Port Mirroring

Eigentlich war ich mal wieder auf der Suche einfach ein paar Endgeräte auf ihr "Verhalten" im Netzwerk zu untersuchen. Da ich aber nicht immer auf dem Firmenswitch mit Port Mirroring arbeiten wollte, habe ich mir eine andere Lösung überlegt und gefunden. Und sie kostet nicht mehr als 25€.

Warum Mirroring ?

Der Einsatz von NetMon 3 und WireShark erfordert, dass man die Pakete auch geliefert bekommt, die man anschauen will. Das funktioniert auf einem "shared Medium" wie dem alten BNC-Kabel (10MBit) oder einem Hub recht einfach. Aber schon bei 100MBit sind Switches im Einsatz und die entscheiden anhand der MAC-Adresse, was ich sehen kann.

Allerdings gibt es bei "verwalteten" Switches oft die Möglichkeit, einen Port zu "Spiegeln" (Mirroring), d.h. alle Daten die auf einem Port raus und rein gehen, werden auf einem anderen Port als Kopie noch einmal ausgegeben. So kann dann ein an diesem Port angeschlossener Analyseclient diese Daten mitschneiden und analysieren. Der Einsatzbereich ist umfangreich:

  • Analyse von Endgeräten
    Ich schaue schon mal gerne einem VoIP-Telefon auf die Finger, in welcher Reihenfolge es versucht Namen aufzulösen und Hosts zu erreichen. Auch "Smart-TVs" sind durchaus für eine weitere Untersuchung interessant.
  • Verkehrsdatenerfassung
    Wenn ihr Router/Switch kein SFLOW, NetFlow o.ä. Unterstützt, dann ist es durchaus eine Option die fragliche Leitung zu "spiegeln" und an einem anderen System die Datenpakete auf Quelle und Ziel zu untersuchen, z.B. mit NTOP o.ä.
  • Fehlersuche
    Ganz generell ist so ein Mitschnitt immer dann ein Weg zur Fehlersuche, wenn alle anderen "offensichtlichen" Probleme nicht zutreffen. Selbst ein Netzwerkmonitor auf einem beteiligten Server sieht immer nur, was über den Netzwerkstack zur Netzwerkkarte geht aber nicht, was letztlich auf dem Kabel landet. Ich kann mich gut an den Fall erinnern, als zwischen zwei Exchange Servern Mails mit 25 Empfänger nicht zugestellt wurden. Ursache war ein fehlerhafter Netzwerktreiber, der das Paket nie auf die Leitung gesetzt hat. Das war in NETMON auf dem absendenden Server nicht zu sehen.

Das Problem der großen Switches ist aber, dass Sie ein groß sind und damit eher stationär eingesetzt werden. Weiterhin muss das Mirroring über die Managementfunktionen konfiguriert werden, die sich nicht immer auf Anhieb erschließen. Zudem sind solche Switches in der Regel etwas teurer.

Mirror-Port oder Router/Bridge

Auch wenn Lync ziemlich viel per TLS verschlüsselt und auch Outlook/Exchange/ActiveSync bevorzugt per SSL kommuniziert, so kann ein erfahrener Consultant aus einem Netzwerkmitschnitt doch sehr gut erkennen, was passiert und was eben auch nicht funktioniert. Viele Basisfunktionen sind unverschlüsselt und so kann an gut sehen, welche DNS-Anfragen der Client macht und wie die Antworten darauf ausfallen. Auch einfache Protokolle (SNMP, TFTP, FTP, NTP) lassen sich erkennen. Selbst RTP ist zumindest erfassbar. für Server ist es auch interessant, welche Clients über welche Ports auf den Server zugreifen. Quasi eine Abbildung von NETFLOW/SFlow, wenn der Switch es nicht kann oder Sie darauf nicht zugreifen dürfen. Beachten Sie aber, dass eine interessante Verbindung bidirektional doppelt so viel Daten liefern kann, wie ein Mirrorport mit der gleichen Geschwindigkeit weiter geben kann. Um an diese Daten zu kommen können Sie verschiedene Wege gehen:

  • passiver "TAP"
    Nicht erst die NSA kennt diese Technik, um passiv an einem Kabel einfach "mit zu lauschen". Wer ein Glasfaser etwas "biegt" kann so eine kleine Menge des Lichts auskoppen und auffangen. Bei Kupferleitungen geht dies durch Übertrager. Es gibt auch für Ethernet mittlerweile elektronische Bauteile, die eingeschliffen werden und die Signale abgreifen. Dennoch ist dies ein eher aufwändiges Verfahren und eine schnelle Suche liefert ein paar "Selbstbauprojekte" mit Kabeln oder teure Komponenten:
  • Port-Mirroring
    Am einfachsten ist es wirklich einen Hub oder Switch dazwischen zu schalten, der auf Layer2 die Pakete weiter gibt und die fraglichen Pakete also Kopie an einen zusätzlichen Port sendet. Hierfür stelle ich weiter unten eine kleine Lösung vor.
  • Bridge samt Mitschnitt
    Eine dritte Variante besteht darin den Überwachungscomputer quasi als "Switch/Bridge" in das Netzwerk zu integrieren. Das kann sogar mit einem normalen Windows-Client erfolgen. Sie können mit einem Windows PC nämlich eine Verbindung "überbrücken". Dies geht in den erweiterten Netzwerkeinstellungen:
  • Windows als NAT-Router
    Eine abgewandelte Funktion hierbei kann man dank" Internet Connection Sharing" mit Windows umsetzen. Eine Netzwerkkarte geht wie gewohnt zum Haus-LAN und die zweite Karte wird als "Intern" definiert. Der Testclient ist also in einem eigenen "Subnetz" und bekommt vom Windows-"Gateway" eine IP-Adresse und das Default Gateway. Alle Pakete des Clients werden durch den Windows PC als "NAT-Router" in das andere LAN geleitet. Auch hier kann auf dem Windows Gateway der Verkehr mitgeschnitten werden.

Die beiden Konfigurationen mit einem Windows PC als Vermittler ist natürlich auch mit anderen Betriebssystemen möglich. Sie benötigen aber zwei Netzwerkkarten. Wer also mit einem Notebook unterwegs ist, muss eine zweite Netzwerkkarte z.B. über USB anbinden. Diese kosten auch nicht mehr viel aber ohne weiteres Equipment ist nur ein Gerät anschließbar und der Durchsatz häng von diesem Zwischenstück ab. für eine "Ad Hoc"-Analyse ist dies aber durchaus eine Option. Nebenbei kann der PC selbst auch noch im Netzwerk arbeiten, d.h. wenn keine 802.1x-Authentifizierung den Zugriff verhindert, können Sie so an einem Port zwei Endgeräte betreiben.

Ein Switch (z.B. NetGear GS105Ev2)

Da es für 100/1000 Megabit nur Switche gibt und keine Hubs mehr möglich sind, muss also ein Switch ins Haus, der einen Mirror-Port hat, klein und mobil ist und idealerweise nicht viel Geld kostet. Natürlich gibt es sehr leistungsfähige Switches wie z.B. einen "CISCO SG 200-08P 8-port Gigabit PoE Smart Switch", der 8 Ports, SNMP, PoE für ca. 160€ oder unter 100€ ohne PoE mitbringt. Aber er kann schon wieder "zu viel" und ist mit dem Netzteil auch nicht gerade mobil.

Für weniger als 25€ gibt es einen interessanteren Switch für den Zweck von NetGear. Auf der Homepage ( http://www.netgear.de/products/business/switches/prosafe-plus-switches/gs105e.aspx ) steht schon direkt neben dem Bild, dass "Netzwerk Monitoring" möglich ist. Das müsste natürlich "Mirroring" heißen.

Wem die 5 Ports nicht reichen, dann den GS108E mit 8 Ports kaufen, der kaum teurer aber eben größer ist. Es gibt noch Varianten mit PoE-Port, die dann aber noch größer., schwerer und teurer sind. ich beschränke mich daher auf den kleinsten GS-105E.

Er unterstützt zwar kein Monitoring per Webbrowser oder SNMP, sondern nur über eine proprietäre Software, die anscheinend recht unkonventionell per UDP Broadcasts auf Port 63321/63322 kommuniziert, aber bezüglich Spiegelung auch ohne Handbuch konfiguriert werden kann.

So einfach kann der Verkehr von Port 4 auf Port 5 spiegeln. Man kann sogar mehrere Ports auswählen.

Hinweis:
Ein Computer am Zielport kann dennoch selbst auch noch weiter arbeiten. Wenn er aber ein Paket versendet, welches dann über einen der Quellport weiter geleitet wird, dann bekommt er das Paket zusätzlich auch noch mal zu sehen. Auch eingehende Pakete an einem Quellport, die sowieso beim Zielport landen, werden dupliziert. Dies müssen Sie beim Mitschneiden berücksichtigen.

Über die Funktion "Kabeltester" soll man sogar ermitteln können, wie weit ein Fehler vom Switch entfernt ist. Die Stromversorgung übernimmt ein kleines Steckernetzteil mit 12V/1A. Soweit ist alles perfekt. Der Zugang zum Switch ist mit einem Passwort gesichert (Default = password) und der Switch bezieht per DHCP eine eigene IP-Adresse.

Kleiner Hinweis: Die Software verbindet sich per HTTP mit Adobe, um die aktuelle Version der AIR-Software zu prüfen und weiterhin per HTTPS zu "my.netgear.com". Vermutlich um den Registrierungsstatus des Switches zu erhalten.

Interessanterweise kann man den Switch entgegen der Aussagen in Formen schon per HTTP ansprechen und es erscheint eine Kennwortabfrage. Aber in keiner Beschreibung gibt es einen Hinweis auf diese Zugangsdaten und was dann damit möglich ist. Netgear stellt aber auch eine Firmware zum Download bereit und da kann man schon mal allein mit einem Texteditor reinschauen und wird fündig:


Blick mit Texteditor in GS105Ev2_V1.2.0.5.bin

Seit Juni 2014 gibt es eine neue Firmware "GS105Ev2_V1.3.0.1 ", in der die Kennworte zumindest nicht mehr so einfach ersichtlich sind.

Mit dem Benutzernamen "ntgruser" und dem Kennwort "debugpassword" ist eine Anmeldung möglich.

mich erfolgreich anmelden. Mehr als einer leeren Webseite mit einer Bestätigung habe ich noch nicht erhalten. Weiterhin habe noch die Paarung "dniuser" und "password" gefunden, die aber nicht für die Webanmeldung taugt. Schaut man weiter im Code, dann finden sich durchaus Menüs, die man aber vermutlich eher per SSH oder Telnet erreichen könnte. Ein Portscan per NMAP hat aber nicht

Ein Portscan mit NMAP hat aber keinen weiteren TCP-Port angezeigt, was aber nicht heißt, dass die Box nicht auf UDP-Pakete reagiert.

C:\>nmap -p1-65535 192.168.178.47

Starting Nmap 6.01 ( http://nmap.org ) at 2014-07-05 18:12 Mitteleuropäische Sommerzeit
Nmap scan report für 192.168.178.47
Host is up (0.094s latency).
Not shown: 65534 filtered ports
PORT   STATE SERVICE
80/tcp open  http
MAC Address: xx:xx:xx:xx:xx:xx (Unknown)

Vielleicht muss man diese Zugänge erst "aufschließen", denn es finden sich noch weitere HTML-Fragmente mit "Form POST"-Anweisungen, die anscheinend die MAC-Adresse setzen, Firmware aktualisieren oder einen "ProdUCE Burn-In" aktivieren.

/style.css
/prodUCE_burn.cgi
/register_debug.cgi
/bootcode_update.cgi) 

Das bekommt man schon heraus, ohne die CPU-Plattform zu können oder den Code zu dekompilieren. Aufgrund der "bekannten" Default Kennworte würde ich den Switch nicht in kritischen Umgebungen einsetzen, wenn jemand mit dem Debuguser" z.B. das Hauptkennwort ändern könnte und damit heimlich ein Mirroring aufsetzen könne. für ein Testfeld oder im SOHO-Bereich sind diese Risiken eher vernachlässigbar.

Interessanter ist da eher die Abwärme, die einen Hinweis auf den Strombedarf sein kann. Weder Netzteil noch Switch wurden nennenswert warm. Wer mag, dann den Switch sogar aufschrauben. Viel ist aber wirklich nicht mehr drin. Anscheinend ist die gesamte "Elektrik" in ein paar Chips verschwunden. Auf der Rückseite ist auch ein Schalter für "Factory Default"

Interessant ist natürlich schon, dass so eine Box samt Netzteil weniger kostet als ein Arduino Ethernet oder RasPi ohne Gehäuse und Netzteil. Wenn man von den 20€ netto noch den Vertrieb und Logistik abzieht, dann sprechen wir hier wirklich nur noch von minimalen Herstellungskosten.

Da kann man dann doch mal drüber weg schauen, dass der Switch kein SNMP oder HTTP spricht und die Bandbreitensteuerung recht rudimentär ist.

Auch QoS ist wohl eher ein Feigenblatt:

Beides könnte aber reichen, um im Heimbereich z.B. eine DSL-Leitung etwas "fairer" den Teilnehmern zuzuweisen.

19,90€ netto zzgl. MwSt. Und Versand ist immer noch ganz wenig Geld für die gebotene Leistung, auch wenn die Sicherheit durch die Default Kennworte nicht ganz klar ist. für ein Test und Demofeld ist die gebotene Leistung mehr als ausreichend und Insbesondere die Mirror-Funktion ist für mich das Kaufkriterium gewesen, um mal schnell und unkompliziert einem VoIP-Endgerät auf die Finger zu schauen, wenn ich auf dem Gerät selbst nicht mit Debugtools arbeiten kann.

Bitte keinen Servicevertrag !

Wenn Sie auf der NetGear-Webseite ihren kleinen GS105E registrieren wollen, z.B. Um über Updates informiert zu werden, dann könnten Sie ein durchaus lustiges Zusatzangebot sehen. NetGear bietet für den kleinen Switch tatsächlich 24x7 Support an. Allerdinge für einen Preis, für den Sie vermutlich sechs oder mehr Geräte selbst kaufen könnten.

Hier ist dann ein "No Thanks" die bessere Antwort. Eine Info über eine neue Firmware habe ich aber nicht bekommen.

Weitere Links