Newsgroup: it.comp.os.linux.sys
Titolo: firewall log

Salve,
ho una rete nattata dietro ad un firewall. Nei log del firewall di una 
macchina di tale rete trovo dei pacchetti "dropped" destinati alla 
macchina stessa, che ha un ip privato, ma come e' possibile?
Come si fa' dall'esterno ad accedere all'interfaccia di rete che ha un 
indirizzo ip privato? Pensavo che la cosa non fosse possibile.
Grazie
Marco


Non ho capito una mazza.
magari posta la configurazione, quale firewall logga, le righe incriminate
e quant'altro possa aiutare a capire di cosa stai parlando.
Per inciso, comunque, e senza fare allarmismi, forgiare un pacchetto ad hoc
č piuttosto semplice ma il tuo caso sembrerebbe pių qualche bug nella tua
interpretazione dei log.
Quindi posta pių info.
Max

 Non ho capito una mazza.
la macchina in cui trovo i log dei pacchetti rifiutati fa parte della 
rete nattata e si trova dietro il firewall, ha una interfaccia con 
indirizzo privato del tipo 192.168.XX.XX, comunque ecco il log:
Apr  9 10:30:19 host00001 kernel: firewall: IN=eth0 OUT= 
MAC=00:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX SRC=80.180.XXX.XX 
DST=192.168.XX.XX LEN=60 TOS=0x00 PREC=0x00 TTL=64 ID=47642 DF PROTO=TCP 
SPT=34375 DPT=113 WINDOW=5840 RES=0x00 SYN URGP=0

Marco <m...@mp.nospam> wrote in news:zovdc.33366$
hc5.1...@news3.tin.it
:

Non sara' l'indirizzo dell'interfaccia esterna del firewall? Certo non si 
capisce perche' dovrebbe collegarsi alla porta 113 (auth) della tua 
macchina interna.
Ciao

 
no, l'indirizzo esterno e' un'altro.

 Grazie
Hai mai sentito parlare di spoofing? :)

 
Si, ma non capisco la relazione tra spoofing e accesso ad un indirizzo 
ip privato dall'esterno.
Graficamente la situazione e' grosso modo questa:
     |-------X
F---|-------Y
     |-------Z
F e' il firewall con indirizzo ip pubblico ad esempio del tipo 80.x.x.x
il segmento di rete nattata e' rappresentato da tre host con indirizzi 
del tipo:
192.168.X.X
ora su Z trovo un log del firewall che dice che una macchina esterna, 
con indirizzo ip pubblico, ha tentato di accedere alla porta 113, 
inoltre su F non e' abilitato il port forwarding oltretutto la porta 113
sul firewall F e' bloccata (dal firewall stesso). Come spiegate tutto cio?
Grazie a tutti
Marco

Marco wrote:

Ipotesi no. 1 (o + probabilmente fessata no. 1 :-) :
Secondo me la macchina in lan tenta di accedere a dei servizi
sulla macchina esterna 80.180.xxx.xxx, quest'ultima poi tenta di
accedere all'ident della macchina in lan (c'e' SYN), grazie all'helper
del firewall per quel protocollo, che "natta" anche quella richiesta
di connessione come relativa alla connessione precedentemente stabilita.
Ipotesi no. 2:
Tentativo di accesso alla lan tramite source routing (perche' poi
sulla 113, nun se sa...) ?
bye G.L.

 
potrebbe essere, dato che ho identd attivo sul computer con indirizzo ip 
privato ... a proposito, in generale identd va attivato o meno?

 renaissance wrote:


IMHO no: so solo che serve all' "altro capo" per sapere qual'e' l'utente
proprietario del processo sulla macchina che ha effettuato la richiesta.
Pero', per evitare terribili "latenze" nell'accesso a servizi che poi
ti "rimbalzano" una richiesta ident, se possibile conviene "rejectare"
la richiesta piuttosto che "dropparla" (almeno gli si restituisce un bel 
icmp-port-unreacheable, e il discorso finisce li'...)
bye G.L.

 privato ... a proposito, in generale identd va attivato o meno?
ah: ad ogni modo, se sul fw non l'hai gia' impostato:
/bin/echo 0 > /proc/sys/net/ipv4/conf/all/accept_source_route
Se scompaiono i log, IMHO probabilmente era un source route
(time to live IMO stranamente bassino, poi. 64...)
bye G.L.

 (time to live IMO stranamente bassino, poi. 64...)
perche' secondo te e' bassino ?
grazie

 
si, leggi bene, ma il problema e': come fa una macchina esterna (con 
indirizzo pubblico) ad accedere a hosts in una rete nattata con 
indirizzi privati (e dietro un firewall) ?

 
no, la macchina della mia lan e' la destinataria del socket, non il 
sorgente.

 grazie
Non rischia di morire prima di arrivare a destinazione,
se ci sono troppi HOP?   :-)
Comunque ho fatto una associazione mentale col fatto della
limitazione degli hop attraversabili da pacchetti source route
(8/10, se non erro).    :-)
bye G.L.
-- 
« E' assolutamente evidente che l'arte del cinema
  si ispira alla vita, mentre la vita si ispira alla TV »
(Woody Allen)