Sent deauht tem soluçao.....help, ajuda, socoorro

galera ja pesquisei no under no wiki no mk no google, mais até agora nenhum procedimento deu certo, eu tenho dois radios que ficam negando pct para os clientes, da um erro: wireless,info wlan1: data from unknown device 00:02:72:7C:E2:FD, sent deauth, e com isso todos os clientes ficam afetados, ja troquei os dois radios, troquei pig tail antenas fontes, troquei tudo, ja olhei sinal dos clientes, ack ta normal 30 us, noise floor -105, ja nao sei mais oque fazer, por favor se alguem que ja passou por isso e resolveu me ajude

Esse MAC é cliente da sua rede? Se for permita que ele conecte. Caso não seja, não há o que fazer, a não ser deixá-lo entrar se não quiser o deauth. Se sua rede for criptografada e mesmo assim continuar o deauth é ataque e para isto a velha frase que sempre repito: senta e chora.

Citação:

---

Postado originalmente por sergio

Esse MAC é cliente da sua rede? Se for permita que ele conecte. Caso não seja, não há o que fazer, a não ser deixá-lo entrar se não quiser o deauth. Se sua rede for criptografada e mesmo assim continuar o deauth é ataque e para isto a velha frase que sempre repito: senta e chora.

---

serio sergio, nao fala isso nao, num é possivel, to como um amigo meu aqui perto que esta com o mesmo problema,

Citação:

---

Postado originalmente por danilosceu

serio sergio, nao fala isso nao, num é possivel, to como um amigo meu aqui perto que esta com o mesmo problema,

---

Então, não respondeu minha pergunta... Já escrevi outras vezes a respeito desse send-deuth. Utilizado para ataque não há o que fazer.

Citação:

---

Postado originalmente por sergio

Esse MAC é cliente da sua rede? Se for permita que ele conecte. Caso não seja, não há o que fazer, a não ser deixá-lo entrar se não quiser o deauth. Se sua rede for criptografada e mesmo assim continuar o deauth é ataque e para isto a velha frase que sempre repito: senta e chora.

---

sim o mac é da rede porem nao é somente esse sao varios, ele ja esta conectado no radio porem quando da esse erro ele e os demais clientes sai do ap,

ontem eu fiquei até 2 da madruga olhando e nao dava nada, mais tbm nao tinha ninguem online, tenho poucos clientes nesse cartao , uns 10 só

Citação:

---

Postado originalmente por danilosceu

sim o mac é da rede porem nao é somente esse sao varios, ele ja esta conectado no radio porem quando da esse erro ele e os demais clientes sai do ap,

---

Duas possibilidades:

1 - o cartão do AP está com problemas. Só trocar.
2 - Ataque, clonando um MAC do cliente (ou de vários). Não tem solução.

ja vi desse erro por aqui...mais nao acontece mais....o que to vendo nos logs é o extensive data loss.

Mais me parece que é por causa do ACK...

Citação:

---

Postado originalmente por sergio

Duas possibilidades:

1 - o cartão do AP está com problemas. Só trocar.
2 - Ataque, clonando um MAC do cliente (ou de vários). Não tem solução.

---

o cartao é novo troquei ontem pensando que poderia ser isso,
ataque eu ja nao sei.

Citação:

---

Postado originalmente por gustavinho69

ja vi desse erro por aqui...mais nao acontece mais....o que to vendo nos logs é o extensive data loss.

Mais me parece que é por causa do ACK...

---

vc nao sabe oque aconteceu que parou.

Use o snifer do cartão wireless e analise os pacotes... se encontrar sent-detauh no atacado (muitos, seguidamente), normalmente é ataque.

vou fazer isso agora...

cara pior que nao...mais faça isso que o sergio falou....e por precaução altere a chave de criptografia da rede.

Citação:

---

Postado originalmente por sergio

Use o snifer do cartão wireless e analise os pacotes... se encontrar sent-detauh no atacado (muitos, seguidamente), normalmente é ataque.

---

só tem isso Anexo 5053

Citação:

---

Postado originalmente por danilosceu

só tem isso Anexo 5053

---

isso ai é o Torch. Não mostra os dados necessários. Tem que usar o sniffer da interface wireless.

Pelo que notei está usando PPPoE. Coloque a interface em uma bridge (caso não esteja) e configure filtros de bridge para passar apenas pppoe e negar o resto.

Citação:

---

Postado originalmente por sergio

isso ai é o Torch. Não mostra os dados necessários. Tem que usar o sniffer da interface wireless.

Pelo que notei está usando PPPoE. Coloque a interface em uma bridge (caso não esteja) e configure filtros de bridge para passar apenas pppoe e negar o resto.

---

fis no torch e no sniffer, o anexo do sniffer nao foi, mais aparece um monte de mac por tras dos clientes FF:FF:FF:FF:FF:FF ta bloqueado e continua aparecendo no sniffer

Citação:

---

Postado originalmente por danilosceu

fis no torch e no sniffer, o anexo do sniffer nao foi, mais aparece um monte de mac por tras dos clientes FF:FF:FF:FF:FF:FF ta bloqueado e continua aparecendo no sniffer

---

FF:FF:FF:FF:FF é o "broadcast" da camada 2... é o próprio AP. Tem que ver quem está enviando (1, 2, 3 ou muitos) e como aparecem (vários deauth, um após o outro).

Citação:

---

Postado originalmente por sergio

FF:FF:FF:FF:FF é o "broadcast" da camada 2... é o próprio AP. Tem que ver quem está enviando (1, 2, 3 ou muitos) e como aparecem (vários deauth, um após o outro).

---

aparece muitos em cada cliente uns 7 8 em cada mac

Citação:

---

Postado originalmente por danilosceu

aparece muitos em cada cliente uns 7 8 em cada mac

---

é... para ser ataque não precisaria fazer isso, mas vai saber quem é o zé roela que poderia rodar isso.

Estou achando que isto está mais para algum defeito no cartão ou adaptadora do mesmo. Teste com outro AP (troque tudo). Se não resolver, comece a verificar cliente a cliente. Se não achar nada, é ataque... infelizmente não existem ferramentas que possam confirmar a origem do problema.

Citação:

---

Postado originalmente por sergio

é... para ser ataque não precisaria fazer isso, mas vai saber quem é o zé roela que poderia rodar isso.

Estou achando que isto está mais para algum defeito no cartão ou adaptadora do mesmo. Teste com outro AP (troque tudo). Se não resolver, comece a verificar cliente a cliente. Se não achar nada, é ataque... infelizmente não existem ferramentas que possam confirmar a origem do problema.

---

troque a placa os dois card ontem até fonte e antena eu troquei e nao resolveu,
parece que agora que eu dei um blok no fffffffff parou.

Anexo 5056

não tem deauth ai... só probe request e data. Isso não parece ser ataque. Conforme mencionei, troque o AP e se não resolver procure cliente a cliente, pois um deles está gerando o problema.

Citação:

---

Postado originalmente por sergio

não tem deauth ai... só probe request e data. Isso não parece ser ataque. Conforme mencionei, troque o AP e se não resolver procure cliente a cliente, pois um deles está gerando o problema.

---

Passei a tarde toda indo de cliente a cliente e nada, todos normais, e reclamando das quedas, rodei antivirus em todos os que estava com virus trouxe o PC para formatar e mesmo assim o problema continua.:boxing:

Mas e o AP?? Era o primeiro a verificar...

Citação:

---

Postado originalmente por sergio

Mas e o AP?? Era o primeiro a verificar...

---

Sérgio, filtrando o AP para pppoe eu me livro dum ataque destes, ou foi sugestão para eliminar outro problema? Existe equipamento imune a esse tipo de ataque ou é falha de protocolo? Grato.

Citação:

---

Postado originalmente por bjaraujo

Sérgio, filtrando o AP para pppoe eu me livro dum ataque destes, ou foi sugestão para eliminar outro problema? Existe equipamento imune a esse tipo de ataque ou é falha de protocolo? Grato.

---

Sugestão para eliminar problemas de broadcast, que normalmente, worms e malwares em geral exploram.

Não existe solução para ataque de deauth, apesar que chipset como atheros em sistemas com bom processamento não travam (freezing) como os equipamentos mais antigos. Se usar clocking de frequências (10 MHz ou 5 MHz) e o atacante não possuir esta característica (normalmente não possuem) está protegido. Sistemas mais recentes como Mikrotik ROS e o sistema da linha Cisco WiFi (deve ter outros) possuem proteção para esse ataque, mas só funcionam se os dois lados (cliente e AP) possuirem as mesmas configurações.

Esse problema do deauth é antigo e é a maneira que o protocolo 802.11 foi concebido.

entao no caso vamos ter que ficar o resto da vida com internet caindo, o filtro nao teve efeito nenhum aqui, ja tirei cliente por cliente do ap e nada, parece que é problema do ap mesmo, ele manda o cliente desconectar e pronto acabou, e nao ta nem ai.

ta cortando mais meus wds doque os clientes essa manha.
wds com -65 de sinal outro com -68, outro com -51

senta e chora mano... hehehe

mas seguinte, primeiro como esta o sinal dos seus clientes????

Data rates TX e RX 11/11, ou tem mudulação 11/1, 5.5/1 coisa assim?

que antena vc tem no seu POP, é omni, se for omni ao menos é hyperlink??? heheh

equipamento do cliente??? qual o modelo de antena e radio ou tem plaquinha pci nessa rede?

a isolação dos conectores nos clientes como esta???

relacione isto e vamos ver se tem algum ai fazendo coisa que nao deve nessa sua rede.

e uma coisa instalações wireless devem ser perfeitas, senão uma hora ou outro vc estara no meio de um inferno de problemas.

forte abraço
Gilmar Balbinot

Não sei se é o caso, mas vc ja deu uma olhada na lista do pessoal conectado em seu AP? uma vez, tive alguns problemas na rede toda gerando conflitos de IP (sei que seu problema nao é esse, mas sei la, quem sabe ajuda), ai olhando na aba Registration do MK, vi que tinha um individuo com um ip que nao era da minha rede, e procurando pelo MAC em meu sistema vi que nao era cliente, bloqueei ele de conectar no meu AP, e pronto, problema resolvido, da uma analisada ai pra ver.

Hugs!

Pior acaso nos seus clientes vc usa realtek 8185?

Estava com este problema de log do tipo send deauth e comecei a descobrir que sempre iniciavam após certos clientes conectarem, comecei a perceber que apenas os cliente com AP Greatek é que geravam estes logs, então comecei a atualizar o firmware destes Greatek e começaram a sumir estes logs. Também estava achando que estava sendo atacada (não quero dizer que tu não esteja), mas graças a Deus era apenas algum problema com os Greateks. Inclusive não adiantava negar-lhes conexão no access-list.

Para eu poder descobrir quais clientes que conectavam e começava a aparecer logs de Sent Deaut, tive que direcionar a saida do log do mikrotik para meu servidor linux, pois não queria encher a memoria do mikrotik com logs.

Citação:

---

Postado originalmente por Gilmar

senta e chora mano... hehehe

mas seguinte, primeiro como esta o sinal dos seus clientes????

Data rates TX e RX 11/11, ou tem mudulação 11/1, 5.5/1 coisa assim?

que antena vc tem no seu POP, é omni, se for omni ao menos é hyperlink??? heheh

equipamento do cliente??? qual o modelo de antena e radio ou tem plaquinha pci nessa rede?

a isolação dos conectores nos clientes como esta???

relacione isto e vamos ver se tem algum ai fazendo coisa que nao deve nessa sua rede.

e uma coisa instalações wireless devem ser perfeitas, senão uma hora ou outro vc estara no meio de um inferno de problemas.

forte abraço
Gilmar Balbinot

---

sinal esta tudo abaixo de -65
1 omini 2 paineis 14dbi tudo da hyper
cartao r52h 350
antenas de cliente aquario 19 e 25dbi maioria placa realsat ou dlink 510, radios gilink, e agora deu uma amenizada na situaçao mais ainda tem horas que da umas caidas feia

Citação:

---

Postado originalmente por flaviomreis

Estava com este problema de log do tipo send deauth e comecei a descobrir que sempre iniciavam após certos clientes conectarem, comecei a perceber que apenas os cliente com AP Greatek é que geravam estes logs, então comecei a atualizar o firmware destes Greatek e começaram a sumir estes logs. Também estava achando que estava sendo atacada (não quero dizer que tu não esteja), mas graças a Deus era apenas algum problema com os Greateks. Inclusive não adiantava negar-lhes conexão no access-list.

Para eu poder descobrir quais clientes que conectavam e começava a aparecer logs de Sent Deaut, tive que direcionar a saida do log do mikrotik para meu servidor linux, pois não queria encher a memoria do mikrotik com logs.

---

eu nem tenho desses radios aqui greatek

qual chipset das realsat?

Cara to tendo tmbm esses problemas aqui em cima do R52H.....mais no meu caso os sinais do estão altissimos....coisa de -88 a -91.

Ainda não tive como ir na repetidora ver o que pode estar com defeito....mais espero que seja pig tail. hehehe

Minha repetidora ta assim:

RB600 + R52H + Cell Flex 1/2 + Painel EMCTEST 15Dbi

Visada limpa nos clientes.

estranho é que quando do SCAN lista mais de 60 redes e todas com SINAL de -83 pra cima.

sei nao nunca olhei eu uso só com cabo aqui
mais acho que é rtl8186 algo assim

Citação:

---

Postado originalmente por gustavinho69

Cara to tendo tmbm esses problemas aqui em cima do R52H.....mais no meu caso os sinais do estão altissimos....coisa de -88 a -91.

Ainda não tive como ir na repetidora ver o que pode estar com defeito....mais espero que seja pig tail. hehehe

Minha repetidora ta assim:

RB600 + R52H + Cell Flex 1/2 + Painel EMCTEST 15Dbi

Visada limpa nos clientes.

estranho é que quando do SCAN lista mais de 60 redes e todas com SINAL de -83 pra cima.

---

pode ser falha do r52h

olha só placas pci= rtl 8185 se forem essas , senta e chora... tem que trocar, nao tem outra solução até agora
aps =m rtl 8186, funcionam normalmente com wap-pro, ap router ou outros, greatek nunca testei..
adaptadores usb e usado em notebook = rtl 8187 tmb funcionam bem, só tive problema com os rtl 8185..

Aqui nos clientes só tenho usado o AP Krazer RTL8186.......nao tive problema com eles ainda...pois sempre os conectei em AP+Omini e Bullet+Omini....mais agora conectando nessa repetidora tenho visto isso...mais como disse ta horrivel o sinal....só amanha irei trocar os equipamentos.

aterra a torre

Citação:

---

Postado originalmente por powernetscm

aterra a torre

---

ja ta aterrada

Citação:

---

Postado originalmente por fernandofiorentinn

olha só placas pci= rtl 8185 se forem essas , senta e chora... tem que trocar, nao tem outra solução até agora
aps =m rtl 8186, funcionam normalmente com wap-pro, ap router ou outros, greatek nunca testei..
adaptadores usb e usado em notebook = rtl 8187 tmb funcionam bem, só tive problema com os rtl 8185..

---

ja observei em outra repetidora e só faz wds com outro mk====R52H e esta com o mesmo problema

Aqui eu tinha um problema parecido.

Eu uso um RB133 + minipci Engenius + Mini pci Xr2.

Quando eu usava os dois minipcis ligados simplesmente, depois de algumas hroas de uso, TODOS que estivessem no xr2 caiam e não voltavam mais até eu desabilitar e habilitar o cartão novamente.


Quando eu desabilitei o cartão Engenius, o cartão XR2 passou a operar normalmente.
O problema nao era a alimentação(fonte) da routeboard, nem aterramento.


Enfim, agora, na minha RB133 só há um cartão minipci, o xr2 e já fazem 2 meses que ele funciona normalmente.

Fala colega...

Tive um problema parecido ha uns 6 meses atrás...

Detalhe ,uso PC-AP...

Troquei placa de rede;
Pigtail;
Cartão e nada...

Desconfiei tbm do adaptador mini-pci...

Como eu tinha uma outra placa mãe em mãos,troquei a danada e também mudei a versão do pc-ap de 2.9.27(Versão chulezenta) para 3.13.. reconfigurei todos os macs e outros detalhes extras e pronto,Resolvido!!!