Newsgroup: it.comp.sicurezza.varie
Titolo: riga log iptables

REJECTED IN=eth1 OUT= MAC=00:40:95:30:38:2d:00:04:c1:7d:ba:e6:08:00
SRC=212.202.220.74 DST=151.8.3.18 LEN=52 TOS=0x00 PREC=0x40 TTL=116
ID=8192 DF PROTO=TCP SPT=1635 DPT=4662 WINDOW=64752 RES=0x00 SYN URGP=0
151.8.3.18 e' il router
151.8.3.19 visibile nei miei header e' il firewall che mi natta
eth1 e' l'interfaccia del fw verso il router
gli ip sorgente sono svariati
le porte sorgente variano ma appaiono anche 80, 110, 119...
per le porte destinazione vedi le sorgente
ho due pensieri:
1) e' legata a qualche aggieggio tipo kazaa edonkey winmx e simili
2) e' legata a frammenti di pacchetti
colgo l'occasione per chiedervi perche' i msg di iptables mi finiscono
in console... ho smanettato coi parametri di klogd ma non ho ottenuto
risultati... sara' mica dovuto al REJECTED che antepongo alla riga di
log (non direi...)
ciao
-- 
Seti@Home Java Applets
http://maruko.cjb.net/

  log (non direi...)
Beh, puoi sempre utilizzare il parametro "--log-level" di iptables, vedi
anche il parametro "-c" di klogd
Ciao, Andrea
-- 
          (o_  |  Andrea Carosi, just another Linux user ( #210218 )
(o_  (o_  //\  |------------------------------------------------------
(/)_ (/)_ V_/_ |         GnuPG ElG/DSA 2048/1024 key available
ID: 0x1D1CE569 - Fingerprint: DB849F4C79E33F0FAFF9DC0B01B17CDA1D1CE569

 
http://groups.google.com/advanced_group_search

 2) e' legata a frammenti di pacchetti
No.
Fabio


REJECTED IN=eth1 OUT= MAC=00:40:95:30:38:2d:00:04:c1:7d:ba:e6:08:00
SRC=195.130.225.147 DST=151.8.3.18 LEN=76 TOS=0x08 PREC=0x00 TTL=247
ID=12845 DF PROTO=TCP SPT=110 DPT=6984 WINDOW=33580 RES=0x00 ACK PSH FIN
URGP=0
REJECTED IN=eth1 OUT= MAC=00:40:95:30:38:2d:00:04:c1:7d:ba:e6:08:00
SRC=65.125.64.134 DST=151.8.3.18 LEN=60 TOS=0x00 PREC=0x40 TTL=43
ID=25140 DF PROTO=TCP SPT=1235 DPT=113 WINDOW=32120 RES=0x00 SYN URGP=0
REJECTED IN=eth1 OUT= MAC=00:40:95:30:38:2d:00:04:c1:7d:ba:e6:08:00
SRC=195.110.122.232 DST=151.8.3.18 LEN=822 TOS=0x10 PREC=0x00 TTL=55
ID=19212 DF PROTO=TCP SPT=80 DPT=20072 WINDOW=32120 RES=0x00 ACK PSH
URGP=0
REJECTED IN=eth1 OUT= MAC=00:40:95:30:38:2d:00:04:c1:7d:ba:e6:08:00
SRC=194.185.29.100 DST=151.8.3.18 LEN=78 TOS=0x00 PREC=0x00 TTL=120
ID=65344 PROTO=UDP SPT=137 DPT=137 LEN=58
REJECTED IN=eth1 OUT= MAC=00:40:95:30:38:2d:00:04:c1:7d:ba:e6:08:00
SRC=217.136.65.21 DST=151.8.3.18 LEN=48 TOS=0x00 PREC=0x40 TTL=110
ID=51116 DF PROTO=TCP SPT=49163 DPT=119 WINDOW=16384 RES=0x00 SYN URGP=0
penso che quelle a/da 137 siano win che cercano di fare amicizia, cosi'
come l'accesso alla 113...
molti arrivano da ip "senza nome", molti altri da ip che fanno capire
che dietro c'e' un'abbonato con un adsl... insomma mi sembrano tutte
mosche attirate da edonkey.
non capisco pero' perche' contengano il campo MAC che di solito non c'e'
nelle altre righe "normali" del log.
ciao, grazie


happycactus@brain:~$ cat /proc/sys/kernel/printk
6       4       1       7
klogd parte con un -c 4. pero' ne ho provati altri... gli unici messaggi
che rompono le balle sono quelli di iptables.


 c'e' nelle altre righe "normali" del log.
Se il pacchetto e' destinato all'interfaccia che su cui e' arrivato
(come nei tuoi casi) viene registrato, se e' in transito (vedi nat)
non viene registrato.
Fabio


cioe' il firewall non sa se appartiene a una qualche connessione nattata
gia' stabilita o che si sta stabilendo ? in questo caso, il fatto che il
FIN sia "senza stato" significa che  le info riguardanti la connessione
a cui apparterrebbe sono gia' state rimosse?
ciao


 la connessione a cui apparterrebbe sono gia' state rimosse?
E' un pacchetto FIN e, quindi, non puo' essere una connessione che si sta
stabilendo. Potrebbe essere parte, come dici anche tu, di una connessione
nat gia' chiusa, ma in cui il server, per motivi vari, non ha un ricevuto
in tempo l'acknowledge della ricezione del suo FIN e ne ha inviato ancora
uno, pensando che il precedente non fosse arrivato. Un'altra possibilita'
e' che vengano giudicati non appartenenti ad una sessione established che
e' in corso in quanto fuori sequenza, ma e' piu' probabile la prima.
Fabio

stabilendo. 
beh si, ovvio :-)))
grazie dell'aiuto
