Impossibile identificare o bloccare indirizzi MAC sconosciuti (Parte 2)

Questi 5 indirizzi MAC sono tutti nel dominio 00: FF, che sono usati tradizionalmente per adattatori a ponte / instradati. Non sono assegnati ad alcun singolo fornitore dall'IEEE. In questo caso, hai due possibilità:

1) Un attore malintenzionato che in qualche modo sta falsificando gli indirizzi MAC sulla rete interna, o

(molto più probabile)

2) Un computer sulla rete ha un qualche tipo di adattatore virtuale (VPN, Virtual Machine, Docker Container, Condivisione connessione Internet, ecc.) che si registra con il router come appaiono nella tabella ARP della sottorete. Forse il traffico generato da queste sessioni sta rallentando Internet, dato che 1MBps può essere facilmente ostruito dallo streaming o dal download ecc.

Probabilmente è il motivo per cui il divieto di metterli sulla tabella DHCP del router non sembra funzionare è che non hanno bisogno di DHCP per funzionare - stanno usando l'indirizzo IP del computer host. Stanno anche facendo instradare il traffico attraverso l'interfaccia del computer principale, utilizzando quindi l'indirizzo MAC del computer principale.

Alla fine, come altri hanno suggerito, l'unico modo per determinare in modo definitivo quale sarebbe il problema sarebbe eseguire un pacchetto di acquisizione / traccia per vedere quale traffico viene generato dall'indirizzo MAC, che potrebbe richiedere la modifica del router con uno che supporta tale ispezione.

Riferimento: Ricerca MAC per fornitore - link

1.Che sono questi 5 indirizzi MAC?

Informazioni insufficienti da valutare. Host realmente indesiderati, è tutto ciò che devi sapere per ora.

2.Come faccio a liberarmene?

2.0 : implementa una whitelist, quindi solo gli host registrati possono utilizzare la tua rete.

2.1 : crea regole firewall per eliminare questi host.

Se tutto fallisce:

Analizza i tuoi pacchetti di rete usando uno sniffer e individua il tipo di attività che stanno facendo questi host. Attacca la tua rete con Arp Poison o Mac Flood e poi analizza tutti i pacchetti provenienti da questi host indesiderati. se non è necessario annusare tutto e comunque conservare i pacchetti per ulteriori analisi.

In caso di persistenza (dubito) installa IPS (macchina virtuale con connessione a ponte) e HIDS sui tuoi host. Analizza alcuni registri di attività. Se non funziona nulla, il tuo router ha una vulnerabilità nota (?).

Che cosa succede quando ripristini il tuo wifi? Questi host si connettono immediatamente?

Probabilmente ti manca qualcosa di ovvio.

Anche se non sarebbe giusto escludere una presenza malevola, c'è una fortissima possibilità che una delle tue Dell stia registrando una connessione virtuale con il router, creando così queste voci della tabella DHCP.

Oltre a scaricare uno sniffer di pacchetti come Wireshark & scavare nel traffico che attraversa il router nel tentativo di verificare la legittimità di tali voci ... Suggerirei di dare un'occhiata più da vicino alle proprietà della rete di ciascun computer per verificare che non ci siano adattatori aggiuntivi oltre a una connessione cablata / wireless.

Nel tentativo di capire se un computer singolare sta causando il problema ~ prova a scollegare un computer dal router, resettandolo, & usando l'altro computer per verificare che i MAC fantasma appaiano di nuovo. Se lo fanno, usa lo stesso processo sull'altro computer.

Spero di aver dato alcune idee su come affrontarlo.

Per quanto riguarda le interferenze da altri punti di accesso wifi, tieni in considerazione gli AP WiFi con SSID nascosto che si sovrappongono a canali che possono interferire con il tuo.Tuttavia, prova a monitorare tutti i punti di accesso Wi-Fi all'interno del raggio utilizzando software adeguato come inSSIDer. tu consideri i seguenti passi;

1. Ripristina il router alle impostazioni di fabbrica.
2. configura il tuo router usando la connessione via cavo.
3. Nascondi il tuo SSID AP WiFi e imposta password complessa. Nelle impostazioni wifi, determina la potenza di trasmissione del tuo wifi in base alle tue esigenze. Alta potenza di trasmissione significa che il tuo AP è raggiungibile da una distanza più lontana e dà una possibilità agli intrusi.
4. Suppongo che tu abbia un numero fisso di dispositivi, quindi sarebbe meglio assegnare a ciascun dispositivo un IP statico per questo esperimento. Inoltre, determinare gli indirizzi MAC dei dispositivi e attivare il filtro MAC.
5. Quando i tuoi dispositivi sono tutti collegati, controlla se gli indirizzi MAC sospetti appaiono di nuovo.
6. Se non visualizzi più indirizzi MAC sospetti, passa di nuovo a DHCP ma utilizza le prenotazioni DHCP per l'assegnazione degli indirizzi IP. In alcuni casi questo è simile all'indirizzamento IP statico. Come impostare le prenotazioni DHCP Inoltre, provare a limitare le dimensioni del pool IP al numero massimo di dispositivi che si ritiene debbano essere connessi alla rete.

Configurare il filtraggio degli indirizzi MAC fornito da Tenda-D303. e creare una whitelist per tutti i tuoi dispositivi noti Indirizzi MAC.