DoS-Attacke

[Jabor]

Hallo CB,

ich möchte hier ein für manche wohl heikles Thema ansprechen, aber selbstverständlich niemanden zu illegalen Aussagen bringen.

Wir organisieren sehr bald eine LAN - mehr oder weniger privat mit allerdings mehr als 40 Teilnehmern. Dabei werden IP-Adressen vergeben, an die die bezahlen.
Wer das nicht getan hat, hat auch keine IP-Adresse registriert...das hält ihn aber nicht davon ab, beim Nachbarn, der womöglich noch sein Freund ist, die IP-Adressenstruktur herauszufinden und sich eine freie IP auszusuchen.

Mit diversen Netzwerk-Scannern werden wir das Netzwerk auf solche Leute überprüfen.
Nur was wenn wir einen finden?
Leider sind sie nicht so freundlich und melden sich und deshalb bin ich zu dem Entschluss gekommen, diese Rechner alternativ von dem Netzwerk zu trennen.

Dies wollte ich mit DoS-Attacken erreichen, habe allerdings nicht allzu viel Ahnung davon.
Uns stehen im Organsisations-Team mindestens 7 Rechner zur Verfügung, mit einer Netzwerk-Bandbreite von 100 Mbits.

Meine Frage ist nun nicht WIE das geht - wie gesagt.... - sondern OB diese 7 Rechner reichen einen einzigen so lange von praktisch ungehindertem Netzwerkverkehr fernzuhalten, bis derjenige seine IP-Adresse ändert.

Wenn jemand eine bessere, eventuell weniger drastische Idee hat, nur zu!
Uns geht es übrigens NICHT darum unsere IP-Adressen zu verstecken - wir sehen uns also nicht als "die Bösen", unsere IP darf, oder soll sogar sichtbar sein beim Angreifer, denn aus unserer Sicht sind wir im Recht...

Ich hoffe ihr versteht mich nicht falsch...
greetZ Jabor

 

[Flo89]

Seid ihr über mehrere Gebäude verteilt oder nutzt ihr WLAN? Ansonsten seht ihr doch ganz einfach, wer da ist, wer nicht und wer, von denen die da sind, auch bezahlt haben. Oder übersehe ich da etwas?

 

[Jabor]

Wir sitzen alle in einem großen Raum.
Nur es kommen halt städnig Leute durch mehrere Eingänge und wir verlangen ja nicht, dass jeder der rein kommt sofort bezahlt, erstmal ausladen, PC aufbauen etc. und dann sollen die zu unserem Team nach vorne kommen und sich anmelden.

Nur wer das nicht tut kann ja trotzdem eine IP in unserem Bereich beziehen.
Wir haben KEIN WLAN sondern ein Netzwerk aus mehreren Switches, allesamt mindestens 100 Mbits.

Wer da ist, muss also nicht zwangsläufig bezahlt haben und nicht jeder der da ist, aber nicht bezahlt hat, versucht uns zu betrügen - schließlich müssen die ja wie gesagt vorher erstmal abladen etc.

Verstehst du was ich meine...
Im Prinzip wäre die IDEAL-Vorstellung:
vorne ein MEGA-Switch mit 50 Ports, jeder PC direkt mit Kabel mit dem Switch verbunden.
Software des Switches ordnet IP einem Anschluss zu und wenn wir sehen, bei IP X antowrtet jemand, aber die IP ist nicht registriert, beim Anschluss der zur IP gehört einfach den Stecker ziehen, fertig

Ich muss wohl nicht näher erläutern dass das so nicht geht
Aber im Prinzip würde ich das gerne durch diese DoS-Attacke erreichen, der Benutzer der diese IP verwendet soll keinen Zugriff mehr zu dem Netzwerk haben...

 

[luky37]

Entschuldige, aber ein Netzwerk mit einer DOS-Attacke vor unerwünschten Teilnehmern zu schützen mit Abstand die schlechteste Idee.

Du sagst ihr habt alles 100Mbit/s Switches? Dann würdest du dir mit einer DOS-Attacke dein Netzwerk absolut zumüllen.



Du hast nicht gesagt, welche Switches ihr benutzt, also nehme ich an, du sprichst von 0815 billig SOHO Switchen, die nicht managebar sind.

Bei managebaren Switches hättest du die Möglichkeit, Ports auf shutdown zu setzen, Mac-Adressen zu filtern etc...




Du könntest andere Sachen machen, die weniger Perfomance impact haben, wie arp poisening oder mac-address spoofing, allerdings wirst du auch dafür hier keine Anleitung kriegen - und das wichtigste: du wirst auf deiner LAN nicht zocken können, weil du damit beschäftigt sein wirst, die 'Schwarzgamer' zu jagen.

Meine Frage ist nun nicht WIE das geht - wie gesagt.... - sondern OB diese 7 Rechner reichen einen einzigen so lange von praktisch ungehindertem Netzwerkverkehr fernzuhalten, bis derjenige seine IP-Adresse ändert.

Das können wir ohne genauere Information über deine Netzwerktopologie, die Art des DoS und die Erfahrung der 7 Leute mit DoS-Attacken beim besten Willen nicht sagen. Hängen die 7 Rechner alle am selben Switch, so ist es sicherlich sinnlos.

 

[Janny]

Macht das ganze doch einfach so, dass ihr jedem, der bezahlt hat nen Ausweis/Eintrittskarte oder ähnliches gebt (und aufschreibt, wer welche nummer bekommen hat) und dann geht ihr einfach zwischendurch mal durch den Raum und lasst euch von jedem diese Karte zeigen.
Wer keine hat und trotzdem zockt fliegt raus.

 

[el osito]

Gibt es denn keine Managementebene zur IP-Restriktion oder MAC-Adressen-Verwaltung in den Switches selbst oder auf höherer Ebene? Sprich, nur bekannte (registrierte) IPs/MACs dürfen Verbindungen aufbauen?

 

[Jabor]

Ich will hier keine Anleitung und hättest du meinen Themestart gelesen wüsstest du das!

Das Problem ist, dass wir einige angeblich sehr gute Switches haben werden, die ein Freund uns mitbringt, diese Switches werden von unserem Team aus in die einzelnen Tischreihen weiterleiten.

Ab da werden jedoch wohl 0815-Switches eingesetzt werden, denn viele dieser guten Switches haben wir nicht...

Wäre es denn - ich gehe davon aus dass wenigstens diese Managbar sind - möglich dann eine MAC-Adressenfilterung durchzuführen?
Wie gesagt wären an diesen Switches die 0815-Switches...

@Qubit
Was meinst du mit höherer Ebene?

 

[Bueller]

Selten so einen Unsinn gelesen. Sich eine Maßnahme auszudenken, die weder dazu geeignet ist, noch mangels Know-How durchführen kann, weil man nicht in der Lage ist, zwei Leute abzustellen, die den Leuten einen Stempel auf den Handrücken machen und von ihnen einen Obolus zu kassieren, das ist ganz großes Kino.

 

[Jabor]

Da kann ich genauso gut zwei Leute rund gehen lassen die nach der nicht registrierten IP-Adresse bei den Teilnehmern suchen...
*Darf ich mal? Danke und tschüss* -.-

 

[luky37]

Ich will hier keine Anleitung und hättest du meinen Themestart gelesen wüsstest du das!

Sorry, habe ich überlesen.

einige angeblich sehr gute Switches haben werden, die ein Freund uns mitbringt

Marke/Modell wäre gut, 'angeblich sehr gut' ist eine sehr wage Definition.

Wäre es denn - ich gehe davon aus dass wenigstens diese Managbar sind - möglich dann eine MAC-Adressenfilterung durchzuführen?

Ja, allerdings würde nur der Traffic der durch die managebaren Switches geht, gefiltert.
Wenn 2 Leute am selben 0815 Switch hängen, werden diese sich untereinander immer sehen (und miteinander zocken können).

Hinzukommt, dass du dann von jedem Teilnehmer Mac-Adressen einsammeln musst und du wissen musst, an welchem Switch der Teilnehmer hängt.

Wenn du ein Netzwerk aus reinen managebaren Switches hättest, wäre das ganze viel leichter (du könntest einfach aller Ports ausschalten und nur bei Bedarf Ports einschalten oder auch umgekehrt).


Anschließend muss man noch sagen, dass du dich, wenn du irgendwas auf den managebaren Switches konfigurieren willst, zuerst in die Materie einlesen solltest und das ganze auch (vor der LAN) testen solltest.

Gibt es denn keine Managementebene zur IP-Restriktion oder MAC-Adressen-Verwaltung in den Switches selbst oder auf höherer Ebene? Sprich, nur bekannte (registrierte) IPs/MACs dürfen Verbindungen aufbauen?

Es ist eine LAN, da ist ein Layer 2 Switch das höchste der Gefühle.

 

[el osito]

@Qubit
Was meinst du mit höherer Ebene?

Ich nahm an, dass die Switches wiederum koordiniert werden würden. Scheint aber nicht so.

zwei Leute rund gehen lassen die nach der nicht registrierten IP-Adresse bei den Teilnehmern suchen...

Andersum: Registrierte IP-Adressen anhand einer Liste abhaken.

 

[Jabor]

Vielen Dank lucky,

Marke/Modell wäre gut, 'angeblich sehr gut' ist eine sehr wage Definition.

Ja es ist wirklich wage...denn ich weiß leider wirklich nicht mehr darüber...
Ich werde das Switch-Modell mal in Erfahrung bringen und mich dann nocheinmal melden.

Ja, allerdings würde nur der Traffic der durch die managebaren Switches geht, gefiltert.
Wenn 2 Leute am selben 0815 Switch hängen, werden diese sich untereinander immer sehen (und miteinander zocken können).

Also im Prinzip kann ich einzelne Ports an diesem guten Switch deaktivieren - also andere Switches vom Netz nehmen, den Verkehr im 0815-Switch selber jedoch nicht unterbinden, ja?

Hmm dann müsste ich es also am besten hinkriegen diese Switches in den Mitten der Reihen zu positionieren und mit langen Kabeln vorne in einem gleichen Switch allesamt zu verbinden.
Dann könnte ich ja jeden Port einzeln deaktivieren - das Managment-System vorrausgesetzt.

Die MAC-Adressen muss ich mir nicht merken, durch Scanner kann ich den nicht-registrierten IP ja die MAC-Adressen zuordnen.

 

[Bueller]

Ich finde das wirklich amüsant.

3 Varianten:

1. DoS-Attacke: Du weißt weder, warum das für deinen Fall völlig ungeeignet ist, noch wie sie durchzuführen ist.

2. Switches: Du kennst die Modelle nicht, aber sie sollen "sehr gut" sein. So viel dazu.

3. Zwei Mann: Ein Stempel, eine Kasse, jeweils ein Blick. Locker rumgehen, quatschen, kassieren, Leute kennen lernen.

Ich wüsste ja, was ich mache.

 

[Flo89]

Da kann ich genauso gut zwei Leute rund gehen lassen die nach der nicht registrierten IP-Adresse bei den Teilnehmern suchen...
*Darf ich mal? Danke und tschüss* -.-

Das sehe ich ehrlich gesagt als einfachste Methode an, wenn es nur ein Raum ist.
Oder eben Handrücken nach Bezahlung stempeln.

 

[Jabor]

So Bueller

1. Stimmt, ich habe keine Ahnung. Das ist btw der Grund warum ich hier bin

2. Weißt du alles? Nein! Ich wette du kennst nicht den Batterienhersteller von Nitendo - es interessiert dich nicht, oder? Genauso wenig hat es mich interessiert was für ein Switch es ist. Er ist gut, ok, dann her damit.

Jetzt hilft es mir bei meinem Problem zu wissen, was für Switches es genau sind, also werden ich nachfragen, wo ist da dein Problem?

3. Gut, mach du das so!
Ich ziehe die Variante von luky vor und werden wenn irgendmöglich die MAC-Adressen filtern...

@flo
Im Notfall wird es darauf hinauslaufen MÜSSEN, aber der Weg von luky klingt für mich vielversprechender.

 

[luky37]

Also im Prinzip kann ich einzelne Ports an diesem guten Switch deaktivieren - also andere Switches vom Netz nehmen, den Verkehr im 0815-Switch selber jedoch nicht unterbinden, ja?

Korrekt, aber wie gesagt: Mit englischen Handbüchern wirst du dich erstmal für ein paar Stunden rumschlagen müssen. Ob sich dass für die auszahlt musst du selber entscheiden.


Wenn ich in deiner Situationen wäre, dann würde ich wahrscheinlich 'böse Sachen' wie Mac-Address spoofing betreiben, bei einer überschaubaren Zahl von 40 Teilnehmern merkt man meistens am Fluchen der Teilnehmer wenn bei einem das Netz nicht mehr funktioniert (und dann hat man ihn).

 

[Jabor]

MAC-Adress spoofing heißt die MAC-Adresse des "bad boys" zu ändern, sodass er erstmal aus dem Netzwerk fliegt oder wie?
Oder meine eigene auf seine MAC-Adresse abändern?

 

[Bueller]

Ich schlage vor, dass Du dich mit der Technik eines Switches vertraut machst, bevor Du demnächst deine Aktionen planst. Dann wirst Du merken, dass Du mit handelsüblichen Switches aus dem SoHo niemals das erreichen kannst, was Du vorhast.

Einzig ein Layer-3 Switch (der vereinfacht gesagt ein routender Switch ist) kann das verwirklichen, was Du benötigst und den hast Du sicherlich nicht vor Ort und wenn doch, lernt man dessen Bedienung nicht in fünf Minuten. Selbst wenn er dann aber doch im Einsatz wäre, so hängen hinter dem "guten" Switch immer noch billige andere. Und Du willst dann im Ernst einen Switch "abschießen", weil sich einer von fünf oder sechs Teilnehmern dahinter den Beitrag sparen wollte? Das Gefluche der anderen will ich sehen.

Und nicht zuletzt bleibt das Problem, dass zwei Nichtzahler am selben Switch locker miteinander zocken können, selbst wenn man die Verbindung zum großen Switch kappt. Schon mal darüber nachgedacht? Und was machst Du, wenn sich ein paar Zocker einfach einen eigenen Switch mitbringen und ein Netz bilden?

Der Vorschlag, anhand der MAC-Adressen zu filtern, ist ungeheuer aufwändig, da jeder Teilnehmer erst einmal seine Adresse zur Hand haben muss, was dauern kann, diese dann zuzuordnen sind und letztlich auch in den Switch einzutragen sind. Der muss das dann auch noch beherrschen, was ich angesichts der Preislage der Geräte, die so etwas beherrschen, als abwegig erachte.

Auf einer Lanparty will man Spaß haben, nicht den ganzen Abend damit verbringen, auf Räuberjagd zu gehen. Es sei denn, Du willst dich dem Gefühl hingeben, es den Nichtzahlern mal hackermäßig richtig gezeigt zu haben.

Edit: Denk mal drüber nach, wie lange so ein ARP-Spoofing dauert. Fünf Minuten, zehn Minuten oder eine halbe Stunde? Wie lange dauert die Lanparty? ...

 

[Jabor]

@Bueller
Selbstverständlich möchte ich nicht 5 Teilnehmern den Saft abdrehen weil einer von Ihnen nicht gezahlt hat. Sollten 2 Zocker sich einen eigenen Switch mitbringen, können sie nicht an den Turnieren teilnehmen ohne sich an das Hauptnetzwerk zu klemmen, von daher ziehe ich diese Möglichkeit nicht in betracht!

Muss wirklich jeder Teilnehmer seine Adresse zur Hand haben? Ich meine dass einige Netzwerkscanner die MAC-Adresse gleich mit anzeigen.

Du hast natürlich Recht, auf einer LAN will man Spaß haben - auch wir als Orga-Team!
Vielleicht ist es doch einfacher, wenn wir nach dem Auffinden nicht-registrierter IP-Adressen einfach mal rund gehen und die Leute bitten, ihre Netzwerkeinstellungen zu zeigen...
Mit 4 von 7 Mann ginge das schnell und zugleich kommt man ins Gespräch.

Also vielen Dank an luky, aber ich glaube Bueller hat mir nun auf freundliche Weise die Augen geöffnet

Danke auch an den Rest n gn8!

 

[Bueller]

Das sollte nicht belehrend klingen. Ich kenne die Problematik aus eigener Erfahrung und meist sind die simpelsten Lösungen die besten.

Viel Erfolg!