Fritz.Box DHCP-Server vergab auch bekannten Geräten keine IP (DDOS/VIRUS?)

[Thunfischsalat]

Moin,
Gestern Nacht hatte ich ein extrem ungewöhnlichen "bug".
TL;DR; Meine Fritz.Box hat keine IPs mehr über den DNS-Server DHCP-Server verteilt. Selbst bekannte Geräte haben keine IP bekommen und hatten keinen Zugriff mehr aufs Internet, egal ob LAN oder WLAN.

Ich kann auch nicht sagen, ob meine direkt vorauseilenden Handlungen Einfluss hatten.

Vorgeschichte:

Spoiler: Was ich kurz vor dem Problem gemacht habe:

Ich wollte mal GTA:SA am PC ausprobieren und nutzte einen laut diesem Guide bekannten Downgrader, um es so wie früher zu spielen:
https://steamcommunity.com/sharedfiles/filedetails/?id=641831651

Zeitgleich installierte ich den ASI-Loader und den Controller Fix von der Seite:
https://cookieplmonster.github.io/mods/gta-sa/#ginput

Das downgraden hat wie beschrieben funktioniert und ich versuchte einen Grafikmod, um zu sehen wie das Spiel aussehe würde:
https://www.gtainside.com/en/sanandreas/mods/119369-sa-directx-2-0/

Nach kurzer Begutachtung habe ich den Grafikmod runtergeschmissen und wollte mir einen Widescreen Fix installieren, da das Spiel verzerrt war.

Als ich auf die Downloadseite für den Fix geklickt habe, hat sich kein Fenster mehr geöffnet und zu dem Zeitpunkt stellte ich fest, dass ich kein Internetzugang mehr über LAN hatte. Ein kurzer Einblick auf die Oberfläche der Fritz.Box über das Handy (Android 10) war noch möglich, so dass ich noch die Einstellungen der Störsicherheit zurückschrauben konnte.
Ich hatte vor kurzem die Störsicherheit hochgeschraubt wegen Packet Loss und daher vermutete ich einen Zusammenhang.

Leider bin ich direkt nach dem Ändern der Einstellung auch mit dem Handy nicht mehr reingekommen.
Nach kurzem Neuverbinden blieb das Handy beim Anfordern der IP hängen.
Mein inzwischen neugestarteter Windows-PC vermeldete unter "ipconfig", dass keine IP zugewiesen wurde. Ein Neustart der Netzwerkarte bzw. Deaktivieren samt Problembehandlung verlief erfolglos.
An der Verkabelung lag es anscheinend auch nicht.

Mein altes Handy (Android 9 oder 8) meldete beim Verbinden: IP Konfigurationsfehler.
Mein neues Handy konnte zeitweise für wenige Sekunden auf die Oberfläche des Routers zugreifen.
Zu sehen war eine aktive Internetverbindung, aber angeblich keine angeschlossenen Geräte am LAN (eigentlich alles belegt), kurz darauf hat es sich wieder aufgehängt.
Komischerweise, nachdem ich nach Minuten wieder auf die Fritz.Box zugreifen konnte, musste ich mich nicht erneut anmelden. Sodass die Sitzung anscheinend nur eingefroren war.
Internetzugriff bestand auch in diesen Momenten der "Klarheit", aber nur mein Handy mit Android 10 hatte zeitweise Zugriff.
Ein Neustart der Fritz.Box half auch nicht und ich nahm für die Nacht das Gerät vom Strom.

Jetzt befürchte ich, dass ich entweder mir mit den Mods (ASI-Loader) einen Virus ins Netzwerk geholt habe, der meine Fritz.Box übernommen hat
ODER
Ich Opfer eines DDOS/DOS wurde.

Beides ist bei mir noch nicht vorgekommen (Und auch sehr unwahrscheinlich), aber selten hatte ich so ein mulmiges Gefühl.
Leider wird das Ereignisprotokoll der Fritz.Box beim Neustart gelöscht und ich kann nichts mehr nachvollziehen.
Jetzt überlege ich meinen PC neu aufzusetzen und auch meine Fritz.Box auf den Werkszustand zurückzusetzen, falls ich mir was eingefangen habe.
Linux wollte ich ehh immer mal probieren und mit Wine6 und Proton6 scheint es sogar der beste Zeitpunkt 😅

EDIT: Ahja von meinem Android 10 Gerät wurde der "Wifi watchdog triggered" mehrfach ausgelöst. Einen dieser Protokolle habe ich mir per E-Mail zugeschickt. Das sind aber unzählige .txt Dateien und ich weiß nichts damit anzufangen.

 

[assman17]

IP Verteilung über DNS?

 

[madmax2010]

DDOS auf ein heimnetzwerk kommt nicht an deinem Provider vorbei. Das merken die.

Deine Fritzbox hatte allerdings einige tage eine kritische luecke auf (steht eig. irgendwo welche du hast). Die luecke hat jedoch sogut wie alle aktuell noch supporteten betroffen insofern sind details da nebensache.
Sollte sie auf gemacht worden sein, wird man dir das sagen.

IPs werden ueberrigens via DHCP /slaac vergeben

hast du dir mal angesehen, was da im protokoll der Fritzbox stand?
Warum haben die geraete keine I{ bekommen?

 

[Grimba]

Also zuerst mal vergibt der DHCP Server deiner Fritzbox die IPs, und nicht der DNS, das ist etwas anderes.

Eine Frage: Warum gehst du gleich vom Schlimmsten aus?

Es kann genauso gut sein, dass sich der DHCP-Service in der Fritzbox warum auch immer aufgehangen hat. Ist auch nur Software. Wenn jetzt akut keine Abnormitäten im Netzwerk auftreten, kein Virenscanner auf deinem PC anschlägt, und sich die Fritzbox wieder normal verhält (beobachten!) und die aktuelle Firmware hat, ist die Sache vermutlich ausgestanden.

Ich hoffe, deine Fritzbox bietet keine Dienste nach außen an?

 

[Thunfischsalat]

IP Verteilung über DNS?

Sorry meinte DHCP. Da hatte ich einen Gehirnfurz...

DDOS auf ein heimnetzwerk kommt nicht an deinem Provider vorbei. Das merken die.

Deine Fritzbox hatte allerdings einige tage eine kritische luecke auf (steht eig. irgendwo welche du hast). Die luecke hat jedoch sogut wie alle aktuell noch supporteten betroffen insofern sind details da nebensache.
Sollte sie auf gemacht worden sein, wird man dir das sagen.

IPs werden ueberrigens via DHCP /slaac vergeben

hast du dir mal angesehen, was da im protokoll der Fritzbox stand?
Warum haben die geraete keine I{ bekommen?

Es ist die aktuelle 7590 und ich hatte schon auf 7.27 aktualisiert.
Was meinst du mit aufgemacht?
Ich konnte nichts im Protokoll lesen, da ich kaum in die Oberfläche gekommen bin.
Ein einziges mla konnte ich im Ereignisprotokoll lesen, dass ein zwei Verbindungsversuche einen Time-Out hatten. In dem Moment bestand aber eine normale Verbindung.

 

[Ironbutt]

Schon mit einer festen IP am PC probiert?

 

[Thunfischsalat]

Schon mit einer festen IP am PC probiert?

Das Problem besteht nicht mehr und gestern Nacht konnte ich keine feste IP ausprobieren, da der Zugriff auf die Fritz.Box zeitlich stark eingeschränkt war. Immer so circa 30 Sekunden.

Also zuerst mal vergibt der DHCP Server deiner Fritzbox die IPs, und nicht der DNS, das ist etwas anderes.

Eine Frage: Warum gehst du gleich vom Schlimmsten aus?

Es kann genauso gut sein, dass sich der DHCP-Service in der Fritzbox warum auch immer aufgehangen hat. Ist auch nur Software. Wenn jetzt akut keine Abnormitäten im Netzwerk auftreten, kein Virenscanner auf deinem PC anschlägt, und sich die Fritzbox wieder normal verhält (beobachten!) und die aktuelle Firmware hat, ist die Sache vermutlich ausgestanden.

Ich hoffe, deine Fritzbox bietet keine Dienste nach außen an?

Hatte nur DNS und DHCP verwechselt. Meinte natürlich meinen DHCP Server.
Vom schlimmsten, weil das Timing mit dem vorherigen Download aus z.T. russischer und dazu mir neuer Quelle einfach wie die Faust aufs Auge gepasst hat.
Das sich der DHCP Server aufgehangen hat, ist auch meine Hoffnung, aber dafür bin ich ja hier um mich darüber auszutauschen.
Ich habe mir jetzt auch zwei LiveCDs (Kaspersky und Avira) auf mein USB-Stick gelegt und werde die durchlaufen lassen.

Meine Fritz.Box bietet nichts nach Außen an.
Ahja: Ich habe ein kleines NAS mit OMV5 welches ich zum ausprobieren habe, aber welches zu dem Zeitpunkt nicht angeschaltet war und einen Roborock Sauger (Ubuntu) mit Valetudo und aktiviertem und verschlüsseltem SSH Zugang.

 

[Grimba]

Und dann benutzt du einen russischen Virenscanner?

Also unabhängig davon, dass das von dir aufgezeichnete Szenario eher unwahrscheinlich ist, solltest du natürlich Software aus fragwürdigen Quellen meiden. Aber das alleinige russisch sein birgt per se keine Gefahr.

 

[BFF]

Ich hab Dir mal den Threadtitel geaendert. @Thunfischsalat

Anyway.
Ein aehnliches Verhalten hatte ich mal mit einem TP-Link.
Traeger DNS, keine IP mehr per DHCP, kaum eine Moeglichkeit auf den Router zu kommen.

Lag am Ende daran das sich der DHCP-Dienst irgendwie aufgehaengt hat und die Systemlast so hoch trieb das die restlichen Dienste keine Luft mehr bekamen.

Moeglich, das es Deinen Router aehnlich erwischt hat.

 

[Thunfischsalat]

Und dann benutzt du einen russischen Virenscanner?

Also unabhängig davon, dass das von dir aufgezeichnete Szenario eher unwahrscheinlich ist, solltest du natürlich Software aus fragwürdigen Quellen meiden. Aber das alleinige russisch sein birgt per se keine Gefahr.

Deswegen der doppelte Boden mit der Avira LiveCD
Hast du noch eine Option? Ist schon Ewigkeiten her, dass ich auf so etwas zugreifen musste.
Man weiß ja nie. Eigentlich ist ja nur die neue Quelle dann fraglich. Russisch war nur das i-Tüpfelchen.

Ich hab Dir mal den Threadtitel geaendert. @Thunfischsalat


Moeglich, das es Deinen Router aehnlich erwischt hat.

Vielen Dank. Wieso kann man als OP eigentlich nicht selbst?
Ich hoffe es mal.
Ansonsten überlege ich mir auf Linux umzusteigen.

 

[Rubbiator]

Ich hatte es mal bei einem Kumpel, dass ich mit meinen Geräten auch keine IP mehr bekommen habe. Der DHCP Server der Fritz!Box ist etwas eigentümlich, er möchte Geräten immer die selbe IP geben und baut sich deswegen irgendwann eine Geräte Liste des Todes auf. Die sollte man Mal ab und an bereinigen bei so kuriosen Phänomenen. Hat eher am Rand was damit zu tun, aber die Symptomatik war damals die selbe wie es nun bei dir war/ist.

 

[prian]

@Thunfischsalat
Ich glaube zu erkennen, dass Du manchmal nicht so recht weißt was Du machst.
Deinen "wirren" Spekulationen verleiten mich leider zu dieser Annahme.

Wenn der PC nicht mehr ins I-Net kommt und auch die FB nicht erreichbar ist via Handy, selbst nach Aus/Ein der FB, dann liegt der Fehler wo? Sicherlich nicht am PC und an einem DDos Angriff auf denselben, klar hinter der Firewall der FB.

Wenn so etwas auftritt, dann nehme ich die FB vom Netz und klemme einen PC direkt dran und dann versuche ich auf die IP der FB zuzugreifen, ggf. mit statischer IP am PC aus dem Bereich den die FB hat.

Und Linux macht das Verhalten auch nicht besser, schon alleine dieses Statement ist schon grundsätzlich verdächtig.

Wenn Du einen vernünftigen Virenscanner für "externes" Scannen suchst, dann nimm Desinfec't vom Heise Verlag. Du musst dazu die c't Ausgabe 12/2021 haben oder Dir kaufen.
https://www.heise.de/download/product/desinfect-71642

 

[Demon_666]

Sofern ich es nicht überlesen habe: Resette doch mal die Fritzbox auf Werkseinstellungen.
Die anderen Szenarien halte ich eher für unwahrscheinlich.

 

[Nero_XY]

Du musst dazu die c't Ausgabe 12/2021 haben oder Dir kaufen.

Downloaden kann man es auch ohne Heft/Abo.

 

[dahkenny]

Sowas kommt nicht von einem ASI Loader für GTA SA. Ebenso ist die Chance dass man als Privatperson ins Ziel eines DDoS gerät, eher gering. Wenn ein Neustart der Fritzbox nichts hilft, mal zurücksetzen wie in #13 bereits vorgeschlagen.

Wegen sowas auf Linux zu wechseln, halte ich für etwas übertrieben.

 

[prian]

@Nero_XY
Das wusste ich nun nicht, dachte immer dass mal das Heft haben muss bzw. ein Abo.

 

[Raijin]

Das Problem besteht nicht mehr und gestern Nacht konnte ich keine feste IP ausprobieren, da der Zugriff auf die Fritz.Box zeitlich stark eingeschränkt war. Immer so circa 30 Sekunden.

Das eine hat mit dem anderen absolut rein gar nichts zu tun. Es spielt einfach keine Rolle ob der Zugriff auf deine Fritzbox stark eingeschränkt ist oder nicht, wenn du am PC eine "feste IP" einstellen willst. das ist eine reine PC-Einstellung und da kann die Fritzbox von mir aus in Rauch aufgehen, aber das ändert nichts daran, dass man die IP des PCs eben auch manuell ändern kann.

Vermutlich denkst du dabei an eine DHCP-Reservierung, aber das wurde im ursprünglichen nicht gemeint, sondern mit ein paar Klicks ins Netzwerkcenter gehen, Adapteroptionen, Netzwerkadapter auswählen, Eigenschaften, IPv4 von automatisch auf manuell stellen, IP-Adresse inkl. Subnetzmaske, Gateway und DNS von Hand eingeben, zB 192.168.178.2 / 255.255.255.0 + 192.168.178.1 + 192.168.178.1.

Abgesehen davon gibt es ein paar Standardtests, um das Verbindungsproblem einzugrenzen:

Start --> cmd
--> ping 192.168.178.1
--> ping 8.8.8.8
--> nslookup computerbase.de
--> nslookup computerbase.de 192.168.178.1
--> nslookup computerbase.de 8.8.8.8

Die Pings prüfen die eigentliche Netwerk bzw. Internetverbindung. Domains wie computerbase.de und fritz.box sind nämlich nichts anderes als ein Telefonbuch. Braucht man ein Telefonbuch zum Telefonieren? Nein, also braucht man auch tatsächlich keine Domains für das Internet, sie machen dem Benutzer das Leben nur deutlich leichter. Deswegen wird bei den Pings die IP-Funktionalität des Netzwerks bzw. des Internets geprüft. Kommen die Pings an, ist mit dem Netzwerk und dem Internet als solchem soweit alles ok, weil man zumindest theoretisch im Browser mit IP-Adressen surfen könnte (praktisch führt das auch zu Fehlern, aber egal).

Bei den drei nslookups handelt es sich um DNS-Queries, also explizit das Nachschlagen im Telefonbuch für Domains. Bei jedem Aufruf im Browser oder auch bei "ping computerbase.de" wird immer ERST ein DNS-Query abgeschickt, der computerbase.de in die IP übersetzt, und DANACH wird die Verbindung mit eben dieser IP aufgebaut.

Fazit: Schlagen die Pings fehl, liegt tatsächlich ein echtes Netzwerkproblem vor. Die nslookups werden in Folge dessen auch nicht funktionieren. Funktionieren die Pings aber und nur die nslookups schlagen fehl, liegt ein DNS-Problem vor.

Diese Tests macht man idealerweise einmal im funktionierenden Fall und einmal im Fehlerfall, um einen Vergleich zu haben.

 

[Thunfischsalat]

@Rubbiator Das Gerät ist erst seit April im Einsatz.

Ich glaube zu erkennen, dass Du manchmal nicht so recht weißt was Du machst.
Deinen "wirren" Spekulationen verleiten mich leider zu dieser Annahme.

Was soll ich dazu sagen?

Wenn der PC nicht mehr ins I-Net kommt und auch die FB nicht erreichbar ist via Handy, selbst nach Aus/Ein der FB, dann liegt der Fehler wo? Sicherlich nicht am PC und an einem DDos Angriff auf denselben, klar hinter der Firewall der FB.

Wenn so etwas auftritt, dann nehme ich die FB vom Netz und klemme einen PC direkt dran und dann versuche ich auf die IP der FB zuzugreifen, ggf. mit statischer IP am PC aus dem Bereich den die FB hat.

Und Linux macht das Verhalten auch nicht besser, schon alleine dieses Statement ist schon grundsätzlich verdächtig.

Wenn Du einen vernünftigen Virenscanner für "externes" Scannen suchst, dann nimm Desinfec't vom Heise Verlag. Du musst dazu die c't Ausgabe 12/2021 haben oder Dir kaufen.
https://www.heise.de/download/product/desinfect-71642

Ich habe nie behauptet, dass mein PC mein Internet lahmlegt.
Ich habe lediglich den Verdacht geäußert, dass ich eventuell durch einen infizierten Downgrader oder durch den ASI Loader Schadsoftware beim Ausführen von GTA ausgeführt haben KÖNNTE. Mir ist jedoch nichts dazu bekannt, deswegen frage ich hier.
Wie ein DDOS auf eine Fritz.Box aussieht habe ich noch nie zuvor beobachten können und kann daher nicht einschätzen, wie sich das Gerät dann verhält.
Mein PC ist und war bereits zuvor direkt mit der Fritz.Box verbunden.
Mir war nicht bewusst, dass man problemlos eine der dynamischen IPs einfach statisch am PC festlegen kann.
Ich dachte dafür wäre der reservierte Adressraum.

Das mit Linux war nur ein Nebenkommentar bzgl. des Neuaufsetzen, hab ja auch noch ein Smiley draufgesetzt.
Natürlich behebt es nicht die Probleme, die sich ereignet haben, aber wenn sich NUR der DHCP Server aufgehängt hat, sollte das Problem nach einem Neustart behoben sein. Gerade wenn ich es sogar zwei mal neustarte, blieb es bestehen.
Desinfec't probiere ich mal aus. Die Avira und Kaspersky LiveCDs haben bei je zweimaliger Suche, außer falsche Alarme, nichts gefunden.
@Nero_XY Danke.

Sofern ich es nicht überlesen habe: Resette doch mal die Fritzbox auf Werkseinstellungen.
Die anderen Szenarien halte ich eher für unwahrscheinlich.

Das Problem besteht nicht mehr, aber ich werde es beim nächsten Mal definitiv probieren.

Wegen sowas auf Linux zu wechseln, halte ich für etwas übertrieben.

Wie gesagt, war nur das Neuaufsetzen im allgemeinen gemeint, falls jemand Erfahrungswerte mit dem Problem hatte. Linux wäre ja nur eine Option, weil man ehh den Schweinehund überwinden muss.

Das eine hat mit dem anderen absolut rein gar nichts zu tun. Es spielt einfach keine Rolle ob der Zugriff auf deine Fritzbox stark eingeschränkt ist oder nicht, wenn du am PC eine "feste IP" einstellen willst. das ist eine reine PC-Einstellung und da kann die Fritzbox von mir aus in Rauch aufgehen, aber das ändert nichts daran, dass man die IP des PCs eben auch manuell ändern kann.

Vermutlich denkst du dabei an eine DHCP-Reservierung, aber das wurde im ursprünglichen nicht gemeint, sondern mit ein paar Klicks ins Netzwerkcenter gehen, Adapteroptionen, Netzwerkadapter auswählen, Eigenschaften, IPv4 von automatisch auf manuell stellen, IP-Adresse inkl. Subnetzmaske, Gateway und DNS von Hand eingeben, zB 192.168.178.2 / 255.255.255.0 + 192.168.178.1 + 192.168.178.1.

Wie man in Windows eine feste IP einstellt ist mir bekannt, aber ich wusste nicht, dass man einfach so eine IP aus dem Dynamischen Adressbereich statisch vergeben kann. Wenn sich der DHCP Server aufgehängt hat, kann dann überhaupt diese IP (welche eigentlich dynamisch wäre) von der Fritz.Box "angesprochen" werden?
Genau an die DHCP-Reservierung habe ich gedacht.

Abgesehen davon gibt es ein paar Standardtests, um das Verbindungsproblem einzugrenzen:

Danke für den Tipp, werde ich natürlich beherzigen.
Gepingt hätte ich, wenn selber eine IP gehabt hätte.

 

[Raijin]

ich wusste nicht, dass man einfach so eine IP aus dem Dynamischen Adressbereich statisch vergeben kann

Und davon war jetzt wo genau die Rede?

Grundsätzlich sind ALLE IP-Adressen im Subnetz vollkommen gleichwertig. Es gibt genau genommen keine dynamischen und statischen IP-Adressen, sondern lediglich verschiedene Wege, über die eine IP-Adresse festgelegt werden kann - manuell oder automatisch via DHCP.

Unabhängig von der Art der IP-Vergabe müssen IP-Adressen aber stets eindeutig sein, weil doppelt vergebene IP-Adressen zu Konflikten führen. Deswegen ist es zwar möglich, eine IP-Adresse aus dem DHCP-Bereich von Hand an einem Gerät einzustellen, aber es ist natürlich keine gute Idee, dies zu tun, weil es dann nur eine Frage der Zeit ist bis der DHCP-Server diese IP an ein anderes Gerät verteilt, der IP-Konflikt ist also vorprogrammiert. Das ist wohl das was du meintest.

Aber: Der DHCP-Bereich deckt normalerweise ja nicht das vollständige Subnetz ab. Bei Fritzboxxen ist das soweit ich weiß 192.168.178.20 - 192.168.178.200. Um IP-Konflikten mit dem DHCP-Server aus dem Weg zu gehen, legt man manuell gewählte IP-Adressen eben davor oder danach an (.2 - .19 / .201 - .254).

 

[omavoss]

Aber: Der DHCP-Bereich deckt normalerweise ja nicht das vollständige Subnetz ab. Bei Fritzboxxen ist das soweit ich weiß 192.168.178.20 - 192.168.178.200. Um IP-Konflikten mit dem DHCP-Server aus dem Weg zu gehen, legt man manuell gewählte IP-Adressen eben davor oder danach an (.2 - .19 / .201 - .254).

Oder man legt die dynamisch vom DHCP-Server vergebene IP-Adresse auf ein bestimmtes Gerät fest (statisches DHCP). Dazu ist im Menü der Fritzbox nur ein kleiner Haken an der entsprechenden Stelle zu setzen und auf OK zu klicken.