IP und Subnetmask unbekannt, wie herausfinden?

[Superior1337]

Hallo,
habe eine alte Alcatel TK-Anlage gefunden und wollte gern auf die Konfiguration zugreifen.
Ich weiß, dass sie früher einfach über den LAN Port verbunden war. In dem Programm muss ich zum Verbinden die IP angeben, die weiß ich aber nicht mehr. Wenn ich die Anlage anschließe und im Router schaue, sehe ich sie nicht.
Lasse ich Advanced IP Scanner oder Angry IP Scanner laufen, ebenfalls nicht.
Ich glaube damals war eine andere Subnetmask eingestellt.

Kann ich die dann überhaupt finden in meinem Router, wenn die in einem ganz anderen Subnet ist?
Wie kann ich das richtige Subnet finden?

Das einzige was ich habe: Die Mac Adresse, denn die steht auf der Hardware auf dem Aufkleber.

In der CMD arp -a findet das Gerät auch nicht.

Sie hat noch einen Consolen Port, ich aber kein Seriellen Anschluss am Rechner. Habe auch einen Adapter RJ45 zu Serial zu USB, aber da sind die Pins falsch belegt. Ehe ich mir das zerbastel oder ein passendes kaufe, würde ich gern wissen, ob ich über LAN ohne IP und Subnet zu kennen noch eine Chance habe.

Danke

 

[smirage]

Du könntest online nach einem Manual schauen, eventuell findest du da drin die IP. Vorher halt die Anlage auf Werk resetten

Edit: Kurz mal gegoogelt

Eventuell hilft dir das ja schon weiter

 

[Superior1337]

Manual hab ich durch, Default IP ist es nicht.

Wenn ich die Anlage Resette/Flashe, sind meine Lizenzen mit weg. Würde ich ungern machen.

 

[RalphS]

Wenn die MAC Adresse bekannt ist, kannst Du mit ARP eine statische "Route" setzen (im weitesten Sinne) und dieser MAC auf ARP-level eine (freie!) IP Adresse einfach zuweisen.

Funktioniert nur von diesem einen PC, wo der ARP Eintrag gesetzt wurde.

 

[madmax2010]

einfach mal dran gehaengt und tcpdump an gemacht? In jedes Paket schauen kann schnell Einsichten bringen
schlimmstenfalls laesst du nmap einmal die ueblichenIP bereiche abgrasen / loopst dich durch die entsprechenden configs. Das erfordert am wenigsten denken und du bekommst alle lokal erreichbaren geraete

 

[Superior1337]

Wenn die MAC Adresse bekannt ist, kannst Du mit ARP eine statische "Route" setzen (im weitesten Sinne) und dieser MAC auf ARP-level eine (freie!) IP Adresse einfach zuweisen.

Das werde ich testen, danke.

Werde es über Powershell probieren, da kann mans auch wohl leicht wieder entfernen, über netsh wohl nur mit einem hotfix.

New-NetNeighbor -InterfaceIndex <ix> -IPAddress '<ip>' -LinkLayerAddress '<mac>' -State Permanent

Hoffe das passt.

 

[tRITON]

Selbst, wenn du die IP kennen solltest, was erhofft du Dir davon? Die Anlage hat kein Webinterface. Du brauchst die passende Software in der passenden Version zum Softwarestand und sowohl das Anlagenkennwort, als auch am besten das dazu passende Einrichterkennwort.

ist der Softwarestand der Anlage <8 kannst die sie wieder zur Sondermüllszelle zurück bringen, dann kann sie kein VoIP.

 

[Superior1337]

Selbst, wenn du die IP kennen solltest, was erhofft du Dir davon? Die Anlage hat kein Webinterface. Du brauchst die passende Software in der passenden Version zum Softwarestand und sowohl das Anlagenkennwort, als auch am besten das dazu passende Einrichterkennwort.

ist der Softwarestand der Anlage <8 kannst die sie wieder zur Sondermüllszelle zurück bringen, dann kann sie kein VoIP.

OMC und Kennwort hab ich noch, hab ich nicht geändert. Nur IP musste ich damals anpassen. Und ist ja schön, wenn du es für Sondermüll hältst, ich brauche aber gar kein VoIP. Was ich mir "erhoffe" ist auch nicht relevant um meine Frage hier zu klären. Hätte meine Frage auch allgemeiner stellen können ohne die Anlage zu erwähnen, da ich es generell gern wissen würde, wie man die IP/Subnetmask herausfinden kann nur mit der MAC. Die Lösungen der Vorredner waren aber schon ganz hilfreich. Trotzdem Danke.

 

[foo_1337]

Wenn die MAC Adresse bekannt ist, kannst Du mit ARP eine statische "Route" setzen (im weitesten Sinne) und dieser MAC auf ARP-level eine (freie!) IP Adresse einfach zuweisen.

Und was bringt das? Wenn ich dann auf diese IP zugreife, wird der Kernel bzw. der TCP/IP Stack der Gegenstelle das ganze verwerfen, weil es nicht für ihn gedacht ist.
Oder habe ich dich hier komplett falsch verstanden?

 

[RalphS]

Technisch ist das ARP Cache Poisoning.
Beim Übergang L3 => L2 gehst Du her und fragst über ARP nach, welche MAC Adresse denn diejenige IP-Adresse hat, die ich erreichen. Dann können die Frames an diese MAC gesendet werden.
Da gibts nur zwei Optionen (abgesehen von "nix gefunden").
A, ich finde eine. Dann selbes Subnet und ich kriege die MAC des Hosts selber.
Und B, ich finde KEINE. Dann anderes subnet, ich bekomme die MAC des Gateways für die Route und ich schicke meine Frames dorthin.


Wir füttern jetzt aber eine arbiträre Zuordnung in den Cache. Das OS fragt NICHT mehr über ARP, da dessen Cache bereits einen Eintrag für die gesuchte Zuordnung hat. Die Frames werden unmittelbar ausgetauscht, wie peer-to-peer.

Von der Sache her also buchstäblich der Unterschied zwischen dynamischer und statischer Zuordnung, mit denselben caveats und derselben impliziten Sicherheitslücke.



Natürlich kann man genausogut hergehen und:
A Clientgerät und das Gerät mit der unbekannten NW-Konfiguration aus dem Netzwerk nehmen (und direkt verbinden)
B Dem Clientgerät einen möglichst großen Netzwerkraum geben.
Wenn bekannt ist, daß das ein privates Netz aus 192.168.0.0/16 ist -- naja, dann kriegt der Client so eine Adresskonfiguration.
Wenn NICHT, naja, dann versucht man es halt mit 1.0.0.0/1.

DANN kann man nmap oder ähnliches anstrengen. Wird aber eine Weile dauern. Und ja: wenn das Teil im Internet hängen würde, würde man nun mehr oder weniger jede IPv4 Adresse dort scannen. Sollte man natürlich nicht tun. Daher erst abklemmen.

 

[chrigu]

Normalerweise reicht es das Teil an Router zu hängen und im Router Menü schauen was neu ist und auf Info zu Drücken

 

[h00bi]

Evtl. gibts ein Alcatel "Finder" Tool?

Lasse ich Advanced IP Scanner oder Angry IP Scanner laufen, ebenfalls nicht.

auf welchem Netzbereich scannst du denn?
Setze deinen Suchclient mal manuell auf 192.0.0.1 / 255.0.0.0
und lass von 192.0.0.1 - 192.254.254.254 laufen. Dauert natürlich.

Ggf. auch 192.168.0.1 / 255.255.0.0 setzen und 192.168.0.1 - 192.168.254.254 scannen. Je nachdem wie weit du die IP halt eingrenzen kannst.

Alternativ könntest du die Anlage an einen managed Switch mit Mirror Port hängen (falls vorhanden oder ausleihbar) und dann den Verkehr über Wireshark mitschneiden.

 

[foo_1337]

Technisch ist das ARP Cache Poisoning.

Du brauchst mir nicht erklären, wie ARP oder ARP Poisoning funktioniert
Aber was bringt das in diesem Fall? Bzw. was erhoffst du dir davon?

Ich hätte wenn, dann den zweiten weg, den du unten beschrieben hast gewählt, sprich mit RFC1918 angefangen und durchprobiert.
Aber vorher jedoch einfach ne weile mit tcpdump gelauscht.. die Wahrscheinlichkeit, dass da irgendwas über den Äther geht, was mir die IP vermittelt, ist gar nicht so klein.

 

[Incanus]

Normalerweise reicht es das Teil an Router zu hängen und im Router Menü schauen was neu ist und auf Info zu Drücken

Das würde ja nur helfen, wenn die Anlage die IP-Adresse per DHCP bezieht oder sie fest aus dem Bereich des Routers eingerichtet ist. Da das hier nicht zutreffend ist, wird es nicht helfen. Zudem:

Wenn ich die Anlage anschließe und im Router schaue, sehe ich sie nicht.

.

 

[up.whatever]

Die meisten Geräte mit statischer IPv4 senden einen gratuitous ARP, wenn ihr Interface hoch kommt. Also: Wireshark capture starten und währenddessen das Kabel am unbekannten Gerät anschließen. Notfalls das Gerät noch einmal rebooten. Damit hast du schon einmal die IP.

Die genaue Subnetz Maske benötigst du gar nicht. Nimm dir für den Zugriff einfach eine benachbarte IP, die auf jeden Fall im konfigurieren Netz beider Geräte liegt.

 

[Raijin]

Hm... Müsste es nicht ausreichen, einfach so WireShark / tcpdump anzuschmeißen? Von dem Telefon müsste doch sporadisch ein ARP "Who has x.y.z.1?" kommen, oder nicht?

 

[chrigu]

Das würde ja nur helfen, wenn die Anlage die IP-Adresse per DHCP bezieht oder sie fest aus dem Bereich des Routers eingerichtet ist. Da das hier nicht zutreffend ist, wird es nicht helfen. Zudem:

.

Ich hatte auch mal einen Drucker der woanders konfiguriert war, im Netzwerk Menü fand ich die ip Adresse 10.0.0.22 und kam mithilfe des blau eingefärbten Link mit der ip direkt aufs druckergui um den auf die Fritz ip statisch zu stellen. Ist aber schon über 5 Jahre

 

[Incanus]

Das ist technisch nur möglich, wenn das eben der IP-Bereich war, in dem das Netzwerk funktioniert hat. Hätte der Drucker z.B. 192.168.0.22 gehabt, hättest Du ihn nicht erreichen können.

 

[Superior1337]

Update:

Habe eine statische Route via New-NetNeighbour gesetzt, konnte aber dennoch nicht drauf zugreifen.

Später habe ich alte Aufzeichnungen gefunden, die aber nicht die aktuellsten waren, da stand IP 172.16.10.70.

Habe dann an einem separaten Router den Adressbereich auf 172.16.10... geändert und das Gerät da dran gehangen. Konnte dennoch weder connecten noch es im Router finden oder anpingen.

Wie oben jemand vorgeschlagen hatte, habe ich dann mal Wireshark auf Windows laufen lassen.
Dann das Gerät gebootet und nach einiger Zeit kommt eine Source Alcatel mit der passenden MAC.
Soweit so gut, habe danach gefiltert und es passiert eigentlich immer nur das gleiche:

Die Alcatel Source sendet alle paar Sekunden zur Destination LLDP_Multicast.
Schaue ich rein, steht da nichts brauchbares, was irgendwie Aufschluss über die Source IP gibt.

Was habe ich da für Optionen, wie sollte ich vorgehen?

Danke

 

[foo_1337]

Hast du mal die TK Anlage neu gestartet? Mit etwas Glück sendet sie einen Gratuitous ARP Broadcast (dieser beinhaltet die IP Adresse des Gerätes) und den siehst du dann in Wireshark.
Edit: Sorry, völlig überlesen.. du hast ja schon rebooted.