Я вижу это уже несколько месяцев. Обычно это несколько моих Google Home, которые получают 38.1.0.65, но его получают и обычные компьютеры. Эта машина с Linux (Manjaro), на которой я набираю это сообщение, показывает 38.1.0.65 в интерфейсе, но на самом деле имеет 192.168.11.134, который она использует уже много лет.

6: wlan1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
link/ether c8:9e:43:86:17:a7 brd ff:ff:ff:ff:ff:ff
inet 192.168.11.134/24 brd 192.168.11.255 scope global dynamic noprefixroute wlan1
valid_lft 86397sec preferred_lft 86397sec
inet6 2601:41:c07f:3550:39dc:3bf3:249b:c080/64 scope global tentative dynamic noprefixroute
valid_lft 86399sec preferred_lft 86399sec
inet6 fe80::60b6:89c6:7518:4ed2/64 scope link noprefixroute
valid_lft forever preferred_lft forever

@UI-Team

Привет, ребята! Я обратился в поддержку Ubiquiti, описав эту проблему. После какой-то диагностики они дали мне прошивку для тестирования, которая решила проблему, и сказали: «Предполагаю, что это будет исправлено в следующем релизе прошивки для вашего гейтвея – похоже, это не проблема Network application, так как она не менялась в рамках этого теста».

Надеюсь на это. Я тоже пока не устанавливал, жду официального релиза.

Ну, так сказать, успех. Я запустил эту команду примерно в 19:30 по Гринвичу: tcpdump -npi any -W 2 -C 475 -w /tmp/wan.pcap dst 42.14.203.1 and src 42.14.203.

В 20:28 по Гринвичу появилась следующая запись в логе: "Несколько устройств используют один и тот же IP-адрес: 42.14.203.1. Пожалуйста, проверьте конфигурацию каждого устройства, чтобы убедиться, что ни одно из них не общается с rogue DHCP-сервером."

Через пару минут я остановил захват. Когда я его остановил, появилось сообщение: "Получено 6 пакетов фильтром, отброшено ядром 0 пакетов" и был создан файл размером 24 байта. Запуск этого файла через Wireshark или tshark дает пустой отчет.

Попробуй tcpdump -npi eth9 -W 2 -C 475 -w /tmp/wan.pcap dst 38.1.4.71 and src 38.1.4.71

@Martin_Ja Запусти этот скрипт, он создаст новый файл (максимум 2), не больше 475 МБ каждый, в директории /tmp. Также он фильтрует трафик по IP-адресу, который ты укажешь в конце. Я запускаю его уже день, а файл все еще 0 байт. Проблема у меня обычно возникает через 1-4 дня, так что, думаю, сейчас он пустой... Просто обнови IP, который ты видишь как дубликат.
tcpdump -npi eth9 -W 2 -C 475 -w /tmp/wan.pcap host 38.1.4.71
tcpdump -npi eth9 -W 2 -C 475 -w /tmp/wan.pcap dst 38.1.4.71 and src 38.1.4.71

Фух! Подумала, что схожу с ума. У меня та же проблема. Перекрывающиеся IP-адреса 38.1.4.71, которые не являются ни моими внутренними (ну конечно), ни внешними IP-адресами. Служба поддержки UI просит меня делать захваты трафика, чтобы посмотреть, что происходит, но уведомление появляется только раз в 1-4 дня, так что невозможно захватывать трафик WAN-интерфейса, учитывая, что /tmp занимает 1ГБ. Уведомление о перекрывающихся IP-адресах произошло как на 9.0.110, так и на 9.0.114. Похоже, они вообще не в курсе этой темы/вопроса. Уфф.

Просто добавляю, что я тоже сталкиваюсь с той же проблемой с тем же IP, так что либо это реальная проблема, связанная с безопасностью, и у нас какая-то общая/аналогично скомпрометированная сеть, — либо это ошибка. Здесь я вообще не смог диагностировать.

Спасибо, это помогло. Я смог идентифицировать MAC-адреса Google speakers, Android-телефона и Xbox; есть также некоторые устройства, которые я пока не смог определить. Интересно, что Sony TV (с Google Cast) в списке отсутствует. К тому же, они находятся на разных VLAN. Дублирующиеся IP-адреса регистрируются в server.log файле от 1 до 5 раз в день, закономерности во времени я не вижу. В каждом сообщении указывается от 2 до 4 устройства. Теперь, когда я знаю, в каких зонах они находятся, я настроил правила брандмауэра, чтобы блокировать весь трафик с этих IP-адресов в любую зону, и жду, что это сработает. Я все еще подозреваю, что это ошибка: почему Google speakers, Android-телефон и Xbox все пытаются использовать один и тот же внешний IP-адрес? Дополнительно беспокоит, что с 8 января, когда это началось, было два дня без уведомлений об этом в журнале Unifi Gateways Critical. Однако, в server.log файле было от 2 до 3 записей о дублировании IP-адресов в эти дни. Почему тогда я не получил уведомления в эти дни?