Un pequeño lugar donde compartir, aprender y divertirse.

No me das muchos datos, así que vamos por partes:

hace ya tiempo que -sP es obsoleto (la sintaxis), desde hace un tiempo se usa -sn,aunque el escaner es exactamente el mismo. Personalmente creo qeu se cambió para precisamente no confundir con un escaner ping.

Aunque el mismo nmap dice que se trata de descubrimiento de equipos por ping, esto NO ES CIERTO. -sn (o -sP) en realidad es un sistema para descubrimiento de host basados en ARP, no en paquetes ICMP ping. Esto es muy importante, pq no tiene absolutamente nada que ver una cosa con la otra. -sn lo que realiza es una petición ARP de todos los hosts especificados. Por ejemplo

nmap -sn 192.168.0.1/24

Lo que realizará será enviar una petición ARP a cada una de las 256 direcciones, desde la 192.168.0.0-192.168.0.255. Si sabes que es ARP perfecto, sino el capítulo tercero explicaba perfectamente que es.

Estas peticiones ARP se envían a la dirección MAC de broadcast, es decir ff:ff:ff:ff:ff:ff:

mensaje ARP: Quien es la IP 192.168.0.x? -> enviar a todos los equipos de la red, contestar a equipo CarlGarcia (con IP tal y MAC tal). Si por ejemplo el host con ip 0.5 está en la red conectado y en linea, cuando reciba la petición ARP para la IP 0.5 responderá con una respuesta ARP al host que realizó la petición, con lo que el host que realizó el escaner tendrá respuesta por cada uno de los host que RESPONDIERON.

Ahora bien. Que puede estar pasando? Dos puntos interesantes:

-los mensajes ARP se envían a toda la red, son visibles para TODOS
-Hoy por hoy todos tenemso Switchs, con lo que si un hosts se encuentra disponible (a menos que esté configurado para no responder a paquetes ARP, lo cual es muy pco probable) contestará de manera fial.

Si unimos estaos dos premisas yo sacaría en claro lo siguiente:

El router.

Una de tres:

1º. No había en dicho momento ningún host conectado a la red y la caché ARP del router contestó a cada una de las peticiones como si fuese el mismo todos los hosts. No conozco ningún router que se comporte así, pero supongo que podría ser configurado para tal fin. No creo que sea esta de todos modos la respuesta correcta

2º. Todo el tráfico de la red local está siento “rutado”, es decir, pasado por el router. En teoría, en las redes de hoy en día tenemos Switchs, que por decirlo de algún modo (aun no tengo terminado el capítulo 4º) conectan directamente los dos equipos que tienen que entablar la comunicacion. La teoría dice que a una peticion ARP, la respuesta irá directamente al host que realizó la petición, sin pasar por el router, directamente gracias al Switch. Si no es el caso primero, lo que nos quedaría es que todo el tráfico estaría entrando en el router, lo que me dice que sería algún Switch con prestaciones avanzadas que permitiese la separación de cada uno de sus puertos.

Este ultimo sistema tan solo puede ser util en grandes redes en las que no se permiten además la comunicación entre dos hosts, así cada host está completamente aislados de la red: Host aislados, redes grandes, dispositivos relativamente avanzados… todo ello me haría pensar en una red pública tipo… ¿una red de alguna Universidad tal vez? Quizás una biblioteca… cosas así, donde se desea dar acceso a muchas personas pero eliminando la red local.

3º. Y por último, que el propio Switch tuviese alguna protección para el envenenamiento ARP y que a partir de X peticiones ARP él mismo las desechase y entregase simplemente una MAC cualquiera (Suya, del router…), aunque no es algo normal, recordemos

De las tres opciones yo me quedaría con la 2º. En realidad no hay que ser tan estricto y decir que no hay comunicación entre dos equipos, es simplemente lógica. Si todo pasa por el router, la sobrecarga de este sería brutal, pensemos por ejemplo en que 10 host estén transfiriendo archivos de unos a otros como locos… TODO pasaría por el router!! Yo apuesto por la segunda

Se me está ocurriendo que podría ser tb una red bastante más amplia, y que estés intentando escanear un segmento de tu ISP, a fin de cuentas muchos ISP en todo el mundo usan redes “LAN” entre todos sus clientes para proporcionar acceso a internet. Es decir… cientos miles de clientes conectados todos a una red, y los equipos del ISP son los que una vez en ellos multiplexan y rutean los datos de todos los clientes.. quizás alguna cablera o algun ISP que brinde servicios a través de redes inalámbricas.

Pero aun así, la explicación sería la mismal, el punto segundo.

Es evidente que algo sucede. Si dichas IPs están activas es que algo o alguien hay detrás de ellas. Se me ocurren varioas opciones:

La primera opción que me viene a la cabeza es simplemente que están robándote la conexión WIFI, solucionar esto es tan simple como asegurarte que usas una protección firme, WPA2-PSK y una contraseña decente, una frase mejor que una palabra, del tipo: “tengo ganas de irme a comer a casa”. Si estás en uan zona “interesante” y con WIFI sin seguridad o una seguridad pobre, es muy común configurar routers que roban la conexion para alimentar a otros equipos.

La segunda opción es que el router por el motivo que sea tenga la caché ARP mal. Dices que has limpiado el caché ARP del equipo, pero en realidad no el del router. En teoría, el escaner de ping que hace nmap lo realiza por ARP, lo cual significa que en teoría las respuestas tendrían q darlas los host en concreto y no el router. Lo cierto es que algunos routers pueden estar configurados para responder ellos, aun cuando la “pregunta” no vaya hacia ellos. LA caché arp de los routers suele ser restablecida con un reinicio… aunque solo es un “suele”.

La tercera opción y más graciosa sería en realidad rastrear. Lo ideal es que tu router permitiese acceso por telnet o SSH y ejecutase busybox o similar para poder tener herramientas a disposicion. Si fuese posible, se podría ver una a una todas las conexiones entradas salientes, la tabla de rutas, la tabla ARP, las direccionese asignadas por DHCP, limpiarlas… todo.

Mencionas que el tráfico que tienen dichas IPs lo has comprobado y es todo a la IP 1.255, es normal. Casi con toda seguridad tu router lo que dispones es de un Switch interno, y no un hub, lo que quiere decir qeu tu PC tan solo puede ver el tráfico entrante/saliente de tu PC Y aquel tráfico que va destinado a broadcast y multicast. La ip 1.255 es la direccion de broadcat de tu red, y es por ello por lo qeu puedes ver dichos paquetes, lo cual no significa que sea el único tráfico q dichos equipos tienen. Para poder ver algo más, te insto que leas el último capítulo sobre sniffing, q intentaré publicar entre hoy y mañana (lo tengo ya terminado).

De todos modos abogo por un robo WIFI como opción más probable. Si quieres algo más, por aquí ando.

Un saludo.

Buenas de nuevo.

VAmos a ver, el tema de MAC Spoofing es simplemente una opcion q permite modificar por software la MAC del router. Efectivamente la MAC es grabada en fábrica a todos los dispositivos de red, incluidos routers. No obtante, es muy común tener una opción para alterarla. ¿Por qué? Sobre todo por las cableras. Generalmente, tecnologías como ADSL, las autentificaciones a la red se hacen por medio de protocolos como PPPoE que requieren un nombre de usuario y contraseña, además de que cada linea DSL es única, va desde tu casa a la centralita. Pero las cableras no funcionan así!! el mismo cable de fibra lo comporten decenas o centenas/miles de usuarios que se encuentran dentro del mismo bucle. Como sabe el ISP entonces la velocidad de conexion de cada uno y los servicios contratados? por la MAC del modem generalmente. El problema es que imagínate que cambias el hardware de ellos, otro router posiblemente no te funcionaría, pq la línea está asociada a una MAC concreta. Aquí es donde la opción de tu router llamada Mac Spoofing (otros la llaman clonar MAC) juega un papel crucial.

Por mucho que el router esté cascado, evidentemente el router tiene que sacar las IPs de algún sitio. En realidad no debería de ser muy cimplicado, pq no hay muchos sitios por los cuales el router puede asignar IPs a equipos, y menos si estos tienen nombre!!:

-WIFI: Cualquier cliente WIFI tendrá uan IP asociada. Para asegurarte que este no es el problema, tan fácil como deshabilitar wifi, reiniciar el router y comprobarlo de nuevo
-Conexiones Ethernet: Esto es aun mas facil de comprobar, tan solo hay que mirar cuantos equipos están conectados por cable
-Interfaces Internas: Muchos routers tienen interfaces internas que no salen al exterior, pero que se usan para ciertos menesteres. Es cierto qeu lo común son las interfaces de loopback y alguna más, pero siempre es bueno ver cuales son las q tiene el router, es aquí donde el acceso por telnet o SSH sería muy util, un simple “ifconfig” nos daría todo lo necesario. A lo mejor alguna función IPv6 está reservando o generando para uso externo algunas IPs,
-VPN: Otra posibilidad son las VPN. Si el router actua como servidor de servicios PPPT, L2PT, IPSec, OpenVPN… cualquier PC podría estar conectado a la red interna del router desde el exterior, dado que el router les asignaría una IP propia dentro de su red. Comprobar esto no debería de ser complicado, acceder al router y ver si posee cualquier función de VPN (redes privadas virtuales) habilitada

Como te digo, de todos modos se puede saber el tráfico exacto que están teniendo dichas IP, y con ello saber si realmente tienen acceso a la red o simplemente están inactivas. Para empezar, un escanar de puertos con nmap a esas IPs no estaría mal: “nmap IP” sería suficiente, o si quieres obtener mas información “nmap -A IP”. Con un listado de puertos abiertos te haces una idea perfectamente de que tipo de equipo es o si es real o no real.

Y si todo ello falla, como te digo se puede ser un poco más “malo” y usar Wireshark para sniffar no solo tu tráfico, sino el de toda la red ;), aunque ello sea usar métodos más… invasivos.

Bueno, sin darme más información, supongo que si aplicamos la navaja de Ockham tu problema no debería de ser la clonación de MAC, sino una mala configuración de tu router ADSL.

Si bien has dicho, estás conectando un router a una puerta de enlace residencial, presupongo que con la intención de usar como router el segundo, y no el primero. No obstante para poder realizar dicha conexión, la puerta de enlace residencial (el router/modem ADSL) debe de configurarse para usar tan solo el modem de este, opción que no comportan la mayoría de routers/modem ADSL. Esta opción suele llamarse modo bridge (puente) en estas puertas de enlace o PPP Passthrough (aunque esto último no es exactamente igual). En otros modelos podemos encontrar opciones para deshabilitar NAT y el firewall interno, lo cual en parte realizaría la misma función que el modo “puente” antes dicho.

De lo contrario, si se conecta un segundo router sin esto, los conflictos pueden ser enormes si no se configuran ambas redes correctamente. Sería necesario configurar ambos routers en redes diferentes, habilitar DMZ en el primer router para el segundo, etc etc.

Evidentemente cada modelo de conexión tiene sus pros y sus contras. En el primer modelo, el modem/router tan solo se usaría de modem, ni como punto de acceso WIFI ni para poder conectar otros equipos, pero en cambio todas las funciones serían llevadas a cabo por el segundo router, quien posiblemente tendría q configurarse como cliente PPPoE/PPPoA. El segundo esquema produce más dolores de cabeza, pero a cambio tb se gana la posibilidad de expandir de forma más eficaz la red, pudiendo dotar de conexión a cualquier equipo conectado al router 1 o al router 2.

Personalmente, para una red domésticas, abogo mucho más por el primer esquema, aunque el segundo bien configurado no debería de dar tampoco problemas. Para gusto colores

Edito: Si quieres algo más conciso, tendría que sber marca/modelo de ambos dispositivos, de la puerta de enlace residencial y del router

Hasta donde yo se, Jazztel la IP fija la asigna solo previo pago, así que lo primero sería saber si tienes IP fija o dinámica. Si es dinámica no entiendo como el Netgear confunde esto.

Por otro lado, de nuevo hasta donde yo sé, Jazztel no hace uso de las MAC del equipo para nada, pero si ves que tienes problemas podrías intentarlo por supuesto.

Hay varias opciones.

El Comtrend que me dices creo que tiene la opción de hacerse cargo de toda la autentificación PPPoE y pasarla directamente al Netgear, teniendo q configurar este último tan solo como en obtener la IP de forma automática. Para ello (y hablo tan solo de memoria) sería suficiente con configurar el primero prácticamente tal como estaba, pero en la configuracion PPPoe habilitar PPP IP extension o PPP passthrough (puedes probar con uno o con otro). Ambos modos son parecidos, digamos que pppoe passthrough suele usarse cuando tenemos más de una IP publica comprada a nuestro ISP por la misma conexion, aunque el resultado en este caso sería el mismo. Evidentemente, tanto NAT como el firewall habría que dejarlo deshabilitado.

CLonar la MAC? No se si realmente será necesario, pero si lo es, la mejor forma de ver que MAC necesitas es accediendo por telnet al modem y hacer un ifconfig para listar todas las interfaces disponibles (creo que el comtrend posee BusyBox, con lo que podrías usar el comando citado). Una vez hecho, tan solo tienes que clonar en teoría la que esté asociada a la conexión WAN que tengas creada (posiblemente no será ni lo, ni ethX ni brx, ni wlx)

Si es posible lo que dices, al usar PPP IP extension es el modem quien recibe directamente la IP púlica (junto a las DNS), NO el router. Sinceramente no caí en ello, puesto que siempre siempre tomo la precaución de especificar manualmente las DNS, jamás dejo que estas sean asignadas de manera automática por el ISP, precisamente por posibles herrores.

Dices que en modo bridge no lograste que funcionase? Es extraño, o es alguna opción del cliente pppoe del router (cosa que dudo) o a saber.

En cuanto a rendimiento se refiere en realidad ambos métodos son muy similares, solo comprobar de nuevo que con PPP IP extension, tanto NAT como el Firewall como WIFI estén deshabilitados para evitar posibles conflictos, y que posiblemente para un rendimiento óptimo habría que modificar el MTU también en el modem, no solo en el router. Por lo demás, la diferencia sería que en este modo el cliente PPPoE está siendo usado por el modem mientras que en el segundo modelo lo realiza el router.

Umm, no tiene sentido para mi, el router no creo que se invente de pronto direcciones MAC. Si, claro que es posible algún error en la NVRAM del dispositivo y q a golpe de reseteos quedase en condiciones, pero aun cuando tuviese un error por algún desbordamiento o DoS no explicaría de modo alguno otros Host. Date cuenta que no eran direcciones MAC con un patron dado, no se… yo abogo más por la opción de que alguien estuviese metiendo las narices en tu router (por así decirlo)

De todos modos, observa el comportamiento durante unos días y ya está, a ver que sucede, esperemos que no se den más problemas. Eso sí… es cierto también que en el mundo de la informática no hay nada que sea imposible, los famosos “fantasmitas” de los programadores (o así al menos los llamamos por aqui, los cuales son unas entidades que nadie conoce que hacen que sin ninguna explicación hacen que un programa compile o no compile, se ejecute correctamente o no, y que despuese de horas de seguimientos, depuraciones y otros de pronto, todo vuelve a funcionar correctamente. Creeme… esas cosas pasan.