[Frage] Verständnisfrage zu Datenmitschnitt

[schnurgly]

Moin,
wenn man eine Supportdatei aus der Fritzbox erstellt, sind dort IP-Adressen enthalten, die von Clients aufgerufen worden sind? Oder gibt es eine andere Möglichkeit, welcher Client eine bestimmte IP-Adresse aufruft?
Ich kenne sowas von einem Draytek-Router, aber den bekomme ich leider nicht an meinem DS-Light-Anschluß zum Laufen.
Kann man diese Support-Datei mit einem einfachen Texteditor öffnen, oder benötige ich etwas anderes?
Danke für Tipps!

 

[tango501]

Kann man diese Support-Datei mit einem einfachen Texteditor öffnen

Die Supportdatei kann mit einem einfachen Texteditor geöffnet und durchsucht werden. Bitte darauf achten, die Datei vorher lokal abzuspeichern. Manchmal ist der Versand voreingestellt.
Zum Einstieg nach dem Öffnen im Editor den Suchbegriff "etherarp mstv" eingeben. Mit den dort angezeigten Geräten und Adressen dann weitersuchen.

 

[sonyKatze]

welcher Client eine bestimmte IP-Adresse aufruft?

Du hast den Paketmitschnitt im LAN.

Draytek-Router

Den könntest Du in einer Router-Kaskade nutzen.

DS-Light

Welchen Anbieter genau? Bis jetzt kenne ich nur zwei, die sich nicht auf Dual-Stack umstellen lassen.

 

[schnurgly]

Mein Anbieter ist 1und1 und die FB verwendet einen DS-Lite-Tunne. Meinen Draytek Vigor 2760 kann ich nicht direkt anschließen, weil er das AFTR-Protokoll nicht unterstützt. Man findet haufenweise Hinweise zu FB hinter Draytek Router aber nicht umgekehrt.
Die Support-Datei zeigt nur zu welcher Uhrzeit der Client eine Verbindung ins Internet hatte, aber nicht die Adresse
Es gibt noch eine Datei mit Endung eth, die aber mit dem Texteditor nicht lesbar ist.

 

[PeterPawn]

die aber mit dem Texteditor nicht lesbar ist

Wireshark • Go Deep

Wireshark: The world's most popular network protocol analyzer

www.wireshark.org

 

[tango501]

Meinen Draytek Vigor 2760 kann ich nicht direkt anschließen, weil er das AFTR-Protokoll nicht unterstützt.

Mit der Firmware v3.8.9.6 sollte das eingentlich beim Vigor2760 funktionieren. Oder ist der Vigor2760 deutlich älter und noch mit einer Firmware v1.x unterwegs?

 

[schnurgly]

Mit Wireshark bin ich etwas weitergekommen. Hier werden die Ziel-Adressen sichtbar. Leider habe ich auf die Adresse keinen Zugriff, weil ich das Zertifikakt nicht habe und es auch nicht aus dem Gerät auslesen kann.
Mein Draytek hat die Firmware v3.8.9.5 und ist bereits seit ein paar Jahren EOL.
Es war ein Versuch und Danke für die Mithilfe!

 

[tango501]

Mein Draytek hat die Firmware v3.8.9.5 und ist bereits seit ein paar Jahren EOL.

Dann würde ich zumindest die letzte dort verfügbare Firmware v3.8.9.6 einsetzen.
Es werden dort immerhin noch zwei Sicherheitslücken behoben.

Improvement​

 Improved: Improve Web GUI Security (CVE-2022-32548).​

 Improved: Improve the OpenSSL security (CVE-2022-0778).​

https://fw.draytek.com.tw/Vigor2760-Delight/Firmware/v3.8.9.6/DrayTek_Vigor2760-D_V3.8.9.6_release-note.pdf

Die Downloads dazu sind hier zu finden:

Index of /Vigor2760-Delight/Firmware/v3.8.9.6

 

[sonyKatze]

Man findet haufenweise Hinweise zu FB hinter Draytek Router aber nicht umgekehrt.

Einfach anschließen, muss man gar nichts konfigurieren, denn ab Werk ist ein DrayTek auf IPoE, also DHCP. Wenn das irgendwelche Probleme macht bzw. Du eine bestehende Konfiguration nicht komplett zurücksetzen willst, daher nicht weiter weißt, einfach sagen, dann motte ich meinen DrayTek Vigor2760 Delight aus und schaue die genauen Menüpfade nach.

Die Support-Datei zeigt nur zu welcher Uhrzeit der Client eine Verbindung ins Internet hatte, aber nicht die Adresse
Es gibt noch eine Datei mit Endung eth, die aber mit dem Texteditor nicht lesbar ist.

FRITZ!OS bietet die Möglichkeit eines Paketmitschnitts unter „Hilfe und Info → FRITZ!Box Support (ganz unten im Footer) → Paketmitschnitt“. Das öffnest Du dann mit der App Wireshark.

Hier werden die Ziel-Adressen sichtbar. Leider habe ich auf die Adresse keinen Zugriff, weil ich das Zertifikakt nicht habe und es auch nicht aus dem Gerät auslesen kann.

Was meinst Du genau, dass die Verbindung durch HTTPs (genauer: TLS) verschlüsselt ist? Der Schlüssel wird im Endgerät erzeugt, daher geht das so einfach nicht. Du kannst aber einen mitmproxy aufbauen, also DNS umlenken (eigener DNS-Forwarder oder den DrayTek). Das Zertifikat+Schlüssel kannst Du in Wireshark importieren, dann kannst Du mitlesen – falls das Endgerät das Zertifikat nicht überprüft. Macht es das, musst Du dem Endgerät das Zertifikat unterjubeln können.

Mit der Firmware v3.8.9.6 sollte das eingentlich beim Vigor2760 funktionieren.

DrayTeks können generell (noch) kein DS-Lite. Gab mal eine Probe-Firmware, aber das ist nicht für alle Modelle übernommen worden, also auch die neusten Modelle mit aktiver Software-Pflege können kein DS-Lite.

 

[tango501]

DrayTeks können generell (noch) kein DS-Lite

Im MODEM-Mode sollte auch DS-Lite funktionieren, nicht aber im Router-Mode. Ob in den "Delight" auch Funktionen eingeflossen sind, welche früher mal mit dem Vigor 130 geplant waren, kann ich nicht sagen. Da bleibt ggf nur testen.

 

[sonyKatze]

Der Vigor2760 Delight kann selbst kein DS-Lite. Das mit DS-Lite auf dem Vigor130 war mal ein (einmaliger) Versuchsballon vor zehn Jahren. Man kann die größeren DrayTek auch in den Modus (Full) Bridge versetzen – was Du vermutlich mit Modus Modem meinst, bekannt aus dem Vigor167 –, aber dann ist die Funktion nicht mehr verfügbar, die der Thread-Ersteller in Post #1 meinte. Daher mein Vorschlag mit der Router-Kaskade. Wobei der Thread-Ersteller aber offenbar nicht nur IP-Adressen sehen sondern auch in den Datenstrom schauen möchte.

Wobei genau das ebenfalls vergleichsweise schön mit einem DrayTek geht, weil er einen DNS-Proxy hat, also alles für Port 53 abfangen kann. Genau dafür hole ich meinen DrayTek immer wieder gerne aus der Versenkung. DrayTek fängt DNS ab, ändert die IP-Adresse zu meinem HTTP(s)-Proxy. Dort kann ich dann den Datenstrom einsehen; falls der Client das Zertifikat nicht prüft oder seine Zertifikatsstellen erweitern lässt.

 

[schnurgly]

Meine Grundidee war folgende: Ich habe ein Küchengerät, das updates über die Cloud vom Hersteller anzeigt, herunterläd und automatisch installiert, wenn man das alles will. Es gibt leider keine Möglichkeit, (Der Hersteller bietet es auch nicht an) die Firmware beim Hersteller herunterzuladen und selber installieren, was möglich wäre. Ich hätte gerne ein Backup, im Fall eines Falles. Deswegen wollte ich die Zieladresse vom Küchengerät auslesen, was mir auch mit Wireshark gelungen ist. Der Draytek hat diese Adressentabelle für Clients nur im Routerbetrieb. Daher hatte ich ihn für diesen Zweck aktivieren wollen. Auch bei mir ist der Router EOL. Zieladressee bekannt, aber ich habe leider keinen Zugriff, was verständlich ist. Ich müsste meinen PC als "das Küchengerät" tarnen, um an die Downloads oder irgendwie an jene gesendete Datei zum Küchengerät zu bekommen.

 

[tango501]

Die Hintergrundinfos dazu wären zu Beginn ziemlich hilfreich gewesen. Um welchen Hersteller handelt es sich dabei?
Mir fallen da spontan BSH (Home Connect) und Miele@home ein.

 

[sonyKatze]

keine Möglichkeit […] die Firmware […] selber installieren […] Backup

Bedeutet das, selbst wenn Du eine Update-Datei hättest, dass Du die dann nicht manuell installieren kannst? Dann kannst Du das eigentlich vergessen, denn Du müsstest dann nicht nur die Firmware-Datei haben, sondern die ganze Kommunikation nachbauen, vielleicht auch Dinge, die man nicht nachbauen kann.

Küchengerät

In so einem Fall besser eine Internet-Community suchen, die sich hauptsächlich darum dreht. Dort hat das vielleicht schon jemand gemacht, Mehrere haben Interesse oder jemand hat(te) eine anderen Ansatz/Idee.

Der Draytek hat diese Adressentabelle für Clients nur im Routerbetrieb.

Welches Untermenü meinst Du genau? Jedenfalls geht das, also eine Router-Kaskade. Was genau hindert Dich? Läuft die Verbindung verschlüsselt ab, also z.B. über TCP-Port 443? Dann musst Du den DNS auf dem DrayTek auf einen lokalen Server umbiegen. Auf jenem Server läuft eine App wie mitmproxy oder stunnel. Das geht dann schief, wenn das Küchengerät die Ausgabestelle des Zertifikats (Fachbegriff: Trust-Anchor) für die TLS- bzw. HTTPS-Verbindung überprüft (Fachbegriff: Certificate-Validation oder sogar einen Schritt weiter Certificate-Pinning).