» cablemodem.ch - Forum «
Diskutieren Sie in unserem MessageBoard zum Thema Cablemodem
» zurück zu cablemodem.ch - Startseite
Anmelden | Profil | Einloggen | Passwort vergessen? | Aktive Mitglieder | Hilfe | Suche

» Willkommen Gast : Einloggen | Anmelden

    cablemodem.ch - Forum
    Netzwerke
        Komische "private" IP in Routeliste
Dieses Forum als gelesen markieren   [ Hilfe ]
» Willkommen bei Netzwerke «

Thema wechseln
<< Zurück Weiter >>
Mehrere Seiten: [ 1 2 ]
Forumsbetreuer:
 

 
Decki


Newbie
   
Wieso wird eine "private" Netzwerknummer 10.x.x.x bei einem Tracert-Befehl durchlaufen, wenn ich zB. www.google.ch (oder hispeed.ch) trace?

Das sollte doch nicht nach Aussen geroutet werden, zumal ich in meinem kleinen Heimnetzt auch diesen Range verwende.

Kann diese IP-Nummer auch auf mein Netz zugreifen?
(mein DI604-Router hat eine 192.168...-Nr und die Clients erhalten per DHCP auch eine Nr. aus diesem Bereich (ohne Freigaben).

Die Clients sind aber in einem 10.x.x.x-Netz-Nr.-Bereich (eigene Netzwerkkarten) mit gegenseitiger Dateifreigabe (im NIS mit einzelnen IP-Nummern zugelassen)).

Ich bin nun nicht sicher, ob diese Konstellation gefährlich sein könnte?

-----
DD.


Beiträge gesamt: 4 | Mitglied seit: Juni 2005 | Erstellt: 2:49 am am Juni 9, 2005 | IP
Mephi


Advanced Member
   
[quote]Zitat von Decki am 2:49 am am Juni 9, 2005[br]Wieso wird eine "private" Netzwerknummer 10.x.x.x bei einem Tracert-Befehl durchlaufen, wenn ich zB. www.google.ch (oder hispeed.ch) trace?
[/quote]Das ist in einem Kabelnetz normal. Um die Geräte (einschl. der Cablemodems) einfacher zu überwachen und zu warten, wird ihnen von einem DHCP-Server eine IP-Adresse zugeordnet (hier im Bereich 10.x.x.x). Was du bei der Ausführung von tracert mit 10.196.96.1 (wohl eher als 10.196.96.0) siehst, ist "dein" Gateway des Service-(Sub)-Netzes.

- ph


Beiträge gesamt: 987 | Mitglied seit: Dez. 2001 | Erstellt: 10:45 am am Juni 9, 2005 | IP
Decki


Newbie
   
Bedeutet dies, dass es pro Anschluss bei CabelCom immer 2 geleaste IP-Nr. (eine mit 84.x.x.. und 10.x.x..) gibt, wovon der eine der Service-Kanal darstellt (und auch zwei Gateway-Nummern (84.x../10.x..).

Ist ein Übergriff von meinem Webserver in der DMZ, der 2 Netzwerkkarten enthält und eben diesen privaten IP-Range (CC dürfte diese Nummer eigentlich kundenseitig gar nicht im Einsatz haben, wie sie das intern abwickeln ist ihr Problem, aber für den Kunden stellt sich eben halt die Frage der Sicherheit) 10.x.x.x verwendet möglich?

Stelle derzeit alle internen IP-Clients auf einen anderen "privaten" IP-Bereich (172.x.x.x) um, und warte nun darauf, bis noch ein dritter Service-Kanal hinzukommt, der dann auch diesen IP-Bereich verwendet, dann wir es eng, den die vom DI-604-Router vergebenen DHCP-Nummern liegen schön getrennt (ohne Datei/Druck-Freigaben) im 192.168.x.x-Netzwerk, - es gibt nur dieser drei privaten IP-Bereiche.

-----
DD.


Beiträge gesamt: 4 | Mitglied seit: Juni 2005 | Erstellt: 3:35 pm am Juni 9, 2005 | IP
Mephi


Advanced Member
   
Decki>
<<Bedeutet dies, dass es pro Anschluss bei CabelCom immer 2 geleaste IP-Nr. (eine mit 84.x.x.. und 10.x.x..) gibt>>

Ja, aber die 10.x.x.x IP-Adresse kann nur der DHCP-Client des Cablemodems (CM) über den HF-Input beziehen. Ein Durchschlagen auf die Ethernetseite ist nicht vorgesehen.

<<(und auch zwei Gateway-Nummern (84.x../10.x..).>>

Ja, aber die brauchen nicht notwendig auf der selben physikalischen Einheit zu residieren.

<<Ist ein Übergriff von meinem Webserver in der DMZ, der 2 Netzwerkkarten enthält und eben diesen privaten IP-Range ([..]) 10.x.x.x verwendet möglich?>>

Mutmasslich verstehe ich deine Frage nicht vollständig, aber ich würde sie mit Nein beantworten. Dann gehe ich stark von der Annahme aus, dass dein DI604-Router alle eingehenden Pakete mit einer privaten Absender-IP-Adresse filtert, das ist jetzt unabhängig von der Art der Inet-Anbindung geboten.
Vgl.: http://www.dingens.org/#filtering

<<Stelle derzeit alle internen IP-Clients auf einen anderen "privaten" IP-Bereich (172.x.x.x) um, [..]>>

Ich denke nicht, dass solche Massnahmen erforderlich sind.

- ph


Beiträge gesamt: 987 | Mitglied seit: Dez. 2001 | Erstellt: 5:04 pm am Juni 9, 2005 | IP
ccwurzelkind


Newbie
   
@decki

okay, mephi hat imho so ziemlich alles auf sehr gute weise erklärt, ich geb jetzt einfach auch noch meinen senf dazu, weil ich solche grundsatzdiskussionen mag (....ist mal was anderes als immer nur auf wurmbefallene rechner hinzuweisen <g>)

nennen wir das folgende mal "ccwurzelkinds kleines netzwerk-abc des  cc-cablemodems"  - wen's nicht interessiert, oder es eh schon (oder gar besser) weiss, möge mir verzeihen und einfach im thread nebenan weiterlesen :-)...

>>Bedeutet dies, dass es pro Anschluss bei CabelCom immer 2 >>geleaste IP-Nr. (eine mit 84.x.x.. und 10.x.x..) gibt, wovon der >>eine der Service-Kanal darstellt (und auch zwei

zunächst mal: nein.  :-)

nehmen wir das modem doch einfach mal in seinen bestandteilen auseinander - im folgenden gehen wir von einem aktuelle vcm02-modem aus.


1.) das cablemodem ist eine bridge.

als reine bridge benötigt und bezieht das modem keine ip-adresse. punkt. das modem hat lediglich die funktion eines tunnels - es verbindet via kabelnetz dein ethernet-(lan) mit dem cc backbone.

die 84er/217er (und mit etwas pech auch 169er)-ip-adresse wird von *deinem* pc / router via dhcp angefordert und übernommen. das modem weiss nicht viel davon - es hilft lediglich bei der übermittlung der daten.

soweit, so gut.

wenn jetzt cc jedem kunden vollen hispeed bis zum abkrachen gewähren würde, wäre hier eigentlich schon schluss. jetzt wollen ja aber ruedi fischer und seine grottenschlechte horror-hotline bekanntlich mächtig viel geld verdienen (primär, um sich privat die überteuerten adsl-abos der konkurrenz leisten zu können). es gilt also, möglichst attraktive abos für unterschiedliche zielgruppen zu generieren und sicherzustellen, dass jeder nur das bekommt, was er auch bezahlt: etwa hispeed 600 für die normalos, hispeed 2000 für die emule-junkies, und "jetzt-ist-es-offiziell-hispeed-5000/5000-symmetrisch!!" für den ganzen cablemodem.ch-zoo.

bekanntlich authentifizieren sich die cablemodems über ihre mac-adresse im cc-netzwerk - diese  ist einem entsprechenden abo zugeordnet, was einfach realisierbar ist, da im gegensatz zu adsl &co sämtliche modems im besitz von cablecom sind und alle mac-adressen registriert sind.

obiger benötigter authentifizierungs-prozess führt uns zu

2. das cablemodem ist eine "remotely managed" bridge.

die speed-freischaltung, respektive das management folgt über eine konfiguration, die sich das modem jeweils beim einwählen über ein internes tcp/ip-netzwerk im cablecom-netz von einem tftp-server abholt. daher also die 10er-IP - diese dient nicht nur für "wartungszwecke" sondern auch für die grundkonfiguration. und spätestens seit rfc-1149 wissen wir ja. dass tcp/ip das die zukunft gehört...

zusammengefasst bedeutet dies, dass "pro cc-anschluss" immer mindestens 1 ip vergeben wird - diejenige für dein modem - und da alle modems im geschlossenen cc-netzwerk zusammengefasst sind, bietet sich die vergabe einer non-public-ip-range an. alle anderen ip's sind public und werden direkt deinen endgeräte zugewiesen.

ist das schon alles? denkste! ;-)

eigentlich wäre hier wirklich schluss, aber die cablecom lässt sich ja bekanntlich nicht lumpen.

3. das cablecom-modem beinhaltet auch noch einen eigene usb-nic

wenn du das modem via usb an deinen pc anschliesst, wird auch gleich noch eine usb-nic aktiv - diese bezieht dann natürlich auch eine public ip. streng genommen bezieht nicht das modem selbst die ip, sondern ebenfalls dein pc - in interaktion mit einem im modem-gehäuse verbauten chip.

"ein cablemodem - drei ips? ooooooooohhhh!" denkt sich der geneigte leser "...da können die netopia-jünger einpacken! aber mehr kann da sicher nicht mehr drin liegen..."

4.  ...wenn da nicht noch voip wäre

das vcm02 hat noch einen / respektive zwei voip-adapter eingebaut - diese beziehen (ähnlich der usb-nic) bei entsprechender aufschaltung ebenfalls je eine ip-adresse - da diese ja nicht ins internet geroutet werden müssen,  sind dies ebenfalls keine public ips sondern - erraten - ebenfalls ips aus dem cc-internen netz.

so, nach soviel schreiben hab ich mir jetzt ein kleines helles verdient. hoffe die abhandlung war einigermassen verständlich.

ach ja, und mit deinem privaten 10er-netz wird kein konflikt entstehen - könnt dir hier jetzt noch die entsprechenden gründe angeben, aber ich glaube ich verschieb das mal auf einen anderen monat ;-)

ccwurzelkind


Beiträge gesamt: 37 | Mitglied seit: Mai 2005 | Erstellt: 10:38 pm am Juni 9, 2005 | IP
Krueger


Advanced Member
   
zuerst mal Prost!

und dann noch danke für die ausführliche Zusammenfassung.

auf wiedersehn und danke für den Fisch (war eben im Kino)



-----
das Leben ist Scheisse...
...aber die Grafik ist echt geil!


Beiträge gesamt: 928 | Mitglied seit: Mai 2001 | Erstellt: 10:43 pm am Juni 9, 2005 | IP
ccwurzelkind


Newbie
   
@krueger

verdammt.... sind der wal und der petunientopf etwa heute schon aufgeschlagen - und ich habe den termin verpasst???

ccwurzelkind

das sein helles jetzt sicherheitshalber mit einer packung erdnüsse ergänzt...


Beiträge gesamt: 37 | Mitglied seit: Mai 2005 | Erstellt: 10:46 pm am Juni 9, 2005 | IP
Mephi


Advanced Member
   
ccwurzelkind> vielen Dank für deinen Beitrag. Er ist sehr aufschlussreich.

- ph


Beiträge gesamt: 987 | Mitglied seit: Dez. 2001 | Erstellt: 11:23 pm am Juni 9, 2005 | IP
Decki


Newbie
   
Jo, herzlichen Dank für die tolle Erklärung.

Vielleicht kannst Du ccwurzelkind mir bei Gelegenheit noch sagen wie ich (seit ein paar Monaten auf meinem XP-Webserver) ein Webdienst abschalten kann, den ich überhaupt nicht benötige und auch nicht anbieten will, welcher sich plötzlich aktiviert.

Hierbei handelt es sich um ein File davcdata.exe [HTTP-DAV (Distributed Authoring and Versioning RFC 2518) welches ich schon (abgeschossen und) umbenannt habe, aber vom XP-SPII-System immer wiederhergestellt wird und ich keine Fernaministration benötige, zumal mein Webserver ja bei mir zuhause in der DMZ liegt.

So wie ich verstanden habe erkennt der Firewall dieses Protokoll noch nicht und wird per HTTP direkt an den Webserver durchgeleitet und aktiviert diesen neuen Dienst den ich unterbinden möchte.

Was meinst Du, wie soll ich da vorgehen?

-----
DD.


Beiträge gesamt: 4 | Mitglied seit: Juni 2005 | Erstellt: 2:22 am am Juni 10, 2005 | IP
ccwurzelkind


Newbie
   
@decki

wenn du einzelne services von iis deaktivieren willst, solltest du mal bei microsoft den aktuellen iislockdown herunterladen:

unter

http://support.microsoft.com/default.aspx?scid=kb;EN-US;325864

findest du eine anleitung, wie du unter anderem auch webdav deaktivieren kannst.

ccwurzelkind

(bin ansonsten mehr ein apache user - iis ist mir immer etwas unheimlich)


Beiträge gesamt: 37 | Mitglied seit: Mai 2005 | Erstellt: 8:42 am am Juni 10, 2005 | IP
 

Thema wechseln
<< Zurück Weiter >>
Mehrere Seiten: [ 1 2 ]

© 1999 - 2011 www.cablemodem.ch by cablemodem.ch | Datenschutzerklärung

powered by Ikonboard 2.1.9 Beta Language
Modified by IkonLanguage Team
© 2000 Ikonboard.com

SwissShops.ch