Spurensuche im IP-Reich

Er schritt den Flur hinab und nahm die Notebooks unter seinen anderen Arm, damit er einen Blick auf seine Uhr werfen konnte. Schon fast 17:00 Uhr. Ein chaotischer Tag, aber gleich würde er vorüber sein.

Er erreichte das kleine Büro, in dem sein IT-Team arbeitete. Andi saß in einem heillosen Durcheinander an Geräten: leuchtende geometrische Gebilde, genug blinkende LEDs, um einen Jet bei Nacht landen zu lassen und verschiedenfarbige Kabel, die aussahen wie ein wildes farbiges Spaghettiknäuel.

"Andi, ich hab noch zwei", verkündete Hubert und schaute nach einer freien Fläche, gab aber auf und stellte die Laptops schließlich auf den Flur zu Andis Füßen.

"Kein Problem", sagte Andi und griff mit den Händen nach Oswalds Laptop, öffnete das CD-ROM Laufwerk und deutete mit seinem Kopf auf drei Toshiba Tecras, die sich auf seinem Tisch stapelten. "Wir sind mit denen fertig, wenn die Besitzer sie wieder zurückwollen, dann bitte."

"Auf geht´s. Sabine soll sie in den Konferenzraum bringen und die Vertriebler sollen sich ihren raussuchen." Hubert steuerte auf sein Büro zu.

An seinem Schreibtisch benutze er einen KVS-Switch, um seine Firebox Management Station aufzurufen. "Okay, Frau 234", murmelte er, "lass uns herausfinden, wer du bist." Er öffnete das Control Center und klickte auf den kleinen Firebox Monitor-Icon. Ein großes Raster, das den Verkehr anzeigte, der an der Firebox vorbeimusste, tauchte auf. Hubert ignorierte es. Unterhalb des großen Rasters fand er den Tab mit dem Namen "Status Report". Er klickte ihn an.

Anzeige

Der Status Report tauchte sofort auf. Er überging den oberen Teil und scrollte weiter nach unten. Seit er DHCP nutzte, sagt eine einzelne IP Adresse nicht viel über die Identität von jemandem in seinem Netzwerk aus. Er schaute nach "IPs issued from und returned to", einem Auffangbecken für alle benutzten IP Adressen. Er wollte sehen, wer 192.168.0.234 während des Druckvorgangs benutzt hatte. Die ARP-Aufstellung würde ihm die MAC-Adressen zu 192.168.0.234 zeigen. Außerdem verfügte er über eine Liste, welcher K & S-Angestellter welche MAC-Adresse hatte.

Weiter unten fand er endlich, was er suchte:

ARP Table:
                                            Flags 
Address         HWtype  HWaddress           Mask   Iface

205.122.52.2    ether   00:90:7F:04:2D:87   C      eth2 
205.122.52.1    ether   00:01:63:4C:38:00   C      eth0
205.122.52.2    ether   00:90:7F:04:2D:85   C      eth0
205.122.52.2    ether   00:90:7F:04:2D:86   C      eth1
192.168.0.1     ether   00:90:7F:04:2D:86   C      eth1:1
192.168.0.34    ether   00:60:8C:05:2A:1B   CMP    eth1
192.168.0.174   ether   00:60:8C:05:25:45   CMP    eth1
192.168.0.57    ether   00:60:8C:03:27:97   CMP    eth1
192.168.0.79    ether   00:60:8C:03:AD:9B   CMP    eth1
192.168.0.234   ether   00:60:1D:02:D2:3A   CMP    eth1
192.168.0.231   ether   00:60:1D:02:35:15   CMP    eth1
192.168.0.2     ether   00:60:8C:05:23:73   CMP    eth1
192.168.0.7     ether   00:60:8C:03:B3:A3   CMP    eth1
192.168.0.15    ether   00:60:8C:05:85:C2   CMP    eth1
192.168.0.27    ether   00:60:8C:04:7F:2C   CMP    eth1
192.168.0.225   ether   00:60:1D:02:11:28   CMP    eth1
192.168.0.33    ether   00:60:8C:04:B4:19   CMP    eth1
192.168.0.55    ether   00:60:8C:05:03:A0   CMP    eth1
192.168.0.69    ether   00:60:8C:05:D3:AB   CMP    eth1
192.168.0.229   ether   00:60:1D:02:B5:41   CMP    eth1
192.168.0.238   ether   00:60:1D:02:A4:33   CMP    eth1

Das Adressen-Feld zeigte ihm die Liste aller IP-Adressen auf, die derzeit sich in seinem Netzwerk aufhielten und das HWaddress-Feld zeigte ihm die MAC-Adressen an. Außer – Hubert richtete sich gerade auf. Häää? Die ARP-Aufstellung schien endlos zu sein, sie zeigte mindestens zweimal so viele Nutzer wie sonst auf. Wie kommt das denn? Und...

Das ganze Netzwerk von Hubert nutzte NICs von 3Com, so dass jede MAC-Adresse mit den gleichen Zahlen anfängt: 00:60:8C. Na ja, OK, 00:90:7F war seine Firebox. Aber jetzt zeigte die Liste andere Anbieter-IDs auf: 00:60:1D. Wer zum Teufel hat andere Geräte an sein Netzwerk angeschlossen. Soweit er weiß, waren er oder seine Mannschaft die einzigen, die dies technisch überhaupt meistern könnten. Er und Andi waren die ganze letzte Woche außer Haus. Seine anderen Mitarbeiter, Sabine und Robert, würden so was nie tun, ohne ihn zu fragen oder zu informieren.