ULA-Adresse am WAN-Interface

[#1]

Hallo,

ich weiß nicht, ob ich hier richtig bin, aber ich frag mal drauf los

Wie kommt solch eine Anfrage an meinem WAN-Interface zustande:

Sep 15 00:25:56 WAN Block ULA networks from WAN block fc00::/7 (12000) 192.168.1.9:56111 x.x.x.x:22 TCP:S

192.168.1.9 (src), x.x.x.x (dst)

BG

Peter

[#2 · Accepted solution]

Hallo @peter_d,

hier habe ich endlich die Antwort für Sie:

Beim RFC1918 geht es um private IP-Adressen. Private IP Adressen sind im WAN nicht verarbeitbar, da diese Adressen im "Internet" nicht bekannt sind. Sie sind für die Verwendung in privaten Netzwerken vorgesehen (LAN). Generell wird der Verkehr aus dem LAN in Richtung WAN über eine NAT (Network Address Translation) gezogen. Dabei wird die private LAN IP durch die WAN IP Adresse ersetzt. Details dazu findet man auch schnell mit Hilfe einer Suchanfrage.

Um abschließend auf die Frage zu antworten: Private IP Adressen können nicht an der WAN Sst. ankommen, da für diese Adressen kein Routing im Internet erfolgen kann.

Viele Grüße Martina Ha.

[#3]

Hallo @peter_d ,

wo ist denn dein WAN-Interface angeschlossen?

[#4]

Hi,

angeschlossen ist das so:

Internet - Zyxel 3006 (Bridge-Modus) - pfSense (WAN pppoe).

Da die ULA-Adressen zum Teil aus dem 192er und 10er Bereich kommen und definitiv nicht vom Zyxel wundert mich das.

BG Peter

[#5]

@peter_d 

Dann würde ich in dem Fall von einer Fehlfunktion oder fehlerhaften Einstellung der pfSense ausgehen.

[#6]

@wari1957 

Das kann ich ausschliessen. Die erste Default-Regel blockt bei der pfSense rfc1918 Anfragen aus dem Internet, was ja sinnvoll ist. Da diese eigentlich nicht geroutet werden, frage ich mich nur, wie die an-/durchkommen.

Klar, kann man ignorieren, aber...

BG Peter

[#7]

@peter_d 

Wenn ich meine Digitalisierungsbox hinter einen Router hänge, dann sehe ich an der WAN-Schnittstelle private Adressen.

Die Konstellation Router hinter Router hast du aber ja nicht.

[#8]

@wari1957 

Ja, genau, also müssten die Pakete aus dem Telekom-Netz kommen, denke ich. Oder liege ich da falsch?

BG

Peter

[#9]

@peter_d 

Ich habe noch noch nie Pakete mit privaten IP-Adressen aus dem Telekomnetz erhalten.

Aber das will ja nichts heißen.

[#10]

@wari1957 

Ja, seltsam, vielleicht hat noch jemand eine Idee. Aber Danke schon mal.

BG
Peter

[#11]

Hallo @peter_d,

ein Tipp von meiner Seite: Vielleicht können die Kollegen der Computerhilfe Business weiterhelfen. Weitere Informationen findest du unter diesem Link.


Lieben Gruß, Melanie B.

[#12]

Hallo @Melanie B. 

vielen Dank für den Hinweis. Ich brauche hier keine Hilfe, sondern frage mich schlicht, wie RFC 1918 Pakete an der WAN Schnittstelle ankommen. Das könnte nur die Telekom beantworten

BG
Peter

[#13]

Hallo @Melanie B. 

gibt es denn schon neue Erkenntnisse? Weil...diese Pakete hätten bei mir am WAN-Interface z. B. auch nicht ankommen dürfen, denke ich:

Sep 20 17:19:42 WAN block bogon IPv4 networks from WAN (11000) 100.66.62.164:65051 x.x.x.x:445 TCP:S
Sep 20 17:19:45 WAN block bogon IPv4 networks from WAN (11000) 100.66.62.164:65051 x.x.x.x:445 TCP:S

"Rutschen" die, genau wie die ULA-Adressen, einfach so durch?

BG
Peter

[#14]

Hallo @peter_d,

ich frage dazu nach und melde mich spätestens Anfang der nächsten Woche erneut.


Lieben Gruß, Melanie B.

[#15]

@peter_d 

Der IPv4-Bereich 100.64.0.0/10 ist für Provider reserviert, die keine öffentliche IPv4-Adresse anbieten (Carrier Grade NAT).

Die 100.66.62.164 könnte also am WAN-Interface zu sehen sein, wenn dein Provider dir keine öffentliche IPv4 anbietet.

SMB nutzt typischerweise den Port TCP/445.

[#16]

@wari1957 

Hi, ja, ist mir bekannt, ich habe als DeutschlandLan-Kunde aber eine öffentliche IP seitens der Telekom. Da kommen natürlich

auch massenhaft Scans rein, die dürften aber nicht aus dem privaten Adressraum bzw. vom CGN kommen.

So etwas sollte ja nicht ins Internet geroutet werden.

[#17]

Hallo @Melanie B. 

haben Sie schon eine Antwort bekommen?

BG

Peter

[#18]

Hallo @peter_d,

da meine Kollegin Melanie nicht im Haus ist melde ich mich an Ihrer Stelle.

Leider haben wir noch keine Antwort.
Meine Kollegin meldet sich, sofern die Antwort vorliegt.

Viele Grüß Heike Ha.

[#19]

Hallo @Melanie B. @Heike Ha. 

mögen Sie vielleicht nochmal nachfragen?

Beste Grüße

Peter

[#20]

Hallo @peter_d,

ja, ich habe erneut nachgefragt. Tut mir leid für die lange Wartezeit auf eine Antwort.
Ich melde mich erneut.


Lieben Gruß, Melanie B.

[#21]

Hallo @peter_d,

es tut mir leide, dass es hier immer noch keine Antwort gibt. Ich habe gerade noch einmal nachgehakt.

Viele Grüße Martina Ha.

[#22]

Hallo @peter_d,

leider habe ich immer noch nichts Neues und deshalb gerade noch einmal nachgefragt. Ich hoffe, dass wir nächste Woche dann endlich eine Antwort haben.

Vielen Dank für Ihre Geduld.

Viele Grüße Martina Ha.

[#23 · Accepted solution]

Hallo @peter_d,

hier habe ich endlich die Antwort für Sie:

Beim RFC1918 geht es um private IP-Adressen. Private IP Adressen sind im WAN nicht verarbeitbar, da diese Adressen im "Internet" nicht bekannt sind. Sie sind für die Verwendung in privaten Netzwerken vorgesehen (LAN). Generell wird der Verkehr aus dem LAN in Richtung WAN über eine NAT (Network Address Translation) gezogen. Dabei wird die private LAN IP durch die WAN IP Adresse ersetzt. Details dazu findet man auch schnell mit Hilfe einer Suchanfrage.

Um abschließend auf die Frage zu antworten: Private IP Adressen können nicht an der WAN Sst. ankommen, da für diese Adressen kein Routing im Internet erfolgen kann.

Viele Grüße Martina Ha.

[#24]

Hallo @Martina Ha. 

vielen Dank für Ihre Antwort. Der erste Teil war mir klar. Es kommen aber definitiv(!) vereinzelt Pakete mit RFC-1918-Adressen von außen am WAN-Interface an. Das so etwas nicht passieren sollte/darf weiß ich, nur _warum_ das so ist, ist mir ein Rätsel.

Da es in unregelmäßigen Abständen und nicht sehr oft passiert, mag ich jetzt auch nicht den ganzen Traffic tracen, sondern verlasse mich da mal auf das Logfile der Firewall.

Falls hier jemand mitliest und meine Neugier befriedigen kann, freue ich mich über eine Lösung des Rätsels.

[#25]

Nachtrag: Das es sich bei den RFC1918-Adressen um gespoofte Adressen handelt, davon gehe ich mal ganz stark aus. Aber wie finden diese den Weg durchs Netz, das ist hier die Frage.

[#26]

Hallo @peter_d,

es soll definitiv nicht so sein. Also so pauschal werden wir da keine Antwort bekommen.

Meine Kollegin Melanie hatte ja schon einmal auf die Computerhilfe hingewiesen. Hier müsste dann wirklich einmal genauer geschaut werden, warum das so zustande kommt.

Viele Grüße Martina Ha.