comXline Firewall

[Fraggel]

Moin!

Privatkunde, keine IT-Nerd, 0815-Installation mit Telekom DSL-Router (Speedport). 2 dazugehörige Speedport-WLAN-Repeater (diese runden Dinger). Sonst auch nix ungewöhnliches... HP-Drucker, X-Box, und ein Sack voll iPhones...

Das comXline meldet dauerhaft im 5 Minuten Rhythmus: DoS-Attacke, DATA-Flooding -> Ethernet-Port wird abgeschaltet. Dadurch natürlich permanente Verbindungsabbrüche zur AES.

Hat irgendjemand dazu ne Idee, ob evtl. Speedport, HP-Drucker oder sonstwas im Hintergrund das LAN scannt? Hab ich so noch nicht erlebt und wüsste auch keine Speedport-Einstellung, die sowas macht. Aber ich kenne mich mit dem Speedport-Repeater-Mesh auch nicht so gut aus.
Sowas ähnliches hatten wir erst einmal: Da hatte der Kunde seine Büro IT als Ubiquity SDN organisiert und der SDN-Controller hat da wohl wirklich permanent das Netzwerk gescannt. Darauf hatte dann auch das comXline reagiert.

(Kunde will nicht für intensive Suche bezahlen. Sind so verblieben, dass er mal nach und nach alle Geräte tageweise bei sich abklemmt und wir in der NSL schauen, ob der Tag störungsfrei war.)

[sysalarm]

War das bislang erprobt störungsfrei oder ist das eine Neuinstallation?

[Fraggel]

ComXline neu installiert (weil Telim nicht mehr funktionierte). Der beschriebene Effekt vom ersten Moment an. Läuft schon ein paar Monate und langsam nervt das volllaufende Log in der NSL.

Man muss aber auch dazu sagen: In dieser Form bemerkbar ist der Fehler nur, wenn man im comXline "stehende Verbindung" parametriert hat. Bei einer bedarfsgesteuerten Aufschaltung würde das lange nicht auffallen. Zumindest solange wie nicht irgendjemand mal kritisch in den Ereignisspeicher schaut.

[sc-swiss]

Allenfalls einmal mit Wireshark aufzeichnen?
Gibt es IoT Geräte? die tun manchmal sehr komische Dinge…