Onderwerp: Sniffing & traffic calculatie

We hebben al enige tijd discussie met een klant over nacalculatie van traffic.
Volgens de klant zijn de meetgegevens niet correct
In een poging om zijn beweringen te staven begint de klant te sniffen. Daarna stelt hij dat er paketten die niet bestemd zijn voor 'm op zijn server arriveren waardoor de traffic-calculatie incorrect zou zijn en bovendien beschuldigt hij ons van nalatigheid en configuratiefouten.
Het gaat om een enkele co-locatieserver in een IP range en VLAN gedeeld met andere gelijkaardige klanten. Uiteraard kan hij sniffen en hij zorgt er dan ook zelf voor dat verkeer niet voor 'm bestemd op zijn server beland.

Volgens mij is er niets mis om kleine klanten te groeperen in een IP range, of heeft hij een punt?
Hebben jullie misschien ervaringen met dit soort discussies? Zou het eigenlijk strafbaar zijn wat hij doet (sniffen)?

Als leverancier mag je afspraken met je klant maken
dat sniffen verboden is.

Wat hij doet is namelijk hetzelfde als afvangen van bijvoorbeeld email
volgens mij is dit bij wet verboden.

Zie het al je buurman die jouw post meeleest.

Het sniffen moet gewoon kunnen. De switch waaraan die zit zou alleen verkeer voor hem en broadcasts op dat poortje moeten zetten. Alleen dit verkeer zou die dus maar kunnen zien.

Maar wat voor verkeer heeft die het over wat niet voor hem is, komt toch bij zijn server. Dit kan namelijk alleen maar broadcast verkeer zijn. En hoeveel verkeer is dit dan.
Als er windows machines in het zelfde VLAN/subnet zitten, kan het broadcast verkeer soms aardig oplopen, maar ook weer niet echt noemens waardig.

Dus welk verkeer krijgt de klant wel, maar zou niet voor hem zijn?

Als hij met anderen in hetzelfde vlan zit, dan is er natuurlijk een grote kans dat hij broadcasts ontvangt die zijn rekening onterecht verhogen.
Ik kan me voorstellen dat de klant een punt heeft...

Als je per MB factureert zou dat iets uitmaken ja.

Wij meten het verkeer op de firewall per ip-adres. Op die manier betalen de klanten ook niet voor verkeer dat ze tussen hun eigen servers hebben.

Als je geen firewall zou hebben kan je het nog altijd meten op je router.

Het gaat ‘m niet echt om het broadcastverkeer, wat inderdaad niet zoveel is.
Hij zet zijn NIC in promiscuous mode en kan zo wat verkeer onderscheppen bestemd voor andere IP’s in hetzelfde VLAN (FTP, mail, paswoorden, ...).

Hij beweert dat;
- Dat verkeer sowieso wordt geteld, ookal zit hij niet in promiscuous mode.
- Wij een fout maken waardoor het onderscheppen mogelijk is en wij dus nalatig zijn

We meten de switchpoort uit, dus niet op niveau van de router of firewall.

Hij kan z'n netwerkkaart in welke modus zetten dan ook, de switch moet er voor zorgen dat alleen broadcast verkeer of verkeer dat voor zijn mac-adres bedoelt is over dat poortje gaat, vlan of niet, tenzij het geen switch maar een hub is.

Heeft een van de andere clients misschien het broadcast adres als gateway ingesteld?

Oorspronkelijk geplaatst door cypres

Hij zet zijn NIC in promiscuous mode en kan zo wat verkeer onderscheppen bestemd voor andere IP’s in hetzelfde VLAN (FTP, mail, paswoorden, ...).

Nee, dat kan niet!. De switch moet het verkeer namelijk nog steeds op dat poortje zetten, dus die bepaald welk verkeer er naar die nic verzonden wordn. Dus met alleen de nic op promiscuous zetten zul je echt niet al het verkeer krijgen.

Oorspronkelijk geplaatst door cypres

Hij beweert dat;
- Dat verkeer sowieso wordt geteld, ookal zit hij niet in promiscuous mode.

Dat is afhankelijk waar je meet.

Oorspronkelijk geplaatst door cypres

- Wij een fout maken waardoor het onderscheppen mogelijk is en wij dus nalatig zijn

Het alleen in promiscuous geeft je geen extra verkeer wat toch al niet langs zal komen. Dat maakt dus geen verschil.

Welk verkeer krijgt die dus langs wat er niet langs zou moeten komen. Laat de klant maar met data komen.

Oorspronkelijk geplaatst door gjtje

Heeft een van de andere clients misschien het broadcast adres als gateway ingesteld?

Ik heb het zelf even geprobeerd dmv een snif in promiscuous mode.
Ik kan bv HTTP en FTP verkeer zien van en naar bepaalde IP's (maar lang niet alles).
De zaken die ik kan onderscheppen lijken inderdaad steeds van een bepaalde klant te zijn.

Het instellen van het broadcast-adres als gateway kan zo'n verschijnsel veroorzaken?

Oorspronkelijk geplaatst door cypres

Ik heb het zelf even geprobeerd dmv een snif in promiscuous mode.
Ik kan bv HTTP en FTP verkeer zien van en naar bepaalde IP's (maar lang niet alles).
De zaken die ik kan onderscheppen lijken inderdaad steeds van een bepaalde klant te zijn.

Het instellen van het broadcast-adres als gateway kan zo'n verschijnsel veroorzaken?

Nu kan ik me niet voorstellen dat iemand zijn gateway op het bc adres zou instellen, maar dan kun je volgens mij inderdaad je switch degraderen tot een hup. Bad stuff, want daar koop je een switch dus niet voor.

Ik heb even met de klant wiens verkeer te sniffen was contact opgenomen.
Blijkbaar had hij een verkeerde subnet mask.. Zijn range is x.x.x.0/27 en hij had 255.255.255.0 als subnet mask. Hij broadcast dus naar .255 ipv .31, maar ik begrijp nog steeds niet hoe dat als gevolg heeft dat het verkeer wordt gebroadcast naar overal binnen hetzelfde VLAN.

Oorspronkelijk geplaatst door cypres

Ik heb even met de klant wiens verkeer te sniffen was contact opgenomen.
Blijkbaar had hij een verkeerde subnet mask.. Zijn range is x.x.x.0/27 en hij had 255.255.255.0 als subnet mask. Hij broadcast dus naar .255 ipv .31, maar ik begrijp nog steeds niet hoe dat als gevolg heeft dat het verkeer wordt gebroadcast naar overal binnen hetzelfde VLAN.

Als de andere klanten met ieder ook een /27 oid de instellingen goed hebben staan, zou die ene klant dus broadcasten naar .255, maar dat zou dan dus door de andere genegeerd moeten worden.

Andersom broadcasten de andere klanten wel naar 'hun eigen' broadcastadres, waardoor dat niet bij je ene klant uit zou mogen komen.

Tenzij al je klanten de verkeerde instellingen gebruiken, zou dit dus niet moeten kunnen.