[gelöst] FB7170 empfängt permanent Daten am Kabelmodem

[Striker52]

Hallo zusammen.
Ich bin seit ca. 1 Jahr bei KabelBW. War vorher bei 1&1und habe meine FB7170 mit alter Labor-Firmware ohne Probleme ans Kabelmodem gebracht. Läuft alles einwandfrei.
Heute habe ich auf meine FB 7170 (1&1) die neueste Firmware von AVM aufgespielt (Version 29.04.76.). Läuft auch wieder alles. Nur stelle ich seit die neue FW drauf ist fest, daß die Fritbox permanent irgendwoher Daten runtrlädt, auch wenn alle PCs ausgeschaltet, die LAN-Kabel abgeklemmt und das WLAN ausgeschaltet ist. Die Link-LED am Kabelmodem blinkt ständig, was sie nur bei Datenverkehr macht. Ziehe ich das LAN-Kabel zur Fritz ab, ist sofort Ruhe; die Link-LED leuchtet dann konstant. Mit der alten Firmware gab's diesen permanenten Datenfluss nicht. Ich kann ihn auch mit der FritzDSL-Software beobachten.
In der Fritz hab ich alles abgeschaltet, was mir verdächtig vorkam (automatische Einstellung durch den Provider, automatische Einrichtung über Computer-Programme im lokalen Netzwerk, automatische Updates, Push Service). Im Ereignisprotokoll steht auch nichts drin, was auf irgendwelche Verbindungen hinweisen würde.
Telefon benutze ich an der Fritz nicht und ist auch nichts eingetragen.
Im Onlinezähler stehen nach 45 Minuten 15 MB Download und 270kB Upload. Das macht hochgerechnet ca. 20MB pro Stunde.
Ich habe an der Konfiguration gegenüber der vorigen Firmware nichts verändert und alle Häkchen und Einträge wieder so gesetzt, wie vorher.

Hat jemand eine Ahnung, was die fritzbox da macht und wie man das abstellen kann (außer durch abschalten)?

Danke schonmal für Eure Antworten.

PS: Mit der Forensuche bin ich nicht fündig geworden.

Edit: Ach ja, bei den Zugangsdaten zum I-Net trägt sich im Feld DHCP-Hostname automatisch "fritz.fonwlan.box" ein, obwohl ich das Feld vorher lösche.
Und der Vollständigkeit halber: Alle PCs beziehn von der Fritzbox eine IP-Adresse, die FB bekommt eine öffentliche Adresse aus dem Bereich von KabelBW. Soweit alles in Ordnung.

 

[gandalf94305]

Das ist bei Kabel-BW üblich so. Es sind im wesentlichen Broadcasts und ARP-Pakete...
Ein NAT-Router sollte das korrekterweise von Deinem LAN fernhalten.

--gandalf.

 

[eisbaerin]

Hallo !

Schneid doch mal den Datenstrom mit, dann sehen wir was da los ist.
http://fritz.box/html/capture.html
und dort:
Paketmitschnitt ohne DSL-Rahmen (Interface 0, Internet):
(das 1. unter den Eingabefenstern "lan" und "1600")

 

[Striker52]

Das ist bei Kabel-BW üblich so. Es sind im wesentlichen Broadcasts und ARP-Pakete...
Ein NAT-Router sollte das korrekterweise von Deinem LAN fernhalten.

--gandalf.

Vielen Dank für die schnelle Antwort. Kannst Du mir sagen wieso das mit der alten Firmware der FB nicht so war? Sollte ich womöglich wieder eine ältere Firmware aufspielen? Oder kann ich den permanenten Datenfluss ignorieren?
Gruß Striker52

 

[eisbaerin]

Wie nennt sich die alte Firmware ?

 

[Striker52]

So, hab den Mitschnitt gemacht, kann ihn aber nicht lesen (und wenn, würde ich's nicht verstehen). Ich hab die Datei einfach mal angehängt, in der Hoffnung, daß Gandalf was draus sehen kann.

 

[Striker52]

Wie nennt sich die alte Firmware ?

Wenn ich das noch genau wüsste!!! War eine Laborsoftware von 2007, ich glaube "FRITZ.Box_Fon_WLAN_7170_LabDSL.AnnexB.29.04.99-7926.image", kann's aber nicht bestimmt sagen.

 

[eisbaerin]

Gandalf hat recht. Es sind fast alles Broadcast ARP Anforderungen.
Also unbedenklich.

 

[Striker52]

Gandalf hat recht. Es sind fast alles Broadcast ARP Anforderungen.
Also unbedenklich.

Vielen Dank für die rasche Datenanalyse
Drei Dinge würden mich noch interessieren:
1.) Mit welchem Programm kann man die Daten anschauen?
2.) Warum hab ich diesen Datenfluss nicht bei der alten FW gesehen? Ich meine das Fenster "Internet", das bei der FritzDSL-SW (Fritz-Startcenter) die ein- und ausgehenden Daten anzeigt.
3.) Die FB hat doch eine NAT-Firewall, die diese Daten vor meiner LAN-Seite abblockt? Das heißt, die Daten kommen nicht in mein LAN rein?

Sorry für die blöden Fragen, aber ich will halt sicher sein.

 

[eisbaerin]

1. z.B. Wireshark

2. ??? - Hat den bei der alten FW die LED am Kabelmodem auch geblinkt?

3. JA, die läßt kein Router durch, auch ohne NAT, und mit NAT und Firewall erst recht nicht.

 

[Striker52]

1. z.B. Wireshark

2. ??? - Hat den bei der alten FW die LED am Kabelmodem auch geblinkt?

3. JA, die läßt kein Router durch, auch ohne NAT, und mit NAT und Firewall erst recht nicht.

Danke für die Antworten.
Zu 2: Wenn alle PCs, Playstation und Wii abgeschaltet waren, hat die LED nicht geblinkt. Außerdem habe ich den Datenstrom nicht in dem AVM-Tool gesehen. Hab mal einen Bildschimprint von dem Tool angehängt. Ich sehe den Datenstrom übrigens auch im Task-Manager unter "Netzwerk".

 

[gandalf94305]

Es gibt zu dem Thema auch bereits Threads im KabelBW-Forum. Normal ist das nicht, aber bei Kabel-BW gibt es anscheinend kein Mittel dagegen. Der Traffic geht normalerweise nicht in das Netzwerk durch einen NAT-Router über... daher also unbedenklich.

Wenn Du allerdings LAN-Traffic in erheblichem Maße siehst, ohne daß Geräte aktiv sind, dann kann das eigentlich nur ARP-Traffic sein bzw. Upnp- und Netbios-Announcements. Das sind auch Broadcasts bzw. Multicasts, die wiederum nicht nach außen durch den Router dringen. Also auch unbedenklich.

Nur Unicast-Verkehr wäre interessant, wenn er aus nicht nachvollziehbaren Gründen in Deinem LAN auftritt. Das siehst Du aufgrund der Switch-Eigenschaft der FBF-LAN-Ports jedoch nicht an einem PC (den erreicht ja dann nur der Verkehr, der für ihn selbst bestimmt ist), sondern per Paketmitschnitt an der FBF.

--gandalf.

 

[Striker52]

Neue Erkenntnis:
Die Netzwerkanzeige des Taskmanagers und das Netzwerksysmbol in der Taskleiste (kleiner PC) zeigen einen Datenstrom immer dann an, wenn ich das Toll "Internet" des Fritz-Startcenters öffne. Wenn ich dieses Tool schließe, ist der Datenstrom im Taskmanger und im Netzwerksymbol weg! Die Link-LED am Modem blinkt immer noch.
Kann es sein, dass in der neuen FW der FB eine Funktion eingebaut ist, die Daten zieht, sobald man das Tool "Internet" startet , oder die die Broadcasts und ARPs von KabelBW als Datenstrom anzeigt

 

[gandalf94305]

Die Link-LED am Kabelmodem blinkt, da der ARP-Traffic und ein paar andere Broadcasts an der WAN-Seite des Routers (der FBF) eintreffen. Das geht ins LAN nicht durch. Diese Broadcasts habe ich auf meiner WAN-Seite, seit ich bei Kabel-BW bin. Es kann höchstens sein, daß es Dir bisher nicht aufgefallen ist, da die FBF in den alten Firmwareversionen diesen Verkehr vielleicht nicht angezeigt/gezählt hat? Keine Ahnung... mein Netgear-Router zeigte das schon immer an.

Der Traffic auf Deinem PC bzw. LAN-seitig stammt dann von der Applikation des Fritz!Startcenters, in dem der Status der Internetverbindung etc. überwacht wird. Das sorgt für einen konstanten Datenverkehr. Du kannst mit Wireshark auch diesen Traffic mitschneiden, wenn Wireshark auf dem gleichen PC läuft.

Mit anderen Worten: das sind zwei unabhängige Effekte.

--gandalf.

 

[Striker52]

Danke für die ausführlichen Antworten. Meine vorige Nachricht hat sich damit teilweise überschnitten.
Habe grade nochmal ein paar Versuche gemacht (Familie ist unterwegs )
Es ist tatsächlich so, daß der Traffic, den ich mit der Netzwerkanzeige des Task-Managers und mit der Netzwerkanzeige des Statussysmbols auf der Taskleiste sehe, nur dann entsteht, wenn ich das AVM-Tool "Internet" des Fritz-Startcenters starte. Der wird an dem PC angezeigt, auf dem ich das Tool "Internet" gestartet habe (PC 1), und zwar im Tool selbst und in der Netzwerkanzeige (Task-Manager und Symbol auf der Taskleiste). Auf anderen PCs (PC 2 und PC 3) ist dieser Traffic nicht zu sehen.
Schließe ich dann das "Internet"-Tool, ist der Traffic sofort weg.
Zusammen mit der Firmware, die ich vorher auf der Fritz hatte, wurde dieser durch das Tool "Internet" erzeugte Traffic zumindest nicht angezeigt (daran erinnere ich mich ganz genau, da ich damit leicht kontrollieren konnte, ob meine Kids im Netz sind; ab 22:00 wurde meistens kein Traffic mehr angezeigt), vielleicht auch nicht erzeugt.

Es verhält sich also genauso, wie du es beschrieben hast. Ich kann wieder ruhig schlafen

Danke nochmals für eure Mühe,
Gruß Striker52

 

[Rollenderroland]

Ich habe mir Deinen Dump auch noch mal angeschaut.
An sich nichts besonderes, die üblichen ARP Requests der Router und Endstellen unter sich (privates 10.x Subnetz). Zusätzlich scheint aber auch gerade jemand einen Port-Scan zu machen, sonst würden vermutlich nicht ARP-Requests für eine ganze Subnetz-Range nacheinander kommen.

Kurze Erklärung noch zum Unterschied DSL <-> Kabel:
Unter DSL ist eine Einstellung üblich, dass die Verbindung getrennt wird, wenn kein Netzverkehr von Innen nach Aussen gesendet wird. Dann hört natürlich der Verkehr auf.
Bei Kabel geschieht diese Trennung in der Fritzbox jedoch nicht, damit erreicht auch dauerhaft ARP-Traffic die Box.