Newsgroup: it.comp.os.linux.sys
Titolo: iptables filtro in uscita

Ciao a tutti,
premessa: le mie conoscenze di networking sono rudimentali.
Sto configurando un firewall (Zeroshell) in una organizzazione piuttosto
eterogenea: uffici, scuola di studenti stranieri, gente che va, gente che
viene, tutti si collegano allegramente alla stessa linea adsl.
Ho quindi regolato anche il traffico di uscita (forward) chiudendo tutto,
aprendo solo le porte destinazione note 80,443,143,110 ecc. e come ultima
regola ho messo DROP con log.
La LAN ha la subnet più banale che ci sia 
192.168.1.0/24
 con default gw
192.168.1.254 (il firewall Zeroshell)
Nei log trovo righe come questa:
Mar 13 09:13:30 gw kernel: FORWARD/028 IN=ETH00 OUT=ETH01
SRC=10.244.154.xxx DST=17.134.126.xxx LEN=237 TOS=0x00 PREC=0x00 TTL=63
ID=61702 DF PROTO=TCP SPT=51310 DPT=443 WINDOW=16384 RES=0x00 ACK PSH URGP=0
 
ETH0 è l'interfaccia sulla LAN, ETH1 è quella sulla WAN
Cosa vuol dire ? Che in LAN c'è un dispositivo con IP 10.244.154.xxx che cerca
di uscire dal mio gw ?
E non è l'unico, c'è anche ad esempio un SRC=111.1.53.xxx e di giorno in
giorno ne compaiano e scompaiono diversi, random.
Come faccio a trovare chi è ? Vale la pena fare questa indagine, o ignoro
allegramente quei log ?
Mi viene da pensare che siano dei dispositivi mobili collegati 
contemporaneamente alla rete wireless e alla rete umts/gprs e che quegli 
indirizzi SRC sopra siano quelli assegnati dal provider umts/gprs; poi il 
dispositivo mobile, in qualche modo, "confonda" i due gw; ma non so se sia 
possibile o se sia questa la causa di quei log.
 
Grazie
fulvio

 possibile o se sia questa la causa di quei log.
 
  Si, è possibile.  Potrebbe non essere l'unica spiegazione, ma plausibile lo è.
 
 
  Ciao,
 
 
-- 
Alessandro Selli 
http://alessandro.route-add.net
 
AVVERTENZA: i messaggi inviati a "trappola" non mi arriveranno.
WARNING: messages sent to "trappola" will never reach me.

possibile
 
Per esempio hai un iPad, con GPRS + WiFi. Ti muovi nell'ufficio, l'iPad
aggancia il WiFi e lo usa... ma per qualche secondo, l'interfaccia, non
saprei dirti perche', utilizza ancora l'indirizzo IP mobile.
 
Succede anche il contrario, con indirizzi WiFi che escono via mobile. E
ogni tanto vengono pure routati a destinazione, se hai scelto indirizzi
un po' creativi sul DHCP dell'access point.
 
Fra i dispositivi che fanno questo scherzo c'e' almeno un iPad e almeno
un Samsung S4. Non pare succedere con un vecchio LGP500... il che mi fa
sospettare che dovendo scegliere fra
 
	sgancio rete --> attesa prudente --> riaggancio nuova rete
 
e
	sgancio rete --> vai vai vai vai! --> riaggancio nuova rete
 
la seconda opzione sia stata ritenuta piu' veloce e suscettibile di una
maggior soddisfazione dell'utente che se no magari dice "Oh, ma sgancia
la rete e prima che si riconnetta passano anche quattro, cinque secondi
in cui non ho accesso a cose vitali tipo facebook, twitter e youporn".
 
Il fatto che cosi' arrivino i "marziani" e' una preoccupazione per nerd
sfigati, non per agili commerciali dinamici e vincenti.
 
Bada, questo sopra e' un mio SOSPETTO... prove non ne ho e potrei anche
prendere una solennissima cantonata.
 
Leonardo
 
-- 
 
Then felt I like some watcher of the skies, when a new planet swims into his ken;
Or like stout Cortez when with eagle eyes, he star'd at the Pacific; and all his men
Look'd at each other with a wild surmise - silent, upon a peak in Darien.

 contemporaneamente alla rete wireless e alla rete umts/gprs......
 
Grazie Alessandro, grazie Leonardo
oggi sono stato di persona sul luogo per fare indagini e questo ho scoperto:
quei log menzionati si verificano solo quando la scuola è popolata da un
gruppo di giovani studenti stranieri (precisamente Cinesi) sono circa 40 con
un età media di 16 anni ed ognuno di loro (tutti nessuno escluso...) ha in
mano un tablet e due smartphone rigorosamente connessi a tutti i possibili
punti di accesso del pianeta. E' quindi chiaro che circa 120 dispositivi che
vagano per gli ampi locali della scuola si possano connettere e disconnettere
dal wi-fi e provocare quello di cui temevo e che anche Voi sospettavate.
Mistero risolto.
Ho poi cambiato DROP con REJECT
 
Grazie ancora
fulvio
 
 

   Si, è possibile.  Potrebbe non essere l'unica spiegazione, ma plausibile lo è.
 
Confermo che succede anche in azienda da me con ROM Android "cucinate".
I telefoni confondono il from quando inviano sull'interfaccia WiFi con
l'IP pubblico.
 
Enrico