Newsgroup: it.comp.sicurezza.varie
Titolo: [OT Forse] Snort e FTP

Salve a tutti, non so se sono OT.. se lo fossi, accetto indicazioni.. :-)
Situazione:
lan di 6 macchine  - pc con smoothwall (
www.smoothwall.org
) - Alcatel
STH/Pro
fino alla settimana scorsa non avevo problemi ad accedere in ftp al mio
spazio web su Aruba...
da qualche giorno a questa parte non riesco più a farlo: non riesco a fare
il list, la connessione va in timeout e nel log di snort trovo:
Date: 08/29 21:59:51
Name: ICMP Destination Unreachable (Communication Administratively
Prohibited)
Priority: 3
Type: Misc activity
IP Info: 
10.0.0.1:61008
 -> 
62.149.130.32:4391
Refs:
a raffica.. (naturalmente le porte variano..)
ricordo di avere gli stessi problemi quando mi connetto in ftp ai server di
I.Net...
visto che ho un collega con stessa situazione (adsl tiscali, router e
firewall identici), faccio fare una prova a lui e tutto funziona..
ho verificato le impostazioni dei firewall e sono identiche...
da cosa può dipendere? io non so più dove andare a sbattere la testa.. :-)
ogni hint è bene accetto...
saluti
--
Stefano Zamboni 
sz...@libero.it
Legge di Ruckert:
Non c'è problema tanto piccolo che non possa essere ingigantito.

 a giudicare dal tipo di messaggio.
il fatto è che accedendo dalla stessa rete (ip di tiscali adsl) con stesso
router e firewall.. funziona! ma al collega.. sti ca..i!
eppoi, non so se sai, ma cercare di contattare aruba.. è come cercare di
provare l'esistenza di Dio... :-)
grazie comunque per l'attenzione.. :-)
Saluti
Stefano

 IP Info: 
10.0.0.1:61008
 -> 
62.149.130.32:4391
Prova a mettere uno sniffer (tcpdump, ethereal) e vedi che succede. Con 
Ethereal non dovrebbe esserti difficile capire cosa genera quell'icmp. 
Inoltre, prova a fare un traceroute (sia udp che icmp) verso tale host, 
magari scopri che effettivamente qualche problema c'e'...
-- 
HappyCactus - Registered Linux User #209744 - >>> SMSPM950 <<<
http://www.angelfire.com/jazz/happycactus/index.html
Made with 100% recycled electrons

 IP Info: 
10.0.0.1:61008
 -> 
62.149.130.32:4391
Pare quasi che tu stia cercando di instaurare una sessione data
passiva con un host che non e' raggiungibile in quel modo. Puo'
anche non essere lui a risponderti con l'icmp unreachable ma un
router od un firewall di aruba, se non il tuo stesso firewall.
Temo sia indispensabile sapere l'ip di provenienza dell'icmp se
si vuole fare qualche passo avanti. Prova con uno dei due:
~# snort -vo icmp or host 62.149.130.32
~# tcpdump -n icmp or host 62.149.130.32
o annusa con ethereal, e poi posta il risultato. L'ip da cui ti
arriva l'icmp e' quello che ti filtra il SYN verso il server. A
quel punto puoi sapere se prendertela con aruba o con te stesso
(prova anche con una sessione data attiva).
Fabio
PS: un po' vecchiotto il tuo snort, non trovi?

eccomi qui...
intanto ringrazio tutti quelli che hanno risposto sia qui che in pvt..
allora... ho fatto una prova per vedere se dipendeva dal mio firewall o
meno..
ho connesso il router direttamente ad una macchina ed ho provato ad
effettuare la connessione sia in modalità attiva che passiva (ah, non
l'avevo detto.. il mio collega è riuscito a connettersi usando la modalità
attiva da dietro il FW..)
il risultato non è cambiato.. niente da fare...
ho anche provato a spegnere e riaccendere il router ma nisba.. (no,
evidentemente non è come uindous che spegni e riaccendi e tutto
automagicamente va a posto..)
per Fabio (sempre molto esauriente nelle sue risposte): si, effettivamente
il mio Snort è un po' vecchio, ma come FW uso Smoothwall 0.9.9 e, come forse
sai, non mi è possibile fare l'installazione di alcunchè...
adesso è uscita la versione 2 e aspetto che finiscano il beta testing per
provarla...
il comando:
snort -vo icmp or host 62.149.130.32
non ha sortito alcun effetto... o forse io sono talmente ignorante da non
averlo compreso... 0:-)
per Thorin: si, la configurazione delle reti e di tutti gli anelli della
catena (adsl, router, firewall) sono le stesse..
ok.. a questo punto.. saluto e ringrazio di nuovo tutti..
--
Stefano Zamboni 
sz...@libero.it
Legge di Biondi:
Se il tuo progetto non funziona, controlla la parte che non ti pareva
importante.

 ignorante da non averlo compreso... 0:-)
Sulla macchina su cui usi snort devi eseguire la sudetta riga
di comando e, poi, usare ftp dal client che ti da i problemi.
Sullo standard output verranno emessi gli header del traffico
scambiato con 62.149.130.32 e tutto il traffico icmp (ci sara'
un po' di rumore di fondo). Troverai il SYN del tuo LIST e, a
seguire, l'icmp unreachable. A quel punto scoprirai chi te lo
manda. Se non puoi usare snort nel modo che ti ho detto, puoi
provare ethereal direttamente sulla macchina da cui esegui il
client ftp.
Fabio

 client ftp.
allora, ho seguito le tue indicazioni ed effettivamente qualcosa l'ho
ricavato.. lo copio qui di seguito.. io non ci ho capito alcunchè..
***************************************************************
Version 1.8.2 (Build 86)
By Martin Roesch (
roe...@sourcefire.com
, 
www.snort.org
)
09/02-21:50:11.985239 
192.168.0.1:2401
 -> 
62.149.130.32:21
TCP TTL:128 TOS:0x0 ID:53723 IpLen:20 DgmLen:44 DF
******S* Seq: 0x1162ACCC  Ack: 0x0  Win: 0x2000  TcpLen: 24
TCP Options (1) => MSS: 1474
=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+
09/02-21:50:12.180310 
62.149.130.32:21
 -> 
192.168.0.1:2401
TCP TTL:118 TOS:0x0 ID:17078 IpLen:20 DgmLen:44 DF
***A**S* Seq: 0xE369B6A5  Ack: 0x1162ACCD  Win: 0x4470  TcpLen: 24
TCP Options (1) => MSS: 1460
=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+
09/02-21:50:12.180730 
192.168.0.1:2401
 -> 
62.149.130.32:21
TCP TTL:128 TOS:0x0 ID:54747 IpLen:20 DgmLen:40 DF
***A**** Seq: 0x1162ACCD  Ack: 0xE369B6A6  Win: 0x2238  TcpLen: 20
=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+
09/02-21:50:12.409800 
62.149.130.32:21
 -> 
192.168.0.1:2401
TCP TTL:118 TOS:0x0 ID:25526 IpLen:20 DgmLen:78 DF
***AP*** Seq: 0xE369B6A6  Ack: 0x1162ACCD  Win: 0x4470  TcpLen: 20
=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+
09/02-21:50:12.449021 
192.168.0.1:2401
 -> 
62.149.130.32:21
TCP TTL:128 TOS:0x0 ID:56795 IpLen:20 DgmLen:62 DF
***AP*** Seq: 0x1162ACCD  Ack: 0xE369B6CC  Win: 0x2212  TcpLen: 20
=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+
09/02-21:50:12.630474 
62.149.130.32:21
 -> 
192.168.0.1:2401
TCP TTL:118 TOS:0x0 ID:34486 IpLen:20 DgmLen:84 DF
***AP*** Seq: 0xE369B6CC  Ack: 0x1162ACE3  Win: 0x445A  TcpLen: 20
=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+
09/02-21:50:12.639470 
192.168.0.1:2401
 -> 
62.149.130.32:21
TCP TTL:128 TOS:0x0 ID:58075 IpLen:20 DgmLen:52 DF
***AP*** Seq: 0x1162ACE3  Ack: 0xE369B6F8  Win: 0x21E6  TcpLen: 20
=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+
09/02-21:50:12.892601 
62.149.130.32:21
 -> 
192.168.0.1:2401
TCP TTL:118 TOS:0x0 ID:43958 IpLen:20 DgmLen:77 DF
***AP*** Seq: 0xE369B6F8  Ack: 0x1162ACEF  Win: 0x444E  TcpLen: 20
=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+
09/02-21:50:12.902002 
192.168.0.1:2401
 -> 
62.149.130.32:21
TCP TTL:128 TOS:0x0 ID:59611 IpLen:20 DgmLen:45 DF
***AP*** Seq: 0x1162ACEF  Ack: 0xE369B71D  Win: 0x21C1  TcpLen: 20
=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+
09/02-21:50:13.096025 
62.149.130.32:21
 -> 
192.168.0.1:2401
TCP TTL:118 TOS:0x0 ID:55478 IpLen:20 DgmLen:71 DF
***AP*** Seq: 0xE369B71D  Ack: 0x1162ACF4  Win: 0x4449  TcpLen: 20
=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+
09/02-21:50:13.102518 
192.168.0.1:2401
 -> 
62.149.130.32:21
TCP TTL:128 TOS:0x0 ID:60891 IpLen:20 DgmLen:46 DF
***AP*** Seq: 0x1162ACF4  Ack: 0xE369B73C  Win: 0x21A2  TcpLen: 20
=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+
09/02-21:50:13.316680 
62.149.130.32:21
 -> 
192.168.0.1:2401
TCP TTL:118 TOS:0x0 ID:63670 IpLen:20 DgmLen:59 DF
***AP*** Seq: 0xE369B73C  Ack: 0x1162ACFA  Win: 0x4443  TcpLen: 20
=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+
09/02-21:50:13.327419 
192.168.0.1:2401
 -> 
62.149.130.32:21
TCP TTL:128 TOS:0x0 ID:62171 IpLen:20 DgmLen:46 DF
***AP*** Seq: 0x1162ACFA  Ack: 0xE369B74F  Win: 0x218F  TcpLen: 20
=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+
09/02-21:50:13.523731 
62.149.130.32:21
 -> 
192.168.0.1:2401
TCP TTL:118 TOS:0x0 ID:6583 IpLen:20 DgmLen:91 DF
***AP*** Seq: 0xE369B74F  Ack: 0x1162AD00  Win: 0x443D  TcpLen: 20
=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+
09/02-21:50:13.536470 
192.168.0.1:2402
 -> 
62.149.130.32:28251
TCP TTL:128 TOS:0x0 ID:63451 IpLen:20 DgmLen:44 DF
******S* Seq: 0x1168F8EF  Ack: 0x0  Win: 0x2000  TcpLen: 24
TCP Options (1) => MSS: 1474
=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+
09/02-21:50:13.649489 
192.168.0.1:2401
 -> 
62.149.130.32:21
TCP TTL:128 TOS:0x0 ID:64475 IpLen:20 DgmLen:40 DF
***A**** Seq: 0x1162AD00  Ack: 0xE369B782  Win: 0x215C  TcpLen: 20
=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+
09/02-21:50:13.754976 212.245.96.54 -> 192.168.0.1
ICMP TTL:246 TOS:0x0 ID:44882 IpLen:20 DgmLen:56
Type:3  Code:13  DESTINATION UNREACHABLE: PACKET FILTERED
** ORIGINAL DATAGRAM DUMP:
192.168.0.1:2402
 -> 
62.149.130.32:28251
TCP TTL:117 TOS:0x0 ID:63451 IpLen:20 DgmLen:44
Seq: 0x1168F8EF  Ack: 0x73697665
** END OF DUMP
=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+
09/02-21:50:16.453614 
192.168.0.1:2402
 -> 
62.149.130.32:28251
TCP TTL:128 TOS:0x0 ID:732 IpLen:20 DgmLen:44 DF
******S* Seq: 0x1168F8EF  Ack: 0x0  Win: 0x2000  TcpLen: 24
TCP Options (1) => MSS: 1474
=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+
09/02-21:50:22.462722 
192.168.0.1:2402
 -> 
62.149.130.32:28251
TCP TTL:128 TOS:0x0 ID:1756 IpLen:20 DgmLen:44 DF
******S* Seq: 0x1168F8EF  Ack: 0x0  Win: 0x2000  TcpLen: 24
TCP Options (1) => MSS: 1474
=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+
09/02-21:50:22.716921 212.245.96.54 -> 192.168.0.1
ICMP TTL:246 TOS:0x0 ID:44937 IpLen:20 DgmLen:56
Type:3  Code:13  DESTINATION UNREACHABLE: PACKET FILTERED
** ORIGINAL DATAGRAM DUMP:
192.168.0.1:2402
 -> 
62.149.130.32:28251
TCP TTL:117 TOS:0x0 ID:1756 IpLen:20 DgmLen:44
Seq: 0x1168F8EF  Ack: 0x73697665
** END OF DUMP
=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+
09/02-21:50:34.480737 
192.168.0.1:2402
 -> 
62.149.130.32:28251
TCP TTL:128 TOS:0x0 ID:6364 IpLen:20 DgmLen:44 DF
******S* Seq: 0x1168F8EF  Ack: 0x0  Win: 0x2000  TcpLen: 24
TCP Options (1) => MSS: 1474
=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+
09/02-21:50:58.518903 
192.168.0.1:2401
 -> 
62.149.130.32:21
TCP TTL:128 TOS:0x0 ID:7388 IpLen:20 DgmLen:63 DF
***AP*** Seq: 0x1162AD00  Ack: 0xE369B782  Win: 0x215C  TcpLen: 20
=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+
09/02-21:50:58.791834 
62.149.130.32:21
 -> 
192.168.0.1:2401
TCP TTL:118 TOS:0x0 ID:39128 IpLen:20 DgmLen:70 DF
***AP*** Seq: 0xE369B782  Ack: 0x1162AD17  Win: 0x4426  TcpLen: 20
=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+
09/02-21:50:58.792580 
192.168.0.1:2401
 -> 
62.149.130.32:21
TCP TTL:128 TOS:0x0 ID:8156 IpLen:20 DgmLen:46 DF
***AP*** Seq: 0x1162AD17  Ack: 0xE369B7A0  Win: 0x213E  TcpLen: 20
=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+
09/02-21:50:59.316091 
62.149.130.32:21
 -> 
192.168.0.1:2401
TCP TTL:118 TOS:0x0 ID:54744 IpLen:20 DgmLen:40 DF
***A**** Seq: 0xE369B7A0  Ack: 0x1162AD1D  Win: 0x4420  TcpLen: 20
=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+
09/02-21:50:59.371251 
62.149.130.32:21
 -> 
192.168.0.1:2401
TCP TTL:118 TOS:0x0 ID:58840 IpLen:20 DgmLen:89 DF
***AP*** Seq: 0xE369B7A0  Ack: 0x1162AD1D  Win: 0x4420  TcpLen: 20
=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+
09/02-21:50:59.518387 
192.168.0.1:2401
 -> 
62.149.130.32:21
TCP TTL:128 TOS:0x0 ID:10716 IpLen:20 DgmLen:40 DF
***A**** Seq: 0x1162AD1D  Ack: 0xE369B7D1  Win: 0x210D  TcpLen: 20
=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+
09/02-21:51:48.447228 
62.149.130.32:21
 -> 
192.168.0.1:2401
TCP TTL:118 TOS:0x0 ID:18428 IpLen:20 DgmLen:82 DF
***AP*** Seq: 0xE369B7D1  Ack: 0x1162AD1D  Win: 0x4420  TcpLen: 20
=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+
09/02-21:51:48.592129 
192.168.0.1:2401
 -> 
62.149.130.32:21
TCP TTL:128 TOS:0x0 ID:26588 IpLen:20 DgmLen:40 DF
***A**** Seq: 0x1162AD1D  Ack: 0xE369B7FB  Win: 0x20E3  TcpLen: 20
=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+
*******************************************************************
HTH
Saluti
Stefano
P.S. ti devo almeno una birra... :-)

 dal .50, da inet dal .58)
secondo te, a chi devo rompere le p@##e? intendo dire: esiste qualche
recapito consigliato?
grazie per la tempestiva risposta...
saluti
Stefano