Heimnetzwerke - WIFI, LAN, Router und Co 16.538 Themen, 81.398 Beiträge

Netzwerk hinter Router, NAT oder Proxy an einem I-Net-Zugang

Gonzo_ / 8 Antworten / Baumansicht Nickles

Hi, TOP1: ein Kollege ist der Meinung, dass man kein Netzwerk hinter einem Router mit NAT oder Proxy an nur einem I-Net-Zugang (z.B. Flat-DSL) anschließen darf, ohne dass der I-Net-Provider das ausdrücklich erlaubt. TOP2: Der I-Net-Provider, so behauptet der Kollege, kann feststellen, ob sich ein Netzwerk hinter einem Router mit NAT oder Proxy befindet und dann den Router ausschalten.


Meine Meinung:
zu TOP1: Der I-Net-Computer kann die Seiten, die von den über Netzwerk angeschlossenen PCs anfordert werden, auf Festplatte abspeichern. Über einen Webserver können die Netzwerk-PCs auf die abgespeicherten Seiten zu greifen. Somit sind keine Vorschriften des Providers verletzt. Naja und die Festplatte kann man durch eine RAM-Disk ersetzen. Damit ist etwas umständlich ein Router mit NAT oder Proxy realisiert und die Provider-Vorschriften werden nach wie vor nicht missachtet.
zu TOP2: Man kann vom I-Net nicht feststellen, dass sich ein geroutetes Netzwerk dahinter befindet. Der Router mit NAT oder Mascerading bzw. der Proxy gibt immer nur die I-Net-IP in Richtung I-Net weiter. Die Zuordnung an die einzelnen Netzwerk-PCs wird über Ports geregelt.


Wie ist das nun? Insbesondere zu TOP2, mit welchem Gerät und wie kann man feststellen, dass sich ein geroutetes Netzwerk hinter dem I-Net-Zugang befindet?

bei Antwort benachrichtigen
Ruddl Gonzo_ „Netzwerk hinter Router, NAT oder Proxy an einem I-Net-Zugang“
Optionen

Ich weiß nicht, ob man das ohne illegale Hilfsmittel (Trojans) feststellen kann. Letztendlich kannst Du nicht mehr als 768 kbit Traffic verursachen, egal ob mit einem oder 10 Rechnern.
Allerdings kann ein Websitebetreiber erkennen, wenn Du mit unterschiedlichen Betriebssystemen und Browsern gleichzeitig auf eine Seite zugreifst. Daher rate ich Dir, einen Proxy wie z.B. Webwasher zu benutzen (kostenlos 3 Clients), der sowohl den User Agent verschleiern bzw. verändern kann als auch noch einen kaskadierten, anonymen Proxy dazwischenschalten kann.

bei Antwort benachrichtigen
Gonzo_ Ruddl „Ich weiß nicht, ob man das ohne illegale Hilfsmittel Trojans feststellen kann....“
Optionen

Wenn man die gleichen Systeme und überall die gleichen Browser benutzt, kann man ja dieses Problem umgehen.

Es ist auch nicht verboten, 2 Computer an einem Account zu unterschiedlichen Zeiten anzuschließen. Beispielweise einen Desktop-PC und einen Laptop.

Dieses Feststellungsverfahren ist zwar möglich aber nicht sehr wahrscheinlich.

Gruß
Gonzo_

bei Antwort benachrichtigen
xafford Gonzo_ „Netzwerk hinter Router, NAT oder Proxy an einem I-Net-Zugang“
Optionen

zu 1: in den meisten AGB steht, daß das routen von netzwerken über einen zugang nicht erlaubt ist. das bedeutet genau das, was dein kollege gesagt hat. was toleriert wird ist, wenn du mit deinem rechner über einen router ins inet gehst, was wohl nicht toeriert werden würde ist, wenn eine firma ihr lan damit ins internet verbindet. überprüft wird dies allerdings nciht, wenn du nicht monatlich massenhaft traffic verursachst.
damit kommen wir zu 2., da hat dein kollege auch recht, es gibt sogar mehrere möglichkeiten router zu erkennen. bei hardwareroutern z.b. über spezifische muster in der portvergabe, bestimmte ports die offen sind, wenn sie schlecht konfiguriert sind über snmp, über fingerprinting und letztendlich ganz banal über einen TTL-scan. allerdings ist mir kein mittel bekannt um zu erkennen wieviele rechner im netzwerk hinter dem router hängen, ohne diesen zu hacken, oder die clients dazu zu bringen ein gewisses signal zu senden.

Pauschalurteile sind immer falsch!!!
bei Antwort benachrichtigen
Gonzo_ xafford „zu 1: in den meisten AGB steht, daß das routen von netzwerken über einen...“
Optionen

Ein Hardware-Router ist aufgrund der Art und Weise der Portvergabe und anderen "Eigenheiten" mit einigem Aufwand zu enttarnen, der Provider wird den Aufwand gewiss nur dann betreiben, wenn etwas für ihn herausspringen würde. Die Nutzen-Kosten-Analyse müsste also was Positives ergeben und darum ist dieser Fall unwahrscheinlich.

Wie sieht es aber bei einem Software-Router aus, z.B. bei der Internetverbindungsfreigabe von Microsoft? Dieser Router verhält sich zum Inet hin wie ein normaler PC.

Gruß
Gonzo_

bei Antwort benachrichtigen
xafford Gonzo_ „Ein Hardware-Router ist aufgrund der Art und Weise der Portvergabe und anderen...“
Optionen

wie es sich bei ICS verhält kann ich dir leider nicht sagen, da MS-spezifikationen nicht unbedingt immer so klar sind und ICS wohl auch kein vollwertiges routing ist. hat sich allerdings MS bei ICS ausnahmsweise doch an die spezifikationen für routing gehalten, so wäür ein aufdecken eines LAN hinter dem zugangsrechner mittels eines TTL-scans durchaus möglich.

Pauschalurteile sind immer falsch!!!
bei Antwort benachrichtigen
Gonzo_ xafford „wie es sich bei ICS verhält kann ich dir leider nicht sagen, da...“
Optionen

TTL ist einleuchtend, wenn die Reaktionszeit gemeint ist. Ist diese aber nicht unterschiedlich bei einer Einzelverbindung, je nach dem ob ein langsamer oder ein schneller Computer sich am Anschluss befindet.

Wenn ständig im Online-Fall fast alle PCs auf das Internet zugreifen bzw. wenn immer über den Router zugegriffen wird, wird die TTL im gleichen Anwendungsfall immer annähernd gleich sein.

Schwierig und deshalb sollte die Nutzen-Kosten-Analyse auch was Positives ergeben (s.o.).

Gruß
Gonzo_

bei Antwort benachrichtigen
xafford Gonzo_ „TTL ist einleuchtend, wenn die Reaktionszeit gemeint ist. Ist diese aber nicht...“
Optionen

nein, das hat nichts mit reaktionszeit zu tun, es ist eine bestimmte art scan der folgendermaßen funktioniert:
der scannende rechner sendet ein paket an den vermutlichen router und erfährt dadurch die HOPS zu diesem system. beim ächsten paket manipuliert er die TTL so, daß sie exakt an diesem rechner ausläuft. ist dieses system dann nur ein normaler rechner, so stört ihn die ablaufende TTL nicht, da die TTL ja ausreicht für ihn. ist der rechner nun aber ein router so will er das paket weiterleiten und stellt fest, daß die TTL abläuft an der nächsten station, wodurch er ein fehlerpaket an den sendenden rechner zurückschickt mit "TTL exceeded". nun könnte man ja argumentieren, daß dies bei NAT nicht funktionieren würde, tut es aber, da NAT auch nur routing mit übersetzter adresstabelle ist. der header des paketes wird nur in bezug auf die zieladresse des paketes geändert, die TTL bleibt (siehe probleme bei ICS wenn manche pakete nicht beim client ankommen).

Pauschalurteile sind immer falsch!!!
bei Antwort benachrichtigen
Gonzo_ Nachtrag zu: „Netzwerk hinter Router, NAT oder Proxy an einem I-Net-Zugang“
Optionen

Ich bedanke mich für die schnellen Antworten.

Das Posting hatte ich uersprünglich in "Allgemeines" angebracht. Naja, macht fast nichts, wenn hier "Soltär" wichtiger ist.

bei Antwort benachrichtigen