[9.000][ANSWERED] Exceeding IP limit?

Couple of questions: Do you use IPv6? Do you run the webproxy, and if yes, are you running standard or transparent mode? Do you use Wifi on one of the interfaces? Do you use DHCP?

It'd help a lot if you could give a short overview over your network layout, and I'd be happy to hear more about your "... network monitoring software", that "is scanning".

Cheers,
Kai

it has about 40 192.168.3.x addresses. I only have 2 ips in that range, it is my DMZ. ... 
My only guess is that my network monitoring software is scanning the 3.x range. But if it is not hitting anything why is it being marked as a license? None of the addresses are really there

This has come up (as a bug) in past versions of Astaro, but should have been fixed.

Please verify that there is no response if you ping those addresses.

Barry

Couple of questions: Do you use IPv6? Do you run the webproxy, and if yes, are you running standard or transparent mode? Do you use Wifi on one of the interfaces? Do you use DHCP?

It'd help a lot if you could give a short overview over your network layout, and I'd be happy to hear more about your "... network monitoring software", that "is scanning".

Cheers,
Kai

Yes I use IPv6, the addresses in question are IPv4. I use the webproxy believe transparent, no wifi. DHCP but not with astaro.

I use spiceworks for network monitoring, it will scan all subnets for anything new. Like I said, there are only 2 ips in the 192.168.3 range, it shows 40 in the license view.

This has come up (as a bug) in past versions of Astaro, but should have been fixed.

Please verify that there is no response if you ping those addresses.
Barry

Barry - Thanks, Yes I verified there is no response from those addresses. I'm not home tonight can test other suggestions tomorrow.

Attached is a shot. Highlighted on the left are ips confirmed do not exist. IPs highlighted on the right do exist and I want to use them.

Is there anyway to move over the ones I want while this gets figured out?

Well, first of all you should tell  spiceworks  to not discover anything in the DMZ...

Well, first of all you should tell  spiceworks  to not discover anything in the DMZ...

That doesn't make any sense. The whole point of a network monitoring tool is to scan all subnets for anything new or changed. I want it to scan and keep dmz updated if I add anything new. If the IP doesn't exist it shouldn't be counted as a license.

Hi KBR, I don't agree with you wrt the scanning.

Many companies, mine included, do internal and external pentests and vulnerability scans regularly, including running nmap and nessus on all LANs and DMZs.
If IPs with no devices are going to be counted, that could be millions of IPs (with a Class A network)!

There is a similar thread here:
https://community.sophos.com/products/unified-threat-management/astaroorg/f/95/t/67314
I wasn't able to reproduce the issue exactly, but I did have one IP (.14) that was counted but didn't exist.
I don't know what the resolution was as there are no more posts after the request for the backup file.

Please also see Gert's post here:
https://community.sophos.com/products/unified-threat-management/astaroorg/f/51/t/19732
and note
"This means that a port scan to a range of dmz ip addresses, which actually do not exist, but are allowed by the packet filter could increase the license counting with ip addresses not used.
We will change that behavior in one of the next two updates to only count ip address have been part of a two way communication."

If that was implemented, then this is definitely a bug or regression.

Barry

Hi Barry,

I think it's a valid workaround, just to get his IP count back to a normal level before we get this investigated, which, as you probably know, can take a while...

Cheers,
Kai

OK, it wasn't clear earlier that you were suggesting a temporary workaround.

Barry

Yeah, sorry for sometimes being too concise. My main point is that the unused / falsely counted IPs have to time out, and for this we should prevent spiceworks from "refreshing" them...