Сети провайдеров: диагностика и безопасность

Вот думал, думал - писать не писать и решился.
В свете недавних событий на выходных возникает несколько банальных вопросов к провайдерам (ну и привет родному провайдеру;) ).

1. Используются ли на коммутаторах агенты анализатора пакетов - если нет - почему? Задиагноститровав за пару минут проблему, дозвонился (на удивление) в поддержку - но создалось впечатление, что оператор просто меня не понял. Хорошо хоть вежливо предложил прислать мастеров с ноутбуком в течении 3 часов. Если проблема в моем компьютере - вызов за мой счет. Я согласился. Мастера пришли через час (за что респект) - и эпопея затянулась еще часа на полтора. Проблему решили, денег не взяли ;).
Теперь вопрос - зачем было гонять людей, если бы толковый человек, воспользовавшись анализатором пакетов (и агентом захвата в требуемой подсетке) за те же 5 мин увидел бы тоже что и я. И в целом найти виновного можно было за 10 мин, а не за 3 часа.

2. Задумыватся ли провайдеры о безопасности своих локальных сетей? Что они думают по поводу, например, внедрения 802.1х?
Почему до сих пор используется VPN с аутентификацией PAP :stop:? Почему я, а не провайдер, должен задумываться о нюансах VPN+PAP, DHCP и ARP - что будет если какой-то засранец поднимет левый DHCP сервер или займется такой веселухой как ARP-poisoning.
Какие соображения у провайдеров на тему 802.1х, EAP+TLS, IPSec?

3. Когда мастеров научат чему-то кроме ping? Где знания хотя бы банальной утилиты arp (не говоря уже о Packetyzer/Ethereal)?

Все ваши вопросы закончатся тогда, когда операторам на телефонах техподдержки начнут платить хорошую зарплату, и там станут работать грамотные люди, а не студенты, знающие только команду ping.

Для начала нужно было выяснить, что за "чудо" свитч стоял на стороне провайдера и может половина вопросов отпала бы.
[url]http://www.provider.net.ru/article.71.php[/url]

Да уж, многим одесским провайдерам не мешало бы заменить кучи тупых свичей вроде Planet-SW802 на что-либо более умное...

Модель свича не скажу, ибо не могу знать.
Собс-но в произошедшей ситуации это не играет особой рояли. Мало какой свитч ситуацию бы просек или предотвратил. А вот удаленно заграббить пакеты и отключить редиску - тут хороший свитч однозначно ускорил бы дело.
А статейка занятная, про 3 и 4 поколения... Но лирическая - автор не делает хотя бы личных предположений - а какая же должна это быть сеть 4го поколения

Ну так вы толком и не сказали что у вас произошло, хотя можно догадаться, что очередной флудер срал мак адресами, забил мыльнице мозги и та стала транслировать всю эту белиберду на все порты. Так вот и прямой вопрос вашему провайдеру о типе его оборудования и средствах мониторинга сети - давайте начнем с него плясать.

Нет, не угадали. С мыльницой или не мыльницой возможно было все в порядке. (возможно?) Какой-то засранец на ARP-запросы тех, кто был на данный момент в сети, посылал ARP-ответ, что это его ИП. После получения адреса по DHCP ИП дополнительно проверяется - а нет ли уже у кого такого. И он был! ;) В результате, все после получения DHCP ответа после перепроверки отваливались ни с чем - нельзя получить адрес.
А сос стороны провайдера на первый взгляд все было пристойно - DHCP запросы идут, ИП раздаются.

И я это понял сразу - как только посмотрел через Packetyzer пакетики.
А оператора поддержки и мастеров пришлось уговаривать - винду мне переставлять совсем ни к чему и ее обновления тут ни при чем ;)

Интересно получается, с одной стороны вы воспользовались средством диагностики сетей, а с другой стороны средством для перехвата трафика и возможно использования потом чужих паролей и др. информации. Тот человек занимался арп спуфингом, а вы снифингом. Тут действительно железо ни причем, админу задницу пороть надо.

Я без специальных ухищрений не могу подслушать чужой траффик кроме широковещательного - это ж свитч ;) А слушать собственный - это мое дело.
Если б я не пользовался мозгом и инструментами - так и переставлял бы винду по каждому совету мастеров.
Но дело не в этом.
Кроме самого факта меня заинтриговала 3х часовая эпопея.
Я дозвонился (примерно через 30мин после начала трабла) и четко доложил проблему. На ее устрание ушло 2.5 часа.
Поставленный диагноз просто никто не воспринял всеръез (видимо потому что шквала звонков не было),
пока на ноуте мастера не было продемонстрировано в его АРП таблице два ИП с одинаковым МАК.
Если бы кто-то из важных людей (а кого-то точно дернули) сразу заснифил трафик удаленно - проблема решилась бы гораздо проще.

[QUOTE=Kaiser_Wilhelm_II;1634863]Все ваши вопросы закончатся тогда, когда операторам на телефонах техподдержки начнут платить хорошую зарплату, и там станут работать грамотные люди, а не студенты, знающие только команду ping.[/QUOTE]

+1

Глупости.
1. Не используют. Не выгодно экономически. Очень жесткая конкуретная борьба исторически сложившаяся на рынке одесского провайдинга не позволяет такую роскошь. Средний платёж абонента составляет около $8. Сильно не разгуляешься.
2. Задумываются. И держат цельный штат людей для пресечение и превентирования. Как показала практика самый действенный способ это VLAN от клиента до роутера.
3. no comments

[QUOTE=GlatTon;1640705]Глупости.
1. Не используют. Не выгодно экономически. Очень жесткая конкуретная борьба исторически сложившаяся на рынке одесского провайдинга не позволяет такую роскошь. Средний платёж абонента составляет около $8. Сильно не разгуляешься.
2. Задумываются. И держат цельный штат людей для пресечение и превентирования. Как показала практика самый действенный способ это VLAN от клиента до роутера.
3. no comments[/QUOTE]
1. В принципе я и сам догадывался. Сейчас лозунги "больше скорость за меньшие деньги", "оптика наш светоч" и т.д. А диагностировать будут бегать мастера с ноутами. Однако, если отступить от такой роскоши как граббить траффик с любого выбранного порта, а остановиться хотя бы на каждой подсетке в целом - я думаю что можно поставить просто в подсетке компик на miniITX платке с впаянным процем - в 100-150 тугриков уложиться можно. Имеет ли это смысл, если в подсетке в среднем человек 50 - хз.
2. И что - пользователи не видят друг друга? А как быть если P2P (битторент например). Или роутятся друг к другу по ИП через роутер?
Если так - то да, может проблемы с кулхацкерами по ARP это решает, но роутер, при активном обмене между пользователями в данной подсетке пыхтит в полный рост.

В целом - спасибо за первый ответ от представителя провайдера. Другие че-то не спешат...

1. какой-бы ни был умный свич всегда найдется урод который в курсе как его доконать, по мне dlink 3026 или 3526 это удачный выбор
2. я противник vpn для доступа локальных абонентов, у нас ip-mac + веб авторизация, в некоторых местах port security свичи, хотя если честно привязывать порт к МАС-у неправильно
3. 802.1х существенно осложняет настройку у клиентов
4. нужно изолировать порты, но в таком случае весь внутрисетевой траф попрется через роутер, те же МТСы если vlan на клиента делать
5. itx в 150 баксов не уложишься
6. слушать интерфейс конечно можно, но если изолировать абонентов то см. пункт 4, а если нет то не замахаешься слушать 250 человек ?
7. я провайдер маленький и не могу себе позволить сапорт инжинера с зарплатой 700-800 баксов с учетом того что их как минимум 3-е нужно, а гиганты просто жадничают :)

[QUOTE=GlatTon;1640705]Глупости.
1. Не используют. Не выгодно экономически. Очень жесткая конкуретная борьба исторически сложившаяся на рынке одесского провайдинга не позволяет такую роскошь. Средний платёж абонента составляет около $8. Сильно не разгуляешься.
2. Задумываются. И держат цельный штат людей для пресечение и превентирования. Как показала практика самый действенный способ это VLAN от клиента до роутера.
3. no comments[/QUOTE]

Ну я не был бы так категоричен и не расписывался за всех провайдеров.
Целый штат людей для превентивных мер :-), а группы захвата и ликвидации у вас случайно нет?

У нас управляемый лаер2 на всех, изоляция портов, ип+мак и ип+порт привязка, смарт агенты собирающие статистику с портов каждые 15 минут и такие как Guffy не звонили бы в службу поддержки, ему сами бы позвонили.

Ай яй яй, меня уже в хацкеры записали. Я уже трясусь как лист:rzhu_nimagu: Шо ж я такого сделал то? Помог сам себе и родному провайдеру (да да - я ему помог, я так считаю. иначе сидели бы еще хз сколько комрады нашей подсетки на банане) - преступление?
А самое интересное, ну к примеру, сижу я слушаю свой трафик в Ethereal - как вы собираетесь меня найти? вот очень интересно с этого момента.

А вас никто ни в чем не обвинял, юношеский максимализм пьянит вам мозг не хуже водки. Вы со своими примитивными сниферами и арп спуферами сами выставили себя мега спецом. Для разнообразия почитайте на досуге УК касательно вмешательства в работу информационных сетей и систем. Один дурачек тут на форуме тоже орал что Сохо взломан и всем продаст секрет взлома, незадорого за 10 дол.
Может он появится вновь и раскажет как у него потом дела сложились и сколько денег, чтобы отмазаться он потратил. Вы посмеялись над своим провайдером, кстатит который так и остался секретом для многих, ну и закончим на этом. Бай.

[QUOTE=krendel;1645474]А вас никто ни в чем не обвинял, юношеский максимализм пьянит вам мозг не хуже водки. Вы со своими примитивными сниферами и арп спуферами сами выставили себя мега спецом. Для разнообразия почитайте на досуге УК касательно вмешательства в работу информационных сетей и систем. Один дурачек тут на форуме тоже орал что Сохо взломан и всем продаст секрет взлома, незадорого за 10 дол.
Может он появится вновь и раскажет как у него потом дела сложились и сколько денег, чтобы отмазаться он потратил. Вы посмеялись над своим провайдером, кстатит который так и остался секретом для многих, ну и закончим на этом. Бай.[/QUOTE]
Уважаемый, не надо применять свои соховские привычки в общественном месте.
Во-первых, я не удивлюсь если окажется, что я постарше Вас и стаж может оказаться побольше. Может быть все. Так что не нужно махать юношескими максимализмами и ставить диагноз "опьянение мозга" заочно.
Во-вторых, packet driver живет где-то между NDIS драйвером сетевой и драйверами протоколов на [U]моей[/U] машине. Слушаю я иногда [U]свой[/U] траффик, чтобы в случае проблем понять в чем дело. И никаким образом "вмешательства в работу информационных сетей и систем", не принадлежащих мне, не произвожу. Кроме УК почитывайте иногда матчасть.
В-третьих, я и не думал не над кем смеяться. Безопасность в сетях - это часто печально а не смешно. А провайдера я и не назову, зачем же.
А в целом, пока Вы говорите дело, мы может быть продолжим с Вами общаться в нормальном режиме. А когда Вы говорите, что таких как я надо отлавливать, кстати так и не ответив каким образом Вам бы это удалось - Вы перегибаете, и говорить лично с Вами не о чем.

[B][COLOR="Red"]MOD
Просьба не переходить на личности.[/COLOR][/B]

Думаю, что связки ip+mac и mac+port для большинства сетей будет вполне достаточно. Другое дело, что многие провайдеры не считают нужным даже ставить умные свичи и сидят на тупых...

И опять же повторюсь, что набрав парочку сотрудников техподдержки с ЗП в районе 350 уе и соответствующей квалификацией, компания получит меньше геморроя, чем набирать техподдержку с зарплатой 150-200 уе и целым штатом линейных мастеров, основной обязанностью которых явялется устранение неполадок и поиск "кулхацкеров".

[QUOTE]И опять же повторюсь, что набрав парочку сотрудников техподдержки с ЗП в районе 350 уе и соответствующей квалификацией, компания получит меньше геморроя, чем набирать техподдержку с зарплатой 150-200 уе и целым штатом линейных мастеров, основной обязанностью которых явялется устранение неполадок и поиск "кулхацкеров".[/QUOTE]

Не катит.
ТехСапп 1500 грн + Линейщики 1500-2500 грн + "помощник админа" 2000 грн. Такая связка очень успешно себя зарекомендовала.

Зарплата в 350 у.е. не спасает нормального специалиста - сейчас к сожалению даже 500 не спасает, посему 500 будет нижним пределом... проверено неоднократно в свете последних скачков цен на всё :)

дело не в 500 баксах, с точки зрения работодателя главное эффективность, один человек может стоить 300 в месяц и это будет дорого, другой 500 и это будет дешево. специалистов - единицы, 19 из 20 только считают себя таковыми. а вообще найти работу за 500 в месяц довольно сложно, очень хорошие программисты зарабатывают 700-1500 в месяц.

У меня сеть на 100+ человек, используются тупые свитчи + роутеры, на большее не способны увы. А 500 у.е на техподдержку это по-моему предостаточно.

[QUOTE=Den Ice;1674041]У меня сеть на 100+ человек, используются тупые свитчи + роутеры, на большее не способны увы. А 500 у.е на техподдержку это по-моему предостаточно.[/QUOTE]

в твоем случае это даже много. а так - как в том анекдоте - когда хороший админ с утра до вечера носится по клиентам и что-то делает, а плохой сидит и целый день играется

[QUOTE=Den Ice;1674041]У меня сеть на 100+ человек, используются тупые свитчи + роутеры, на большее не способны увы. А 500 у.е на техподдержку это по-моему предостаточно.[/QUOTE]
Таки да это много, если учесть средний платеж в 10-15 дол. с абонента, то у вас админ должен быть и монтером и службой поддержки на ногах и ремонтником.

[QUOTE=Guffy;1645341]Ай яй яй, меня уже в хацкеры записали. Я уже трясусь как лист:rzhu_nimagu: Шо ж я такого сделал то? Помог сам себе и родному провайдеру (да да - я ему помог, я так считаю. иначе сидели бы еще хз сколько комрады нашей подсетки на банане) - преступление?
А самое интересное, ну к примеру, сижу я слушаю свой трафик в Ethereal - как вы собираетесь меня найти? вот очень интересно с этого момента.[/QUOTE]

Обнаружение сниферов в сети
[url]http://www.trizon.ru/obnaruzhenie-sniferov-v-seti/[/url]

[QUOTE=Tucha;1675690]Обнаружение сниферов в сети
[url]http://www.trizon.ru/obnaruzhenie-sniferov-v-seti/[/url][/QUOTE]
все это занятно, но в коммутируемой сетке включать “promisc mode” нет никакого смысла, а при его "невключении" статейка не дает ответов на поставленные вопросы. Я еще раз подчеркиваю - если вдруг возникают какие-то проблемы - я смотрю [B]свой[/B] траффик и “promisc mode” не использую (а даже если б при неких злых намерениях включал - при наличии свича это ничего толком не дало, без арп-спуфинга).

Материал из Википедии — свободной энциклопедии

Sniffer (от англ. to sniff — нюхать) — сетевой анализатор трафика, программа или программно-аппаратное устройство, предназначенное для перехвата и последующего анализа, либо только анализа сетевого трафика, [b]предназначенного для других узлов. [/b]

В Ethereal сказано:
-p

Don't put the interface into promiscuous mode. Note that the interface might be in promiscuous mode for some other reason; hence, -p cannot be used to ensure that the only traffic that is captured is traffic sent to or from the machine on which Ethereal is running, broadcast traffic, and multicast traffic to addresses received by that machine.

Так что по-идее это не сниффинг =))

[QUOTE=Guffy;1634132]
1. Используются ли на коммутаторах агенты анализатора пакетов - если нет - почему?[/QUOTE]
А смысл? Что там смотреть?

[QUOTE=Guffy;1634132]
Задиагноститровав за пару минут проблему,
[/QUOTE]
Вауууу.
[QUOTE=Guffy;1634132]
Теперь вопрос - зачем было гонять людей, если бы толковый человек, воспользовавшись анализатором пакетов (и агентом захвата в требуемой подсетке) за те же 5 мин увидел бы тоже что и я. И в целом найти виновного можно было за 10 мин, а не за 3 часа.
[/QUOTE]
Доверять пользователю- себя не уважать. Относится как к администрированию, так и программированию.

[QUOTE=Guffy;1634132]
2. Задумыватся ли провайдеры о безопасности своих локальных сетей? Что они думают по поводу, например, внедрения 802.1х?
[/QUOTE]
Да, прикольная вещь. Цена только высоковата, за такую реализацию.

[QUOTE=Guffy;1634132]
Почему до сих пор используется VPN с аутентификацией PAP :stop:?
[/QUOTE]
А что поменяется если будет chap?


[QUOTE=Guffy;1634132]
Почему я, а не провайдер, должен задумываться о нюансах VPN+PAP, DHCP и ARP - что будет если какой-то засранец поднимет левый DHCP сервер или займется такой веселухой как ARP-poisoning.
[/QUOTE]
Потому, что провайдеры уже об этом подумали и решили, что оно того не стоит.

[QUOTE=Guffy;1634132]
Какие соображения у провайдеров на тему 802.1х, EAP+TLS, IPSec?
[/QUOTE]
А вы прикрутите IPSec на Home Edition SP1 и у вас больше не будет глупых вопросов. А EAP+TLS очень чудно дружат со всеми win 9x/me.

[QUOTE=Guffy;1634132]
3. Когда мастеров научат чему-то кроме ping? Где знания хотя бы банальной утилиты arp (не говоря уже о Packetyzer/Ethereal)?[/QUOTE]
После вашего повествования это будет обязательный пункт приема на работу.
-А вы арпом владеете? А на каком уровне?
....
-На втором? А почему так мало?

1. Смотреть там есть что. Легче конечно "отпарить" клиента что у него винда поламалась или обновилась. И если б клиент оказался не настойчивым - сидели бы еще хз сколько. Бо "у нас все работает". Пока нытье не перешло бы в массовое.
зы: Вообще, за то что "рекомендуют" не обновлять ОС заплатками - надо язык отбивать.
2. Home Edition это как собака Баскервилей - слышал но не видел (ну все таки видел - 1 раз ;) ) . И вообще меня проблемы индейцев (9x/me) мало волнуют. Пусть будет возможность нормальным клиентам работать по EAP, а индейцы пусть с сервером договариваются хоть и на PAP, если так нравиться. Вот это нормальный подход.
3. Ну и хорошо что будет. Вы предпочитаете повышение образованности профильного персонала или деградацию? ;)

1) Там будет, что смотреть тогда, когда управляемы свитчи буду использоватся на уровне доступа, а не только в ядре. При средней стоимости 24*100Mb+2*1G свитча порядка 250$ и количестве пользователей около 1к стоимость только свитчей уровня доступа будет больше 10к $. Как уже выше писалось в среднем абонент приносит 10-15$ в месяц. Т.е месяц провайдеру необходимо работать только на свитчи. Сотрудники без зарплаты, за аренду и коммунальные услуги тоже не из чего платить, ну и внешний канал очевидно тоже отрежут за неуплату.
Тем более необходимо понимать, использование всех 24 портов в свитче это идеал. На самом деле понадобится свитчей в несколько раз больше.
Как по вашему за счет чего провайдер должен покрывать стоимость оборудования? Ответ думаю очевиден. А о том, что чем больше железа, тем больше глюков надеюсь объяснять не надо.
2) Вы смотрите со своей "колокольни" и вас беспокоит только то чтобы вам было хорошо. А провайдер должен учитывать мнение остальных 999 клиентов. В большинстве организаций и стоит сие чудо программерской мысли, гордо именуемое "Home Edition"
3) Пользователи, готовы платить больше за обслуживание высококвалифицированным персоналом? Нет и еще раз нет.

Надеюсь вы поняли что все упирается в денюжку. Никто не будет замораживать крупные суммы денег для удобства пользователей. Потому, что автоматом начинаешь проигрывать конкурентам.

P.S. Написано сумбурно, но думаю, что идею ухватить можно

тот, кто не будет заморачиваться - имеет все шансы серьезно пролететь. учитывать надо разницу в стоимости абонента подключенного "как-нибудь" и "по правильному" при продаже бизнеса, ну и риск потерять абонентскую базу при большом количестве косяков в предоставлении сервиса. просто не надо ударяться в крайности ни клиентам ни провайдерам.