License usage: EXCEEDING 110% OF USER COUNT on Sophos UTM

Hallo Frank,

(Sorry, my German-speaking brain isn't creating thoughts at the moment. [:(])

This is usually caused by someone scanning the network.  That causes all IPs scanned to be counted.

MfG - Bob (Bitte auf Deutsch weiterhin.)

Hallo Bob,

nein, ein IP-Scan im internen Netz bemerkt die UTM garnicht (Gateway wird ja nicht genutzt). Ich habe gerade testweise einen Scan gemacht. 

Frank ist aber mittlerweile der Zweite, der diese Probleme hat. Hatten wir ja (ich glaube vorletzte Woche) schon mal. Wir selber hatten das Phänomen ja auch schon mal durch einen Router-Wechsel (UTM WAN-Seite). 

@Frank: Hast Du evtl. eine RED oder ähnliches an der UTM angebunden?

Hallo Bob,

nein, ein IP-Scan im internen Netz bemerkt die UTM garnicht (Gateway wird ja nicht genutzt). Ich habe gerade testweise einen Scan gemacht. 

Frank ist aber mittlerweile der Zweite, der diese Probleme hat. Hatten wir ja (ich glaube vorletzte Woche) schon mal. Wir selber hatten das Phänomen ja auch schon mal durch einen Router-Wechsel (UTM WAN-Seite). 

@Frank: Hast Du evtl. eine RED oder ähnliches an der UTM angebunden?

Thanks, Manu - this is new (for me) behavior!  I probably haven't tested this in a decade.  I bet I've given the wrong answer to a lot of people!

MfG - Bob (Bitte auf Deutsch weiterhin.)

Hallo,

nein ich habe kene RED verbunden.

Was ich habe ist eine VPN Site-to-Site Verbindung - aber dort ist die Range 192.168.2.0/24

Danke

Frank

Aus dieser Range sind die "fremden" IPs aber nicht? Weil das wäre definitiv ein Bug der UTM...

Die sind schon aus Deiner X.X.100'er Range?

Ja die IPs aus dem Log sind "nur" aus dem x.x.100.x und dem x.x.110.x (DMZ) Netz.

Aber eben IPs ausserhalb der DHCP Range....

Du hast auch kein anderes "Gerät" im Netz, dass auf einmal DHCP spielt? Ich frage da aus eigener Erfahrung... meine 2 EnGenius APs konnten nach einem Firmware-Update auf einmal DHCP-Server spielen und haben es auch gemacht, ohne dass ich es gemerkt habe (erstmal).

Nein - keine anderen DHCPs

Sonst etwas am Netz (auch auf WAN-Seite) geändert?

Bitte nicht böse sein, ich versuche nur alle Möglichkeiten "abzuklopfen", woran es liegen könnte.

Hi Bob,

Not to worry :-) It depends on the IP scanner used, most of them will query gateway but there are a few good ones for this purpose that does not go thru the gateway.

A colleague learned this the hard way last week with his home edition.

Der beste Weg könnte sein, um wireshark zu laufen, um zu sehen, was alle diese IP's abfragt.

Did he do a subnet scan, Vels?  I don't understand how that would get counted if the the UTM is counting something other than IPs that are the subject of a "WHO HAS" request.

MfG - Bob (Bitte auf Deutsch weiterhin.)