Newsgroup: it.comp.sicurezza.varie
Titolo: spoofing

Ciao a tutti :)
Ho un collegamento gratuito dial-up con inwind e oggi ho trovato un
centinaio di log di questo tipo:
Jan 31 19:27:28 carmela kernel: IN=ppp0 OUT= MAC= SRC=192.168.255.4 DST=
62.98.2.252 LEN=1500 TOS=0x00 PREC=0x00 TTL=245 ID=28745 DF PROTO=TCP
SPT=80 DPT=19667 WINDOW=34752
I pacchetti arrivano sempre da una source port 80 (ma questo puo' essere
contraffatto giusto?)  e da host nel range 
192.168.255.0/24
 .
E' la prima volta che mi capitano pacchetti con indirizzo privato sull'
interfaccia pubblica e, ingenuamente, non credevo fosse possibile; ma
scusate, se io sono connesso in dial-up vuol dire che tutti i pacchetti mi
vengono routati passando dal router di inwind, giusto? E questo benedetto
router mi inoltra pacchetti che provengono da un ip privato ? Come e'
possibile?
Un' altra cosa posso capire cosa sta succedendo in qualche modo?
Devo avvertire l' abuse del mio provider?
Grazie per l'attenzione,
Ciao
-- 
The fish doesn't think ,
cause the fish knows everything
	>>>:/OuZ\:<<<
per rispondermi in mail rimuovere TOGLIQUESTO

 Devo avvertire l' abuse del mio provider?
Ne farei a meno.
saluti sicuri

 Ne farei a meno.
Ma almeno loro potrebbero capire qual e' l'host che gli manda quei
pacchetti e magari prenderebbero qualche provvedimento almeno
segnalandogli la situazione; alla fine sarebbe per il bene dell' host
configurato male o crackato.
Ti ringrazio comunque per la risposta :)
/me comunque dubbioso


 /me comunque dubbioso
Io gestisco solo due 34 Mb/s (quasi saturi, che tra poco passano a due 155 
in fibra) e faccio il controllo anti-spoofing sui router di frontiera 
(anche per scaricare i firewall); ti assicuro che tra i miei problemi c'è 
soprattutto l'occupazione di cpu delle macchine. :-)
saluti surriscaldati

 soprattutto l'occupazione di cpu delle macchine. :-)
Grazie delle informazioni :). Effettifamente avevo sottovalutato il
problema.
Ciao


 Devo avvertire l' abuse del mio provider?
Lascia perdere. al 99% non e' un abuso.
Fabio

 arrivano un tot di fibre, la cosa non sarebbe altrettanto banale.
Se il filtraggio avvenisse non sui backbone ma sui border router delle
reti dei clienti o, comunque, in modo decentrato, probabilmente non ci
sarebbero problemi di eccessivo overhead delle cpu. Penso.
Fabio

dmz o...) a cui ti eri precedentemente collegato. Non e' infrequente.
Uh, ma non dovrebbero (in teoria) uscire con l'indirizzo dell'interfaccia
Internet?
Leonardo
-- 
"Se e' vero che Linux in se' e' gratis, non lo sono le indispensabili
interfacce grafiche (X, KDE ecc.) che consentono alle persone normali
di utilizzarlo."                    -- Jason Matusow, Microsoft Corp.

 sarebbero problemi di eccessivo overhead delle cpu. Penso.
Giustissimo, io infatti lo faccio. Ma tieni conto che applicare extended ACL 
su un 34mb/s costa comunque parecchio, per la precisione il prezzo di un 
7206 Cisco! :-)
saluti controllati

 Internet?
Se la ritrasmissione avviene quando non esiste piu' uno stato nella 
tabella di conntrak del router che fa dnat _e_ questo non fa snat a
favore degli host dietro di lui _e_ non c'e' egress filtering sugli
indirizzi ip src privati, puo' succedere che vengano instradati nel
mondo esterno dei pacchetti come quelli che hanno impattato su OuZ.
Tutti quegli _e_ sono piu' frequenti di quanto non si possa sperare
e, quindi, non e' difficile trovare traffico di quel tipo. Spesso e
volentieri sono dei FIN+ACK.
Fabio

 dmz o...) a cui ti eri precedentemente collegato. Non e' infrequente.
Ok, grazie mille della spiegazione :)


 No: saremmo in tanti, ad essere felici.
Allora non era proprio stupido il mio discorso in linea di principio?


Tutti quegli _e_ sono piu' frequenti di quanto non si possa sperare
Ouch. Pero', dai, la teoria era una bella cosa, eh?
Leonardo :-(


 roba.
Scusami, ho controllato meglio e probabilmente avevo incollato male :(
Dopo WINDOW c'e' RES=0x00 ACK PSH URGP=0 nel 90% dei casi e 
RES=0x00 ACK PSH FIN URGP=0 in un pacchetto ogni 10 circa.
Infatti aggiungendo nel target LOG (uso iptables ma a questo punto mi sa
che e' gia' troppo tardi per dirlo ;-)) --log-ip-options e
--log-tcp-options nei nuovi log non ho trovato differenze a parte un
misterioso OPT (0204021801010402) che penso sia parte dell' ip-options.
E' utile lo stesso aggiungere queste due opzioni di log?
Grazie mille a tutti :)


 RES=0x00 ACK PSH FIN URGP=0 in un pacchetto ogni 10 circa.
Sono ritrasmissioni, come ha detto fabio.
Io ne ho a quintalate. Credo sia dovuto al fatto che se la connessione
e' lenta e un po' ingolfata da un altro flusso di dati (ad esempio, un
download), il pacchetto di risposta viene accodato a tutti gli altri, ma
non viene trasmesso entro il tempo di ritrasmissione del server...
oppure la connessione lenta potrebbe essere quella del server...
E' un po' che ci ragiono sopra, ed ho imparato ad ignorare quelle righe
del log.
-- 
HappyCactus - Linux User #209744 - YAGF 
http://www.google.com
 
http://pngstego.sourceforge.net
Ci sono 10 categorie di persone al mondo: quelle che capiscono
il sistema binario e quelle che non lo capiscono.

 del log.
Grazie mille della conferma :)


 
[...]
per la cronaca. Se vi collegate gprs ai servizi wind/libero potete accedere 
solo ai *loro* popserver (stando a quello che dice la signorina al telefono). 
Se richiedete un altro mailserver arrivano richieste da indirizzi ip della 
classe 10.x.x.x