AP-Zugriff auf externe IPs / Calling home

**effemmess** · 18. August 2022

Hallo,

ich hab grad festgestellt, dass meine APs (verschiedene Modelle, aktuelle Firmware) immer mal auf irgendwelche IPs zugreifen wollen. Was wollen die da?

Einige Zugriffe scheinen auf den ersten Blick DoH zu sein. Wozu braucht man/der/das/*Innen das...?

Ich hab jedenfalls den Zugriff der APs auf den Controller beschränkt, alles andere ist demnach gesperrt.

Hat jemand Erklärungen?

Grüße

--------------

Code

35.166.136.72:443    tcp    Default deny / state violation rule
52.42.90.111:443    tcp    Default deny / state violation rule
223.5.5.5:443       tcp    Default deny / state violation rule
223.5.5.5:443       tcp    Default deny / state violation rule
54.148.216.64:443    tcp    Default deny / state violation rule
52.43.12.242:443    tcp    Default deny / state violation rule
52.24.181.227:443    tcp    Default deny / state violation rule
44.241.10.242:443    tcp    Default deny / state violation rule
54.68.198.132:443    tcp    Default deny / state violation rule
75.75.77.99:443     tcp    Default deny / state violation rule
75.75.77.99:443     tcp    Default deny / state violation rule
54.68.198.132:443    tcp    Default deny / state violation rule
75.75.77.99:443     tcp    Default deny / state violation rule
75.75.77.99:443            tcp    Default deny / state violation rule
104.16.249.249:443    tcp    Default deny / state violation rule
104.16.249.249:443    tcp    Default deny / state violation rule
104.16.249.249:443    tcp    Default deny / state violation rule
104.16.249.249:443    tcp    Default deny / state violation rule
44.236.169.75:443    tcp    Default deny / state violation rule
44.236.169.75:443    tcp    Default deny / state violation rule

Alles anzeigen

Code

ec2-54-148-216-64.us-west-2.compute.amazonaws.com:443
ec2-44-242-16-48.us-west-2.compute.amazonaws.com:443
ec2-44-241-10-242.us-west-2.compute.amazonaws.com:443
ec2-44-236-42-104.us-west-2.compute.amazonaws.com:443
ec2-44-235-141-179.us-west-2.compute.amazonaws.com:443
ec2-44-232-106-230.us-west-2.compute.amazonaws.com:443
ec2-44-231-32-99.us-west-2.compute.amazonaws.com:443
ec2-44-231-32-99.us-west-2.compute.amazonaws.com:443
ec2-35-166-136-72.us-west-2.compute.amazonaws.com:443
ec2-35-166-136-72.us-west-2.compute.amazonaws.com:443

**bic** · 18. August 2022

Lös die IPs doch mal in Whois auf, dann wirst Du schon schlauer

**effemmess** · 18. August 2022

Zitat von bic

Lös die IPs doch mal in Whois auf, dann wirst Du schon schlauer

Wieso denn mit whois? Da steht auch bloß Amazon... Ich hab doch schon die DNS-Namen aufgelöst, bzw. umgekehrt. Fast alles geht auf Amazon EC2. D.h. keine Socke (also ich) weiß, was die da "computen".

Es waren aber auch ein paar Einträge dns.google:443 dabei - deshalb die Vermutung DoH.

**anton** · 18. August 2022

bei den unteren Adressen steht ja sogar dabei was es ist: Amazon AWS (Amazon Web Service) . Amazon ist, so nebenbei bemerkt, neben einem Onlinehändler, auch einer der größten Web&Datenhoster, wo sehr viele Firmen riesen Datenmengen und hoch verfügbare Seiten hosten. Oben sind auch Amazon und Cloudflare IP Adressen. selbes Spiel.

Das könnte n Web Interface, oder Firmware Update,..... sein

**gierig** · 18. August 2022

35.166.136.72 und 52.42.90.111 sind keine DNS Server

223.5.5.5 is aliens.com der DNS Service von Alibaba (und Alibaba ist genau wie Amazon einer der größten Handels Plattformen und einer der größeren Cloud Anbieter im Land)

Den rest habe ich nicht getestet.

Aber das die Unifi AP direkt DNS machen und dann noch via DoH wäre neu.

Und schon garnicht zu irgendwelchen Adressen...

Bist du sicher das der Traffic von den APs kommt ?

Und wenn er von den AP kommt könnt das traffic aus einem Guest Hotspot Setup„ kommen ?

Beim Guest Hotspot arbeiten die APs halb als router, Leiten traffic erstmal um auf die Landing Page und so weiter.

Mein Verdacht, Smarter Saug Roboter oder ähnliches Cloud Gedöns, der mit seinen Servern verhandelt.

Die Erste IP: 35.166.136.72 hat im TLS Heider die „trace.svc.ui.com“ als CN...

Die Addy hat dann ein paar mehr IP zur Auswahl....

hier ein paar infos dazu...

UniFi - Analytics Data Collection FAQ

Overview This article describes the data collected by our analytics framework for UniFi products. Click on the question that interests you to expand and…

help.ui.com

oder hier zum TEILWEISE deaktivieren...

https://community.ui.com/questions/Where-do-I-put-the-config-properties-file-to-opt-out-analytics-100percent/3192f835-8ec0-4d1d-a09c-5c75ee8e15dc

Hatte ich garnicht auf den Schirm das die Burschen das machen...

Einen Habe ich noch. Keine Ahnung wie es auf bei dem Standanlone Controller aussieht, aber UDM und UCK haben hier

eine „Ja Analytics sind fine“ Schalter, der ist wohl schon immer aus bei keine Ahnung was da „default ist"

**effemmess** · 18. August 2022

Hab ich´s mir doch gedacht, dass hier nach Hause telefoniert wird...

Noch schnell zur IST-Situation:

neue Site, mit neuem Management-VLAN für die AP´s (momentan nur 1), noch keine Clients an den frisch konfigurierten WLANs (jeweils eigene VLANs) - also niegelnagelneu alles...

So richtig versteh ich´s dennoch grad nicht, hab entsprechend der Tips geschaut:

Und warum werden dennoch Daten versendet???

So, nochmal den Link https://community.ui.com/quest…c0-4d1d-a09c-5c75ee8e15dc gelesen...

Ich soll jetzt noch im Controller in den Konfigurationsdateien rumfriemeln?

Ich probiere es mal, melde mich später wieder...

Btw., wie sieht das bei euch aus? Lasst ihr eure Geräte nach Hause zu UI telefonieren?

Ich hab auf dem Controller folgendes getan:

Code

# cd /var/lib/unifi/sites/default
# echo config.system_cfg.1=system.analytics.anonymous=disabled >>config.properties    # diese Datei gabs noch nicht
# cp config.properties ../0xkq7zm8/                                                   # und hier auch noch nicht
# reboot

Anschließend auf dem AP:

Code

# reboot
# grep analytics /tmp/system.cfg
system.analytics.status=disabled

d.h. diese Zeile fehlt:

Code

system.analytics.anonymous=disabled

Das OpnSense-FW-Log blieb sauber, bis ich

Code

# nslookup adac.de

ausführte.

Dann hatte ich diese tollen Einträge:

Code

WLAN_0070_WLANMan        2022-08-18T19:28:10    10.18.70.1:44842    10.15.70.200:8080    tcp    Unifi-Server    
WLAN_0070_WLANMan        2022-08-18T19:28:08    10.18.70.1    8.8.8.8    icmp    Default deny / state violation rule    
WLAN_0070_WLANMan        2022-08-18T19:28:07    10.18.70.1    8.8.8.8    icmp    Default deny / state violation rule    
WLAN_0070_WLANMan        2022-08-18T19:28:07    10.18.70.1:39647    10.18.70.254:53    udp    MyLAN DNS    
WLAN_0070_WLANMan        2022-08-18T19:28:01    10.18.70.1:60538    44.236.42.104:443    tcp    Default deny / state violation rule    
WLAN_0070_WLANMan        2022-08-18T19:28:01    10.18.70.1:54714    54.148.216.64:443    tcp    Default deny / state violation rule    
WLAN_0070_WLANMan        2022-08-18T19:28:00    10.18.70.1:40740    54.187.52.87:443    tcp    Default deny / state violation rule    
WLAN_0070_WLANMan        2022-08-18T19:28:00    10.18.70.1:43016    44.232.106.230:443    tcp    Default deny / state violation rule    
WLAN_0070_WLANMan        2022-08-18T19:28:00    10.18.70.1:55770    44.226.12.244:443    tcp    Default deny / state violation rule    
WLAN_0070_WLANMan        2022-08-18T19:27:59    10.18.70.1:37388    44.231.32.99:443    tcp    Default deny / state violation rule    
WLAN_0070_WLANMan        2022-08-18T19:27:59    10.18.70.1:35592    54.71.69.218:443    tcp    Default deny / state violation rule    
WLAN_0070_WLANMan        2022-08-18T19:27:58    10.18.70.1:35592    54.71.69.218:443    tcp    Default deny / state violation rule    
WLAN_0070_WLANMan        2022-08-18T19:27:57    10.18.70.1:55792    44.238.94.82:443    tcp    Default deny / state violation rule    
WLAN_0070_WLANMan        2022-08-18T19:27:56    10.18.70.1:55792    44.238.94.82:443    tcp    Default deny / state violation rule    
WLAN_0070_WLANMan        2022-08-18T19:27:56    10.18.70.1:53112    10.18.70.254:53    udp    MyLAN DNS    
WLAN_0070_WLANMan        2022-08-18T19:27:55    10.18.70.1:50118    10.18.70.254:53    udp    MyLAN DNS    
WLAN_0070_WLANMan        2022-08-18T19:27:55    10.18.70.1:55232    10.18.70.254:53    udp    MyLAN DNS

Alles anzeigen

Die ersten 3 Zeilen (also die untersten) sind okay - das ist die Abfrage.

Dann kommt wohl "Calling Home". Warum der AP jetzt auch noch nen icmp zum Google-DNS-Server macht ist auch fraglich.

Als letztes (oberste Zeile) will der AP noch was vom Controller - das ist wohl okay...

Kann jemand aufklären und/oder helfen?

Ich möchte nicht, dass alles mitgeloggt wird...!!!

Okay, ich hab ja zum Glück meine Opnsense!

------------------

~~Ergänzung nach gierig´s Tip in~~ ~~#10~~

Code

# set-inform http://<addressofnewcontroller>:8080/inform # sicherheitshalber nochmal den Conroller mitgeben
# save    # Sicherheitskopie (wohin weiß ich nicht)
# set-default # ??? mit anschließendem Neustart
# set-inform http://<addressofnewcontroller>:8080/inform  # force provision - dann eben nochmal...

wenn jemand weiß, wie "force provision" besser geht (außer über web-UI) - bitte mitteilen!

------------------

Ich ziehe meine Ergänzung zurück! Das ist Mist...

Also bleibt nur "force provision" übers web-UI.

**gierig** · 18. August 2022

Hattes du die config auf dem AP erneuert (force provision)

die „config.properties“ in den beiden Verzeichnissen ist der richtige Owner und 644 ?

(auf meinen system unifi:unifi, kann bei dir variieren, orientiere Dich am directory)

Code

MargeGarage-BZ.6.2.35# grep ana /tmp/system.cfg 
system.analytics.status=disabled
system.analytics.anonymous=disabled

auf meinen AP sind danach auch beide Zeilen drinnen. Das ganze sogar ohne reboot vom Controller

(config.properties war bei mir root:root hat er erst nicht gelesen auch mit 644)

**iTweek** · 18. August 2022

Ich habe bei mir nichts verändert.

Habe nichts zu verbergen.

**gierig** · 18. August 2022

Ach ja....

Microsoft, Apple, mein Staubsauger, ubuntu, mein TV und anderes Gedöns... telefoniert alles nach Hause...sollen sie doch...

**iTweek** · 18. August 2022

Hast banken vergessen. Die wissen am Meisten 😅

Ok zurück zum eigentlichen thema

**effemmess** · 18. August 2022

Zitat von gierig

Hattes du die config auf dem AP erneuert (force provision)

natürlich nicht...

...ma gucke...

Code

7# grep ana /tmp/system.cfg
system.analytics.status=disabled
system.analytics.anonymous=disabled

sehr schön...!

auf der FW im Log ist jetzt auch Ruhe - super!!!

Danke für eure Hilfe - insbesondere an gierig !

Zitat von iTweek

Ich habe bei mir nichts verändert.
Habe nichts zu verbergen.

Mit dem Aussehen wie auf deinem Avatar würde ich auch nichts verbergen!

**razor** · 19. August 2022

Zitat von effemmess

Hab ich's mir doch gedacht, dass hier nach Hause telefoniert wird...

Ja, leider: https://www.reddit.com/r/Ubiqu…to_disclose_why_they_are/

Willkommen! Melden Sie sich an oder registrieren Sie sich.

AP-Zugriff auf externe IPs / Calling home

6 Benutzer haben hier geschrieben

Wer ist war online

Benutzer online 57

Wer war online 84