Newsgroup: it.lavoro.informatica
Titolo: Problema, IP che da dinamico diventa statico

Ciao a tutti,
da un cliente mi sta accadendo una cosa stranissima.
Rete windows, circa 100 client. Active Directory, i pc client prendono 
l'ip da dhcp.
Ultimamente mi stanno chiamando *spesso*, dicendo "internet non funziona 
su 2-3 pc"
Vado a vedere, e sui pc in questione trovo un ip fisso (coerente con la 
nostra subnet) e un gateway totalmente sballato (sempre diverso).
Rimetto i pc in dinamico, e tutto torna a posto.
La cosa sta capitando *troppe* volte per pensare a qualche utente 
smanettone che non sa quello che fa...e capita sempre su pc diversi, con 
ip e gateway diversi.
Idee? Siete al corrente di qualche virus recente che potrebbe fare 
quanto sopra?
:-)
Grazie
ciao
-- 
LombaX
http://lombax85.blogspot.com


Si', il virus si chiama "utente". Il rimedio ï¿œ una sonora martellata 
sulle mani e la variazione delle pwd amministrative.

 mani e la variazione delle pwd amministrative.
dhcp pollution, cerca su google 

 ha scritto nel messaggio 
news:itv28p$2gk$1...@nnrp-beta.newsland.it...

la soluzione piu immediata in windows e' acquisire i mac via script o 
scanner, e popolare il db dhcp di entry statiche. poi uno sniffer ti sara di 
aiuto, esiste una utility da tempo, potrebbe essere anche un portatile. 
Altra soluzione, piu complessa, dopo l'acquisizione dei mac, e di popolare 
gli switch con gli appositi mac ma non posso esser piu preciso, dovrei 
sapere che architettura hai 


Non mi risluta che dhcp pollution faccia dichiarare statico l'ip del 
client, semmai puï¿œ far "girare" indirizzi riservati e cambiare 
effettivamente gateway.
Nella mia esperienza quando succedono cose cos'ï¿œ qualche utente ha 
trovato il modo per uscire in internet a discapito di altri.
Po per caritï¿œ...

 sapere che architettura hai
In realtï¿œ, cercando "dhcp pollution" su google (con le virgolette) trovo 
ben poco...senza virgolette non riesco a trovare una reale spiegazione 
di cosa sia.
Ipotizzando che sia una sorta di inquinamento del server dhcp (del mio, 
o magari presenza di un altro server dhcp "fantasma" all'interno della 
rete)...ci potrebbe stare.
Perï¿œ...la stranezza ï¿œ che, nel pannello TCP/IP, la scheda di rete ï¿œ 
impostata su *ip statico*.
Che io sappia, anche impostando delle entry statiche nel dhcp, la scheda 
di rete del pc rimane in dynamic. Poi ï¿œ il dhcp ad assegnarle sempre lo 
stesso ip, sulla base del mac, ma l'impostazione della scheda rimane 
dinamica.
Nel mio caso invece, mi ritrovo le schede di rete impostate su ip 
statico...e la cosa mi sembra anomala!
Rispondendo anche ad alef, dubito che siano gli utenti a cambiare 
l'ip....sta accadendo su troppe postazioni e in occasioni/luoghi/momenti 
del tutto casuali. L'unica alternativa ï¿œ che ci sia *un* utente 
dispettoso....
Per ora niente policy o utenze limitate....
Boh!!
-- 
LombaX
http://lombax85.blogspot.com


In realtï¿œ, un anno fa, mi sono trovato in una situazione analoga con 
VISTA. Dopo la configurazione di un indirizzo statico, benche' 
eliminato, la macchina continuava a riproporre la riconfigurazione del 
medesimo. La colpa era in un tool acer che eseguiva la riconfigurazione 
della scheda in base a profili indicati. Siccome avevo modificato 
direttamente la scheda il profilo di default riportava l'indirizzo statico.
Vedi se c'ï¿œ qualche tool "intelligente" di mezzo.
E magari fai qualche scansione su virus, se gli indirizzi statici sono 
assolutamente diversi da quelli della tua sottorete.

 Rimetto i pc in dinamico, e tutto torna a posto.
Potrebbe essere un malware, ma non ho notizia di qualcosa del genere...
Visto che e' ambiente AD, magari piazza delle policy che impediscano di
modificare le impostazioni di rete. Ovviamente, verifica poi eventuali
malware a bordo dei pc.
bye G.L.
-- 
Da i.d.c.tutela:
P.S. Quando ci sarï¿œ lo switch-off, avrï¿œ problemi anche col
monitor del PC? Ho visto che ï¿œ collegato in modalitï¿œ analogica.

>
 scusa, ho letto in velocita  il tread, e ti ho dato la risposta sbagliata, 
avevo un po di gente tra i piedi 

 Po per carit�...
dhcp pollution un client che si assegna piu mach e chiede indirizzi a 
manetta al server. Poi c'e' un altro tipo di attacco,e' un processo su un 
host win/linux che agisce come dhcp, poi dipende da come sono messi gli 
switch, per essere pratici se hai una dorsale in fibra su una palazzina con 
un ced sotterraneo, un pc infetto su un pian interconnesso allo switch, 
intercetta le arp prima che passino per la dorsale e assegna a quel piano 
indirizzi sballati 

 smanettone che non sa quello che fa...
spero che tu abbia motivi più concreti per escludere lo smanettone,
motivi del tipo "gli utenti smanettoni non hanno privilegi di
amministratore sulla macchina, quindi non possono essere loro"...
in ogni caso: potrebbe essere un maleware, ma si torna lì, vuol dire
sempre che ci sono troppi privilegi a giro.

 sempre che ci sono troppi privilegi a giro.
Gli utenti hanno i privilegi di admin sulle proprie macchine, ed � una 
scelta dei titolari indiscutibile
-- 
LombaX
http://lombax85.blogspot.com

 scelta dei titolari indiscutibile
...e ritorniamo al virus "utente". non � che si sollazzino di lan party?


no, il dhcp pollution puro satura il server dhcp, ma event vwr  system cosa 
dice?
ci sono i forum di vista sul sito di ms con gli mvp che ti possono 
rispondere. 


Ecchennesï¿œ, chiedi a chi ha il problema

 scelta dei titolari indiscutibile
discutibile lo è eccome, forse volevi dire irremovibile.
non per polemizzare ma io sono dell'idea che se l'utente ha i privilegi 
di admin allora "non mi va internet" lo deve dire solo a se stesso. 
anch'io il portatile aziendale lo braso sistematicamente con il sistema 
che voglio io, ma me ne assumo le responsabilità e qualsiasi problema 
tecnico lo risolvo da me. i privilegi di admin servono a configurarlo il 
sistema, non a sconfigurarlo più o meno accidentalmente e poi non saper 
levarci le gambe.
 

 levarci le gambe.
Sono d'accordo, ma ti dirò che in realtà di problemi tecnici ce n'è ben 
pochi. E' un'azienda un po' anomala...fai conto che il 90% del personale 
sa usare molto bene il computer. Quando li ho conosciuti, sono rimasto 
stupito :-)
Per come si sta presentando il problema attuale, è più probabile un worm 
o, al limite, *un utente* dispettoso...
-- 
LombaX
http://lombax85.blogspot.com

Il 24/06/2011 10:06, LombaX (was Fabiuss :) ha scritto:

Bhe, tienici aggiornati.....sopratutto perche' non mi ricordo di malware 
che sposti l'ip da dinamico a fisso.
Una domanda, il nuovo ip è sulla tua stessa sottorete? O è radicalmente 
diversa? Il gateway impostato assomiglia ai tuoi?
(Non è che ci sono due dhcp server sulla rete, vero?)

 (Non è che ci sono due dhcp server sulla rete, vero?)
No, ho fatto un po' di prove con wireshark...e comunque la scheda è 
impostata proprio su *ip statico*, cosa che un dhcp non può fare per 
quanto ne so.
Boh!
-- 
LombaX
http://lombax85.blogspot.com

 c'è modo di modificare la cosa.
Curiosita':
Come mai questa presa di posizione?
Non cambierebbero idea neanche se fai notare (anche a scapito tuo) che 
questo riduce il rischio di problemi sui pc e quindi i costi?

 c'è modo di modificare la cosa.
Curiosita':
Come mai questa presa di posizione?
Non cambierebbero idea neanche facendo notare che questo riduce il 


 macchina oggetto del cambio misterioso?
Nei prossimi giorni facciamo un po' di verifiche più approfondite sulle 
macchine incriminate e sul traffico di rete...
Vi tengo informati ;-)
-- 
LombaX
http://lombax85.blogspot.com

 questo riduce il rischio di problemi sui pc e quindi i costi?
Sono dei "visionari" un po' filosofi, un po' creativi...un po' fuori di 
testa (in senso buono :-)
Non vogliono restrizioni di nessun genere, ognuno dev'essere libero e 
creativo nell'utilizzo dei mezzi aziendali.
Pensa che in ufficio ci si può muovere in monopattino, e tutti i muri 
sono fatti con una vernice dall'effetto simile all'ardesia, con scritte 
fatte col gesso ovunque!
L'ambiente è una favola (è il mio cliente più "grosso" in termini di 
tempo...e probabilmente finirò a lavorare per loro fulltime, tanto mi 
piace :-)
-- 
LombaX
http://lombax85.blogspot.com


Capisco la creatività ma non vedo che creatività ci possa essere nei 
permessi di amministratore :)
Comunque contenti loro contenti tutti :)

 permessi di amministratore :)
La liberta' creativa di installare tutto quel che ti capita, se ti
piace. :-)
bye G.L.
-- 
Da i.d.c.tutela:
P.S. Quando ci sarà lo switch-off, avrò problemi anche col
monitor del PC? Ho visto che è collegato in modalità analogica.

 bye G.L.
Non invidio il gestore della rete aziendale che dovra' correre dietro 
alla creatività :)


Normalmente aziende cosi' falliscono. Ma ti/gli  auguro veramente il 
meglio e con tutto il cuore.

 bye G.L.
Magari senza controllare se è un malware...

 meglio e con tutto il cuore.
Spero di no! Tutto può essere, ma da quando sono sul mercato (15 anni),
l'unico anno in cui hanno fatturato "qualcosa" (5%) meno del precedente è
stato il 2010...facendo comunque utile. Gli altri anni sempre crescita e
sempre utile. Per il 2011 ci sono già ordini che permettono di superare il
2009...speriamo continuino così! :-)

CUT
"Oggi ho la camicia azzurrina, quindi come gateawy ci metto
192.168.15.123"
"Sa! sa! uan ciu' tri', uan ciu' tri'. Hmm non va piu' un cazzo.
Tecnicoooo!!!"
Bello no?
-- 
Living in Barbaropoli
http://www.barbaropoli.com

 ciao
tienici aggiornati !
Andrea
PS: la pass di admin su tutti i PC potrebbe essere il primo indiziato, pero' 
tu conosci i tuoi utenti e quindi a te le valutazioni 

 disparati...quindi o è un worm, o un utente stronzo che lo fa apposta.
imho la seconda che hai detto. Lo scenario che mi viene in mente è che
"qualcuno", per fare un lan party o per una sessione di navigazione...
diciamo godereccia, ha deciso di non passare dal gateway ufficiale o
perchè questo implica scontrarsi con un proxy o con un firewall, o
perchè semplicemente non vuole lasciare "tracce" in log o altri
sistemi di registrazione delle attività. Cioè il sospettato si porta
dietro un suo pc con scheda 3G, lo collega alla rete e gli dà un
indirizzo fisso, poi ci fa girare sopra un internet sharing o altro
sistema di routing, e "punta" i pc che gli servono a lui come gateway
(probabilmente utilizzando anche quelli di altri utenti, magari quando
sono in pausa pranzo), per passare da un link non controllato
dall'azienda.
Quando vieni a fare il controllo ovviamente il rogue gateway non è
presente e quindi non ne trovi traccia, tranne forse che negli switch,
se sono sufficientemente "intelligenti".
Potresti provare anche a fare, nei limiti del lecito, qualche verifica
sui PC dove trovi gli indirizzi "tarocchi" per vedere se trovi
qualcosa di non professionale nelle cache dei browser e simili.
bye!

nostra subnet) e un gateway totalmente sballato (sempre diverso).
premesso che non sono un amministratore di rete, quindi ne so meno di chi ti 
ha già risposto, hai valutato l'ipotesi che il problema possa essere 
generato da una sola macchina, o affetta da qualche malaware o usata dal 
mattacchione?
Mi risulta che sia possibile utilizzare un tool MS (psexec) che consente tra 
l'altro si impostare da remoto l'IP di una macchina, in particolare 
configurarlo statico o dinamico.
http://countscomputercorner.blogspot.com/2010/03/changing-ip-address-remotely-using.html
Quindi questa casualità che vedi, non è il mattacchione che accede 
fisicamente alle macchine ma magari, gli IP da attaccare vengono presi a 
caso.
Mi par di capire che sulle macchine non vi sia firewall per il traffico di 
LAN, quindi la cosa sarebbe fattibile.
Ovviamente se ho detto una castroneria, rinnego tutto :)
Michele


Quel tool alla fine non fa altro che richiamare netsh.
Gia' con
netsh nomeinterfaccia ip set address name="Local Area Connection"
static indirizzoIP maschera gateway
si cambiano le proprieta' da dhcp a statiche a piacere.


dall'azienda.
Se una persona fosse abbastanza sveglia da fare quanto sopra, dovrebbe
anche avere la malizia di rimettere le cose a posto quando tutto è
finito; mi sembra strano che faccia tutto il lavoro di copertura prima,
e poi sia così sprovveduto da lasciare una traccia evidente delle sue
modifiche.
Per LombaX: hai pensato ad installare un keylogger su quei PC?
-- 
Ciao, Alessio - 
http://www.sleepers.it
Materiale in italiano per Agent: 
http://agentit.altervista.org/
FAQ di ICS.newsreader: 
http://faq.news.nic.it/wiki/IcsnFaq

 modifiche.
Eccezione valida. L'unica spiegazione possibile che mi viene in mente �
che il lamerone di turno *volutamente* voglia scassare le palle agli admin
che devono risistemare tutto. Magari ha impostato degli IP con la subnet
giusta, in modo che buona parte dei servizi di rete funzionano comunque,
per vedere se dai e ridai si stancano di rimettere a posto e glieli
lasciano in quel modo. Improbabile, ma � difficile entrare nella testa
delle persone...
bye!
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it