Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 9 replies
  • Subscribers 2 subscribers
  • Views 3595 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

200+ Random Devices

Astaronator
Hey all, I'm working with Sophos support on this issue, but thought I'd throw it out to the community since we're getting nowhere.

I have a small setup with about 70 users, ~110 devices, 2 subnets (on different interfaces) and 1 Astaro v9.003-16 handling Net Security and web security. I also have a network inventory/helpdesk ticket system running on this LAN.

Subnet 'A' = 10.0.0.0/24  
Subnet 'B' = 10.0.50.0/24

(actual IPs may Differ [;)] )

Subnet 'A' = DHCP 10.0.0.21-150 for 129 possible devices. Only ~80 active
Subnet 'B' = DHCP 10.0.50.-125 for 75 possible devices. Only ~30 active

Problem: 

Lately Astaro is counting devices filling the entire 'B' subnet. Under licensing it shows active IPs all over including 126-254 which is outside the DHCP scope.

The third party inventory server is counting these devices as well. Over 200.

They don't exist.

I have confirmed the following:
- No rogue DHCP device
- No packets going to or from these "extra" IPs (tcpdump on the Astaro)
- No extra physical devices connected to my LAN
- Any changes made to firewall/NAT near the time this happened have been revered or disabled
- I have cleared the device count on numerous occasions using a command given to me by support.
- No rogue wifi devices (war-walking)
- I can't ping or nmap the IP addresses
- I cannot find ANY MAC addresses associated with the IPs
- It began while using v8. I imaged the machine and installed v9 and the problem returned immediately. 
- DHCP lease tables in Astaro do not show the over count of IPs

It should be noted that we did something funky when we began this LAN, but it never caused an issue before. When we roll out a new PC, we were setting it to DHCP, would get an IP from the server and then assign THAT IP to the PC statically using the NIC settings in Windows.

OKay now... ideas? Throw them at me please... Criticize my config if need be. I really want this fixed. It's been almost a month [:(]


This thread was automatically locked due to age.
Parents
  • 0
    Advanced IP scanner v1.5 go don't cause any problem. New versions of this tool and one other (i don't remember the name) cause this problem with all versions of ASG, v7 included
    I explained this in the other post too
  • 0 in reply to Ol Deda
    Thanks for all your help guys. I took BarryG's advice and did this really advanced thing I often forget about... I searched the forums! heh, but this time I searched specifically for Spiceworks and found this thread here that talks about the issue and finally it's an explenation that makes a lot of sense.

    Basically he says: Your network monitoring software is doing a few things when scanning a network. They describe those steps in detail on their community website, see What Basic Process Does The Network Scan Follow? for details. One part of the scan is an HTTP connection attempt. This connection attempt is intercepted by the webproxy on the UTM because, well that's it's job. Now here's the relevant part: if the destination is unreachable, the proxy sends an error page, which is exactly what you want as an end user. This also gets into the accounting tables of the database, because you have a "real" traffic flow. And because you have a packet flow, the destination IP gets counted by the IP licenses check too. That's why you see those unused IP addresses as "Active IP Addresses". 


    So Spiceworks is sending a packet on port 80 to scan for webadmin type servers. Well because it's on a different segment, it has to pass through the UTM to get to the other segment the web proxy is jumping in and receving the packet and replying to the spiceworks engine with an error for a user. 

    So in order to test this theory, I've turned off all scanning from Spiceworks as well as created a rule saying that no traffic will pass to the Segment 'B' on port 80/443.

    I'll wait 8 days and report back if the license count straightens out or not.
  • 0 in reply to Astaronator
    So in order to test this theory, I've turned off all scanning from Spiceworks as well as created a rule saying that no traffic will pass to the Segment 'B' on port 80/443.

    I'll wait 8 days and report back if the license count straightens out or not.


    Hi,

    You might also try blocking the Spiceworks machine in the http proxy.

    FYI, license counts can be reset manually:
    https://community.sophos.com/products/unified-threat-management/astaroorg/f/53/t/33749

    Barry
  • 0 in reply to BarryG
    Looks like I'm back in business. Over the weekend, the licenses stopped racking up. 

    I noticed that my main subnet 'A' had a DHCP lease time of 10 minutes. As soon as I bumped this up to 8 days, the problem disapeared... okay so I waited a few hours to see if I got my license warning email.

    Now when I view the licensing page I see "Number of IP addresses currently in use: 101" That is much closer to reality now.

    I will experiment with having the Spiceworks server use 2 separate NICs, one on each subnet. 

    Barry you mentioned blocking the server from the http proxy. How would I do that without blocking it from the gateway entirely? For the server to get to the Internet for updates or for users to navigate to it to open help desk tickets, it will need to communicate with the UTM.

    Thanks for your help! I'm glad this issue is over [:D]
  • 0 in reply to Astaronator
    Barry you mentioned blocking the server from the http proxy. How would I do that without blocking it from the gateway entirely? For the server to get to the Internet for updates or for users to navigate to it to open help desk tickets, it will need to communicate with the UTM.


    Hi,

    You should be able to create a new profile for that server, allowing internet, but blocking the DMZs.

    It's been quite awhile since I've used the http proxy, so someone else may be able to give more specific instructions.

    Barry
Reply
  • 0 in reply to Astaronator
    Barry you mentioned blocking the server from the http proxy. How would I do that without blocking it from the gateway entirely? For the server to get to the Internet for updates or for users to navigate to it to open help desk tickets, it will need to communicate with the UTM.


    Hi,

    You should be able to create a new profile for that server, allowing internet, but blocking the DMZs.

    It's been quite awhile since I've used the http proxy, so someone else may be able to give more specific instructions.

    Barry
Children
No Data