MAC-mysterium (nätverk, inte Apple)

[lillahuset]

Jag har scannat ett nätverk hos en kund där det sitter ett antal enheter av samma typ. Det förvånade mig stort att en av dem hade en MAC med avvikande OUI efersom alla har en TI Sitara. Jag loggade in i den burken och kunde då se att den hade samma OUI som de andra. Alltså, nmap visade fel data för den burken.

Har någon varit med om något liknande och/eller har en förklaring?

Kod: Markera allt

Nmap scan report for 192.168.35.100
Host is up (0.0033s latency).
MAC Address: 94:10:3E:C7:22:D5 (Unknown)

eth0      Link encap:Ethernet  HWaddr BC:6A:29:80:C0:84  
          inet addr:192.168.35.100  Bcast:192.168.35.255  Mask:255.255.255.0

[sodjan]

Jag vet inte hur det är med just dessa prylar, men det finns ju fall
där "hardware" och "actual" MAC adress kan skilja. T.ex.

Kod: Markera allt

$ mc lancp sho dev /char EIA0

ET2 Device Characteristics EIA0 (17-APR-2016 12:58:40.85):
                  Value  Characteristic
                  -----  --------------
...
...
      00-0F-20-D8-43-53  Default MAC address (Hardware LAN address)
...
      AA-00-04-00-02-08  MAC address (Current LAN address)
...

I detta fall är det alltså AA-00-04.x.x.x som syns på nätet, och den ställs
om under uppstart av systemet. Innan är det 00-0F-20 som kommer
från själva nätverkskortet...

[lillahuset]

Jo så är det ju. Det kan vara användbart om man behöver byta nätverksinterface i en miljö där något bygger på kända MAC-adresser.
I det här fallet innehåller alla burkar samma firmware.

[sodjan]

Lite googling ger att:
"All MACs beginning with BC-6A-29 are owned by the vendor Texas Instruments..."
"The MACs starting with 94-10-3E are owned by the vendor Belkin International Inc..."

Men frågan kanske hade mer med nmap att göra...

> Det kan vara användbart om man behöver byta nätverksinterface i en miljö där något bygger på kända MAC-adresser.

I just det fall jag visade så kan man inte ställa det själv, mer än indirekt.
Aktuell MAC adress beror på nätverksadressen (DECnet) man väljer...

[lillahuset]

Jo jag tankade hem listan på alla OUIer och konstaterade att det handlade om TI och Belkin.

Jag blir bara så förvånad över fenomenet.

Jag har skickat ett mail till administratören och frågat om han har hängt på något med ett IP-nummer som är reserverat för det här projektet. Det ska bli intressant att läsa svaret.

[sodjan]

Ja, flera prylar med samma IP är ju inte inte helt okänt fenomen...

[limpan4all]

Det är inte så att Sitaran har en Belkinprodukt på sin andra port och routningen påslagen?

[Nerre]

En tanke kan ju vara att enheterna sitter anslutna med nån form av Wifi extender eller liknande. Även om en sån burk är uppsatt för att vara transparent så är det ju normalt den burkens NIC som exponeras mot LAN-sidan. (De är sällan uppsatta som en switch utan en transparent router.)

[lillahuset]

Limpan4all: Nej.

Nerre: Bra. Rätt svar. Det som lurade mig var att WiFi routern är en Linksys, inte en Belkin. Jag fick ett mail från administratören att han har för sig att Linksys ibland har MAC från Belkin. Gåtan löst.