2GB DSL upload in einer Woche - normal?

[rwkraemer]

Ich wollte mich bedanken, dass ihr euch so ausführlich mit meinem Problem beschäftigt habt. Ich habe jetzt die upload-Zahlen für diese Woche nicht im Kopf, aber sie liegen im Verhältnis zu den Downloads wieder im grünen Bereich. Der Wechsel zu Firefox scheint geholfen zu haben. Ich fürchte, ich habe auch nicht das nötige Fachwissen, um den ganzen auf den Grund zu gehen.

[rwkraemer]

Ich wollte nur noch sagen, dass die Fritzbox wieder unentwegt Daten sendet, obwohl ich sie vor einigen Tagen resetet und ein neues Passwort vergeben habe. Tagsüber bin ich so gut wie nie im Netz, aber offenbar wird da das meiste gesendet. Ich habe jetzt die Funktion abgestellt, dass Diagnosedaten gesendet werden, mal sehen, obs hilft. Unter System - Ereignisse war nichts auffälliges zu finden. Dasteht nur, wann sich die Box mit dem Internet verbunden hat und wann ich die Benutzeroberläche aufgerufen habe. Dass die meisten Daten gesendet werden, wenn ich offline bin, habe ich durch Ausschlussverfahren herausbekommen. Also z. B.die Fritzbox-Oberfläche gleich nach dem Einloggen in Linux aufgerufen, Windows mal einen Tag nicht benutzt, usw. (ich habe ein Dualbootsystem). Also scheint die Box der Übeltäter zu sein.

Ach ja, ich habe beim erstmaligen installieren eine Mail-Adresse eingegeben, ich habe dann mehrmals Mails von AVM bekommen mit Diagnosedaten. Das würde ich gerne wieder rückgängig machen. Reicht da das reseten und das Deaktivieren vom Senden von Diagnosedaten?

[rwkraemer]

Code: Alles auswählen

36	27.145940	77.7.xxx.xxx	45.136.110.44	ICMP	82	Destination unreachable (Communication administratively filtered)

Als Destination wird eine Adresse der Russischen Föderation angezeigt (whois). Ist das normal? Es ist ein Mitschnitt meiner Fritzbox, den ich mit Wireshark geöffnet habe. Ich habe dazu die Adresse http://fritz.box/html/capture.html geöffnet.

Edit:

Offenbar steht die Adresse auf einem Index:

https://www.abuseipdb.com/check/45.136.110.44

Edit2:
Bei dem Link wird als Land Deutschland und als Stadt Nürnberg angezeigt. Die Domain hat aber eine russische Endung. Whois zeigt auch eine konkrete Adresse in Russland an. Ich bin ebenfalls aus Nürnberg. Die Adresse, die mit 77 anfängt gehört wohl zu Telefonica, also zu O2, ist also meine Adresse. Ist das normal, das mein Router versucht, Kontakt zu einer offenbar kompromitierten Adresse aufzunehmen?

[debianoli]

Kann es sein, dass da jemand über dein Wlan deinen Anschluss mitbenutzt?

[OrangeJuice]

Hast du ein gutes Passwort für die Box(max. 32 Zeichen) und das WLan vergeben? Hast du die aktuelle Version für die Box installiert(hier)?

Ansonsten hat die Box die Möglichkeit ein virtuelles Wlan zu betreiben, wodurch der Name des Wlans evtl. zweimal auftaucht. Ich würde bei der Box die Hardwarebeschleunigung abschalten. Die hat bei meiner Box Probleme bereitet. Die wird allerdings bei jedem Neustart wieder aktiviert.

Zu finden unter "Inhalte", "Avm Dienste" Hardwarebeschleunigung. Hier eine Erklärung dazu.

Sonst sind alle Ports geschlossen? Voip aktiviert? Was gibt "lsof -Pni" aus?

[rwkraemer]

Vor einigen Tagen habe ich die Box resetet und ein neues Passwort vergeben. Ich hatte gelegentlich Störungen. WLAN ist deaktiviert, Ich bin mit LAN im Netz. Laut O2 habe ich gestern nur im zweistelligen Bereich gesendet. In der Box stand aber unter gesendet 700mb. Ein AVM-TIcket ist eröffnet, die haben die von mir erwähnte IP-Adresse (45.136.110.44) aber nicht in den Daten gefunden. Zu dem Datenvolumen haben sie sich noch nicht geäusert. Hier die Ausgabe von lsof -Pni:

Code: Alles auswählen

firefox-b 3965 rainer   68u  IPv4  36181      0t0  TCP 192.168.178.23:42710->216.58.210.4:443 (ESTABLISHED)
firefox-b 3965 rainer   88u  IPv4  37919      0t0  TCP 192.168.178.23:42712->216.58.210.4:443 (ESTABLISHED)
firefox-b 3965 rainer  125u  IPv4  29196      0t0  TCP 192.168.178.23:51034->54.186.97.86:443 (ESTABLISHED)

Die Ausgabe habe ich aber jetzt vom Notebook gemacht. In letzter Zeit war ich aber häufiger am PC. Das Notebook ist aber wie der PC per LAN mit der Box verbunden.

[reox]

aber wenn wirklich deine fritzbox die daten sendet, dann kannst du bei lsof noch so viel schauen - die verbindung kommt ja dann nicht von dir. Oder lässt du lsof auf der fritzbox laufen?
vor allem was heißt "zweistelliger bereich"? 20GB?

Der erste test wäre mal das Ding stromlos schalten und schauen ob immer noch Daten hochgeladen werden. Also zB mal einen Tag nicht anstecken und schauen ob das Accounting von o2 das korrekt erfasst.
Falls dann wirklich keine Daten mehr gesendet werden, musst du wohl herausfinden wo das problem genau herkommt.
Du könntest einen zweiten PC mit einem Network-Throwing-Star https://greatscottgadgets.com/throwingstar/ zwischen einen PC und die Box hängen und beinhart alle Pakete aufzeichnen. wenn es eine differenz zwischen der Summe der gesammelten Pakete und dem upload gibt, dann ist wohl die box schuld.
Andernfalls einfach mal ein accounting tool am PC rennen lassen.

Die IP 45.136.110.44 - wo kommt die jetzt her? Unter lsof taucht die ja offenbar nicht auf oder doch?

216.58.210.4 ist wieder Google und 54.186.97.86 ist AWS - das ist an sich nicht verdächtig.

[rwkraemer]

Über http://fritz.box/html/capture.html kann man den Netzwerkverkehr, den die Box erfasst, miitschneiden. Ich habe aber nur ein paar Sekunden mitgeschnitten. Die Ausgabe einer Zeile steht weiter oben. Ich warte jetzt die endgültige Aussage von AVM ab. Weiter oben gibt es auch einen Link, wo weitere Informationen über die verdächtige IP stehen. Aber vielleicht habe ich mich da nur in was verrannt. O2 sagte glaube ich etwas von 30 oder 40MB, die ich gestern gesendet hätte.

[spiralnebelverdreher]

Hallo,

ich habe ja in letzter Zeit öfter Sicherheitsthemen angeschnitten, und hier ist wieder eins. Bei der Fritzbox (7430) kann man ja den up und download einsehen. Letzte Woche stand da bei download 4GB, und bei upload 2 GB, also die Hälfte. Sonst ist der upload viel kleiner. Ist das normal? Ich zocke nicht, treibe mich aber oft auf youtube herum. Ansonsten surfe ich häufiger im Internet. ...

Hängt an deiner Fritzbox noch ein Telefon dran?

[rwkraemer]

@Spiralnebelverdreher

Ja, ein analoges Funktelefon. Wenn ich mich richtig erinnere, ist DECT deaktiviert. Könnte das die Ursache sein? Ich dachte Telefonie wird bei den Daten nicht berücksichtigt. Ich telefoniere aber nicht jeden Tag.

[spiralnebelverdreher]

@Spiralnebelverdreher

Ja, ein analoges Funktelefon. Wenn ich mich richtig erinnere, ist DECT deaktiviert. Könnte das die Ursache sein? Ich dachte Telefonie wird bei den Daten nicht berücksichtigt. Ich telefoniere aber nicht jeden Tag.

Vielleicht liegt es ja daran. Korreliert die Telefonieliste in der FB mit deinen Aufzeichnungen des Datenverkehrs?
Soweit ich weiß, gibt es unterschiedliche Möglichkeiten, wie Telefonie über DSL läuft und vom restlichen IP Verkehr abgegrenzt wird. Bei meiner eigenen Fritzbox kann ich für Telefonie die "Verbindungseinstellungen für DSL/WAN" bearbeiten und irgendwas mit VLAN-ID und PVC einstellen (ist bei mir nix zu sehen).

[rwkraemer]

Ich habe jetzt zufällig entdeckt, das schon vor einem Jahr der Online-Zähler der Fritzbox nicht immer richtig funktioniert hat:

https://www.a1community.net/festnetz-in ... sch-250748

Vielleicht ist ja das die Lösung. AVM ging bei der Antwort auf meine Frage jedenfalls auf den Online-Zähler Stand überhaupt nicht ein, sondern fragten nur, woher ich die zuletzt genannte IP-Adresse her habe. Vielleicht wussten sie schon, das man sich auf den Online-Zähler nicht verlassen kann.

[reox]

Ich habe jetzt zufällig entdeckt, das schon vor einem Jahr der Online-Zähler der Fritzbox nicht immer richtig funktioniert hat:

https://www.a1community.net/festnetz-in ... sch-250748

Aber dort ist es ja anders herum: Die Fritzbox sagt viel weniger als es tatsächlich ist (9GB vs 109GB ist aber schon sehr viel anders).
Gehst du über ein VLAN ins Netz? Bei A1 ist das ja so, dass man zunächst VLAN2 verwenden muss und dann PPPoE einschalten. Da kommen auch andere Werte pro Netz raus... Bei meinem Router habe ich 3 Stellen wo man schauen kann eth0, eth0.2 und ppp0 und die zeigen auch alle (geringfügige) unterschiede an.

[OrangeJuice]

Dann stell doch mal die Paketbeschleunigung bzw. Hardwarebeschleunigung ab, falls du das noch nicht ausprobiert hast. Das hatte ich hier erwähnt.

...
Fakt ist halt, daß durch diese Paketbeschleunigung (wenn sie denn in Hardware erfolgt) lange nicht mehr jedes Paket das FRITZ!OS auch "passieren" muß ... das hat dann Auswirkungen auf die Zählung von Paketen und damit auch auf QoS-Mechanismen im Downstream ... Quelle

[rwkraemer]

Hallo,

seit heute sind merkwürdigerweise die Werte wieder normal, es wird viel weniger gesendet als empfangen. Ich habe die Hardwarebeschleunigung aber trotzdem deaktiviert. Ob da AVM irgendwas gemacht hat? Aber eigentlich ist ja Wochenende und mein Ticket wird wohl erst am Montag weiter bearbeitet werden.

Der einzige Unterschied vorher ist, dass ich mehr am Notebook sitze, weniger am PC, und ich habe den Stealth-Modus bei der Box aktiviert.