Newsgroup: it.comp.os.linux.iniziare
Titolo: Strani messaggi Logwatch

Saluti a tutti,
da qualche mese a questa parte ricevo, come utente root, dei messaggi
Logwatch in cui ci sono centinaia di righe tipo queste:
 Listed by source hosts:
 Logged 23866 packets on interface ppp0
   From 24.2.12.2 - 12 packets to tcp(6881)
   From 24.6.2.54 - 7 packets to tcp(6881,58932)
   From 24.12.67.232 - 3 packets to tcp(35848)
   From 24.17.146.168 - 3 packets to tcp(6881)
   From 24.18.191.212 - 2 packets to tcp(6881)
   From 24.22.250.28 - 2 packets to tcp(6881)
   From 24.59.221.101 - 3 packets to tcp(6881)
   From 24.68.140.81 - 9 packets to tcp(6881)
inoltre il file /var/log/messages, ormai di ~50MB, si riempie di righe di
questo tipo:
Nov  4 04:28:13 computer kernel: IN=ppp0 OUT= MAC= SRC=151.20.192.89 DST=79.7.240.207 LEN=48 TOS=0x00 PREC=0x00 TTL=117 ID=12788 DF PROTO=TCP SPT=1051 DPT=6881 WINDOW=65535 RES=0x0
0 SYN URGP=0
Nov  4 04:28:13 computer kernel: IN=ppp0 OUT= MAC= SRC=83.211.191.159 DST=79.7.240.207 LEN=60 TOS=0x00 PREC=0x00 TTL=55 ID=40891 DF PROTO=TCP SPT=41322 DPT=6881 WINDOW=5840 RES=0x0
0 SYN URGP=0
Nov  4 04:28:13 computer kernel: IN=ppp0 OUT= MAC= SRC=83.211.191.159 DST=79.7.240.207 LEN=60 TOS=0x00 PREC=0x00 TTL=55 ID=41133 DF PROTO=TCP SPT=33532 DPT=53671 WINDOW=5840 RES=0x
00 SYN URGP=0
Nov  4 04:28:17 computer kernel: IN=ppp0 OUT= MAC= SRC=82.54.125.213 DST=79.7.240.207 LEN=64 TOS=0x00 PREC=0x00 TTL=192 ID=29945 DF PROTO=TCP SPT=3092 DPT=6881 WINDOW=65535 RES=0x0
0 SYN URGP=0
Nov  4 04:28:18 computer kernel: IN=ppp0 OUT= MAC= SRC=88.53.64.49 DST=79.7.240.207 LEN=48 TOS=0x00 PREC=0x00 TTL=120 ID=1687 DF PROTO=TCP SPT=62293 DPT=6881 WINDOW=8192 RES=0x00 S
YN URGP=0
Le stesse che compaiono nelle console testuali che raggiungo mediante
Ctrl-Alt-F[1-6]
Di che si tratta? C'e' qualche hacker che si vuole intrufolare nel mio
sistema? Sono gli effetti di qualche worm che ha zombificato i computer di
mezza rete?
Cercando in rete ho trovato il modo, editando /etc/syslog.conf, di non
aver notificate tutte quelle righe in /var/log/messages e con dmesg -n 1
le console di testo non sono piu' "sporcate", tuttavia non mi e' chiara
l'origine di questo comportamento.
Qualcuno ne sa qualcosa?
La distro che uso e' Fedora 7 e mi collego con Alice Flat.
-- 
 ____  Saluti dal   | Eliminate  .non.voglio.spam  dall'indirizzo
(_  _)  __  __ ___  | per rispondermi, se non vi piace quello che
  )/ o\/  \/o_\>-_) | ho scritto considerate che,  in un universo
 (_\_-_|_|_\__/___> | parallelo,  potrebbe essere anche  diverso.

    From 24.2.12.2 - 12 packets to tcp(6881)
E' gente che crede tu abbia qualcosa da condividere con bittorrent.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 E' gente che crede tu abbia qualcosa da condividere con bittorrent.
In effetti e' cosi'.
Sai come fare, per eliminare all'origine, il logging di quei messaggi?
Ciao.


 Sai come fare, per eliminare all'origine, il logging di quei messaggi?
All'origine?
Vai a spegnere i pc di quegli utilizzatori di bittorrent. ;-)
Altrimenti devi farti una catena apposta per quelle porte, e dire
a iptables di non loggarla.


 iptables di non loggarla.
Ho fatto proprio cosi', Mi sono letto man iptables e ho googlato un po' e
ho risolto aggiungendo la riga:
-A RH-Firewall-1-INPUT -j LOG --log-level 7
al file /etc/sysconfig/iptables 
Grazie a te per l'interessamento.


 al file /etc/sysconfig/iptables 
Manco per idea, quella riga e' del tutto inutile!
Voglio dire; il sistema e' stabile, il firewall funziona bene ma ottengo:
nel file /var/log/messages, nei vari terminali testuali, visualizzabile
con dmesg e notificato a root mediante Logwatch, la lunga sequela di linee
che ho riportato nel messaggio precedente.
Tuttavia, mi basta dare il comando: "service iptables restart" per
interrompere lo sgradevole comportamento.
Ma se mi scollego da Internet e mi riconnetto subito dopo, le maledette
righe ricompaiono.
Qualcuno ha idea su come risolvere la questione?
TIA


Ho risolto tutto commentando opportunamente i file /etc/ppp/firewall-masq
e /etc/ppp/firewall-standalone.
In quei file ci sono delle regole per il firewall che vengono lette ad
ogni collegamento, impedendo il caricamento delle regole responsabili del
LOG il problema si e' risolto.
