Samsung Galaxy Watch + WiFi MK --> ARP conflict

nosek_tomas2004

Ahoj,
mám doma WiFiny od Mikrotiku spravované přes CAPsMANa (v local forwading módu).
Mimo mobilních zařízení (telefony, NTB, různé IoT bazmeky atd.) se k nim připojují i Galaxy Watche od Samsungu (různých modelů).

Je tady ale ten problém, že pokaždé, když se hodinky na WiFinu připojí/přemigrují na jiné AP, tak se v LOGu na hlavním MK (RB110AHx2) objeví hláška o ARP konfliktu (ale komunikace z/na hodinky po WiFině funguje bez problémů):
Detected conflict by ARP response for 192.168.XYZ.ABC from AA:BB:CC:EE:FF:GG

U jiných zařízení mi to nedělá tak často (max. třeba 1 za dva až tři měsíce), jak u těch Watchů.
U nich mi to je schopno skočit klidně 40*krát za den/hodinky. Když jsou doma 4, tak v tom LOGu prakticky nic jinýho není (s nadsázkou 😅).

Toto chování pozoruju ve všech sítích, kde jsou nějaké hodinky od Samsungu...

Nepotkal jste se s tím někdo už? Je to problém konfigurace, těch Watchů, nebo něčím jiným?

Díky moc za pomoc😊

hapi

nosek_tomas2004 U jiných zařízení mi to nedělá tak často (max. třeba 1 za dva až tři měsíce), jak u těch Watchů.

už tohle je znepokojivé.

jchudoba

Hypotéza: Hodinky si drží pronajatou IP adresu i v době kdy by ji už držet neměly. Ať již chybou, nebo nějakou chytrou hlavu napadlo ušetřit energii pro vyslání renew požadavku.

Prověř následující: DHCP lease time nastav na minutu, nech hodinky vzít si adresu, následně disablni dhcpserver. Pingej hodinky. Ztratí po té minutě IP adresu, nebo ne?

Podle výsledku půjdeme dále.

nosek_tomas2004

jchudoba Díky moc! Provedu.

hapi Špatně jsem to napsal. Mimo těch hodinek, se mi na taková hláška objeví maximálně 1x za dva měsíce (a i to jsem asi přehnal) - to beru tak, že se prostě něco "zamotalo", nic není stoprocentní a když se to nijak neopakuje, asi to nemá cenu řešit. Ne, že každé zařízení na síti to udělá pravidelně 1nou za dva měsíce.
Tím jsem chtěl jenom "poukázat", že všechny ostatní zařízení jsou v pohodě

jchudoba (Kdyby byl tazatelem někdo jiný, tipoval bych ještě čínský repeater nebo staticky nastavenou adresu kolidující s dhcp poolem).

Žádné repeatery (a natož tak ještě čínské 😅) v síti nemám. To by hned letělo z okna 😁. A na statice tady taky nic (o čem vím) není, všechno na DHCP, kde je to zarezervováno.

nosek_tomas2004

jchudoba Prověř následující: DHCP lease time nastav na minutu, nech hodinky vzít si adresu, následně disablni dhcpserver. Pingej hodinky. Ztratí po té minutě IP adresu, nebo ne?

Tak jsem to vyzkoušel. Je to tak napůl....

DHCP lease time je na minutu, hodinky se připojí, ping ok.
Vypnu DHCP, pořád pingá ok.
Jakmile vyprší minutová leasa, tak ještě tak cca 6 sekund hodinky odpovídají, pak timeout.....

jchudoba

hapi už tohle je znepokojivé.

Vesmír by byl hezčí místo, pokud by všichni výrobci zařízení chápali https://datatracker.ietf.org/doc/html/rfc1541#section-3.6, zejména větu "If the lease expires before the host can contact a DHCP server, the host must immediately discontinue use of the previous network address and may inform local users of the problem."

Nejspíš Tomáš tam má nějaké (buď hodinky, nebo něco jiného co drží IP i ve chvíli kdy nesmí. (Kdyby byl tazatelem někdo jiný, tipoval bych ještě čínský repeater nebo staticky nastavenou adresu kolidující s dhcp poolem).

iTomB

To me spis napada neco jineho ...

Hodinky na wifi je dle me totalni blbost (kort kdyz se clovek podiva, kolikrat se pripoji a odpoji).
pokud by hodinky menili MAC adresu (nektere telefony to maji taky, takze ja si to doma zmenil, at mi MAC adresu telefon nemeni) a drzi si IP i po odpojeni, ale zmeni si MAC ... tak by presne vznikl tenhle problem.
Na jinych zarizeni se ti to deje za delsi dobu a na vsech, nebo jen na mobilech?
Nemas nekde nejaky extender, ktery maskuje MAC adresy?

nosek_tomas2004

iTomB

Ty hodinky jsou připojený na Wifi proto, že se umí spojit s telefonem když jsou mimo dosah Bluetooth a pak i normálně chodí oznámení, telefony (bohužel ale jen info o nich, nelze telefonovat), SMSky atd. A taky ty hodinky mají nějaké funkcionality ke kterým telefon vůbec nepotřebují (např. E-mailový klient), ale potřebují připojení k internetu. A to je buď přes WiFi, nebo přes Bluetooth s telefonem (případně eSIM LTE, ale to nemám).,

Což je v případě rozlehlého domu se zahradou celkem výhoda, že člověk nemusí furt myslet kde má telefon.

MAC adresy hodinek (všech od Samsungu, se kterýma mám zkušenost) se nemění. I ty zprávy chodí pořád se stejnýma MAC adresama (pro danné zařízení). Na těch telefonech to vím taky. Je to tuším od Androidu 10 výše, taky to mám vypnuté.
Tady toho, co jsem napsal, bych se asi moc nechytal. Myslel jsem to tak, že to je spíše "sváteční mimořádná událost". Když se mi to objevilo naposledy od mého telefonu (SM Note8), tak to bylo klidně už před půl/tři-čtvrtě rokem.
Jednou se mi ta hláška povedla vyrobit i z ETH rozhraní mého NTB, ale to jsem tady dělal nějaký harakiri se switchema a APčkama, takže to bylo spíše mé zavinění. (Všechny ty MAC na obrázku výše jsou právě od hodinek)
Žádný repeater tady není 😀. Ani nic co by "maskovalo" MAC Adresy. Všechny WiFi sítě jsou dělány APčky, do kterých je přiveden kabel a jsou od MK (následně řízený CAPsMANem z RB 1100AHx2). Prostě nějak takto (prostě drát vražený do ETH1 😅):

Pak je tu jeden cAP ac a jeden starožitný Groove na zahradě.

iTomB

nosek_tomas2004 oboje MAC jsou samsung (zda je jich vic nevim, konec vymazan, tak si to zkontroluj) zaroven ale vidim vice sad IP adres pro jednu MAC asi 192.168.2xxx 192.168.4xxx

jchudoba

nosek_tomas2004 BTW Kde se kupuje ten červený "rackový" rámečeknma MK na fotce?

nosek_tomas2004

iTomB Ano ano. Jak jsem psal, těch Watchů máme doma více. Proto těch více MAC adres.

A těch více IP pro jednu MAC adresu:
Mám doma vícero WiFin (Rodina, Hosté, IoT). Každá zvlášť VLANa, zvlášť adresní prostor, pak ošetřeno ve FW. A ty hodinky si tahají hesla od všech WiFin, ke kterým jsem se telefonem připojil. Takže si ty hodinky "natáhly" hesla i od tady těch všech WiFin a pak se připojují k té, kterou si vycucají z prstu. Nedá se to nijak ošetřit v nich.
No a pak se přeroamují na jiné AP a vytvoří to tu ARP kolizi....

Proto se chystám udělat MAC filter v CAPsMANovi, aby se mohly připojit jenom do IoT Wifiny a nelezly mi nikam jinam. Ale ještě jsem se k tomu nedostal....

krystofklima

iTomB ja taky vidím více Mac na jednu IP dělají to nové watch4. od Androidu 11 je změna, musí se to vypínat pro konkrétní WiFi síť, alespoň u mě na SM-N968B - Note 20 Ultra 5G
takže si myslím, že stejnou změnu budou muset dělat hodinky, je to ten samý Android, i když Wearable

mimochodem, se na mě obrátil už čtvrtý hotel minulý měsíc, že mu nejde WiFi a problém je stále stejné, dojdou IP...právě ty zpropadené randomizované MAC, budeme dávat nakonec na AP segment /16 ;-(

iTomB

nosek_tomas2004 A nestacilo by v telefonu vymazat profil? Nebo si to pamatuji hodinky?

nosek_tomas2004

iTomB Lze to z nich ručně smazat. Ale to myslím není řešení. Dělá to i na sítích, kde je jen jedno SSID a tuto hlášku to hodí, když hodinky přeroamují na jiné AP se stejným SSID...

Ano, teoreticky bych si to mohl filtrovat na vstupu Syslog-parseru, že tuto hlášku nemá brát v úvahu pro pozdější procesing, ale to mi nepřijde jako řešení problému. Pokud je to chyba hodinek, asi mi nic jiného nezbude. Pokud ale mám někde nějakou chybu (nebo blbost) v konfiguraci, rád bych ji opravil. Už jen z toho důvodu, že je to asi 5 sítí, kde toto pozoruju.....

jchudoba

Dnes už mi to nemyslí-vstávat v 7 ráno je nezdravé. , tak text dole s reservou, třeba se za to budu zítra stydět:

nosek_tomas2004 Jakmile vyprší minutová leasa, tak ještě tak cca 6 sekund hodinky odpovídají, pak timeout.....

Přestat pingat mají hned, v RFC není nic o šestisekudovém bonusu.
Chová se tak jakékoli jiné zařízení poté co mu vyexpiruje pronájem?

Hmhm, co když se ta hláška děje v těch šesti sekundách když se hodinky mezitím znovu projevují?

Mimochodem jsou v těch 6 sekundách v ARP dle MAC skutečně ty hodinky?

nosek_tomas2004 Dělá to i na sítích, kde je jen jedno SSID a tuto hlášku to hodí, když hodinky přeroamují na jiné AP se stejným SSID...

SSID je stejné, ale je stejné i BSSID? I když to by nemělo mít vliv, když píšeš že MAC to nemění.
Ještě mne napadá podívat se na dobu platnosti záznamů v ARP cache.

nosek_tomas2004

jchudoba Chová se tak jakékoli jiné zařízení poté co mu vyexpiruje pronájem?

Vyzkoušel jsem můj telefon (SM Note 8, Android 9) a udeřila poslední sekunda pronájmu a na pingu bylo ticho (=timeout).

jchudoba Mimochodem jsou v těch 6 sekundách v ARP dle MAC skutečně ty hodinky?

Ano, během těch cca 6-ti sekund, se záznam v IP/Arp nezměnil, pořád byla pod IP stejná MAC

jchudoba SSID je stejné, ale je stejné i BSSID?

BSSID je na různých AP jiné. Mělo by být stejné? Každé AP má v BSSID svoji Wirelessinterface MAC....

jchudoba Ještě mne napadá podívat se na dobu platnosti záznamů v ARP cache.

A toto se dá najít kde 🧐? Ve Winboxu v IP/ARP žádnou dobu platnosti nevidím....

nosek_tomas2004

jchudoba Ten červený rámeček na MK se kupuje na 3D tiskárně 😁. Úplně stejně, jako ty modré uši, pro ten TP-Link smartswitch, co tam je.

Přemodeloval jsem si na to (po pár svých neúspěšných pokusech, které nebyly po konstrukční stránce příliš dobré) tento model na hAP ac2:
https://www.thingiverse.com/thing:4302946
Mount
Teď jsem si připravoval i úpravu na 750Gr3 (a všechny ostatní modely o stejné krabičce)...

jchudoba

nosek_tomas2004 Vyzkoušel jsem můj telefon (SM Note 8, Android 9) a udeřila poslední sekunda pronájmu a na pingu bylo ticho (=timeout).

No, takže to je ten primární rozdíl mezim Samsung hodinkama (plus hromadou dalšího čínského hnoje) a zbytkem vesmíru. Vše ostatní je jen logický sekundární následek. Hodinky šest sekund neoprávněně užívají adresu která jim nebyla přidělena a Mikrotiku se to (zcela správně) nelíbí.

Zbývá se tedy zeptat výrobce které slovo ve větě "If the lease expires before the host can contact a DHCP server, the host must immediately discontinue use of the previous network address and may inform local users of the problem." (https://datatracker.ietf.org/doc/html/rfc1541#section-3.6) přesně nepochopil ... 🧐.

Až ten šestisekundový problém opraví, zmizí i ta hláška. Do té doby ...

Jinak na nejmenovaném hotelu podle výskytu těchto hlášek poznáš zda se ubytovala bohatá klientela nebo autobus plný socek. Čím více těchto hlášek, tím více lowcost mobilů v kapsách hostů, a tím menší útrata na kase. 🙃 Jen mne překvapuje že to udělá už i Samsung, i když jeho televize to dělaly vždycky.

safcenko

"A toto se dá najít kde" asi v bridge?
ARP timeout is time how long ARP record is kept in ARP table after no packets are received from IP. Value auto equals to the value of arp-timeout in IP/Settings, default is 30s.

Osm piv. A pak mi došlo IP/Settings.

nosek_tomas2004

safcenko Omlouvám se, neznám všechno. Špatně jsem pochopil. Myslel jsem, že existuje něco takového u každého záznamu. Něco jako DHCP Lease time. Ale to je asi blbost.Nikdy jsem to ještě nehledal a nepotřeboval měnit.
Takže díky moc, za další poznatek.

Jinak je to tak, že na LAN bridgi (a stejně tak i na všech VLANách) mám "ARP Timeout" na auto, a v IP/Settings, jak už bylo zmíněno, je 30s.

safcenko

nosek_tomas2004 Mě to zajímá,... hodinky. Já mám problém s Epflem hodinkama. Ty se pořád odpojujou a připojujou. Ale tam asi není co řešit. Nejsou moje.

Další stránka »