingy 74
    • Uptime K-net
[SUIVI] K-Net/Covage 14 - Problèmes APIPA, mDNS et spam DHCPv6
« Réponse #179 le: 26 mai 2022 à 14:52:44 »
Transmets les IP à K-net. Ça occupera le support qui s'ennuie un peu en ce moment!  ;)

S'ils peuvent faire cesser ce souk, cela remettrait d'aplomb le 14 pour les microcoupures.
Du coup, il faudrait faire tourner ton outil sur le 91 pour traquer les fuites!?

J'ai du bol sur mon réseau ex-tutor : Je n'ai jamais vu de paquets zarbi sur le WAN.