Newsgroup: it.comp.os.linux.sys
Titolo: errori firewall

Ciao, ho un po' personalizzato il firewall di mrshark e sto usandolo.
Ho alcuni log, di cose che non mi sono note.
1) Sono violazioni di sicurezza? Qualcuno potrebbe essere entrato nel sistema?
2) Sono errori di configurazione?
3) Di che servizi si tratta, cosa sono proto=2, 6, 103 ???
4) Come posso separare in un altro file i log del firewall con syslog?
Posto un pezzo...
Dec 20 17:40:05 tornado kernel: Packet log: input DENY ppp0 PROTO=2 
151.5.32.42:65535
 
224.0.0.1:65535
 L=28 S=0xC0 I=0 F=0x0000 T=1 (#35)
Dec 20 17:40:10 tornado kernel: Packet log: input DENY ppp0 PROTO=103 
151.5.32.42:65535
 
224.0.0.13:65535
 L=30 S=0xC0 I=0 F=0x0000 T=1 (#35)
Dec 20 17:40:35 tornado kernel: Packet log: input DENY ppp0 PROTO=6 
193.70.192.127:25
 
151.30.133.205:1032
 L=66 S=0x00 I=4228 F=0x4000 T=249 (#35)
Dec 20 17:40:40 tornado kernel: Packet log: input DENY ppp0 PROTO=103 
151.5.32.42:65535
 
224.0.0.13:65535
 L=30 S=0xC0 I=0 F=0x0000 T=1 (#35)
Dec 20 17:40:43 tornado kernel: Packet log: input DENY ppp0 PROTO=6 
193.70.192.127:25
 
151.30.133.205:1032
 L=66 S=0x00 I=4229 F=0x4000 T=249 (#35)
Dec 20 17:41:00 tornado kernel: Packet log: input DENY ppp0 PROTO=6 
193.70.192.127:25
 
151.30.133.205:1032
 L=66 S=0x00 I=46673 F=0x4000 T=249 (#35)
Dec 20 17:41:06 tornado kernel: Packet log: input DENY ppp0 PROTO=2 
151.5.32.42:65535
 
224.0.0.1:65535
 L=28 S=0xC0 I=0 F=0x0000 T=1 (#35)
Dec 20 17:41:10 tornado kernel: Packet log: input DENY ppp0 PROTO=103 
151.5.32.42:65535
 
224.0.0.13:65535
 L=30 S=0xC0 I=0 F=0x0000 T=1 (#35)
Dec 20 17:41:32 tornado kernel: Packet log: input DENY ppp0 PROTO=6 
193.70.192.127:25
 
151.30.133.205:1032
 L=66 S=0x00 I=46674 F=0x4000 T=249 (#35)

Dec 20 17:40:35 tornado kernel: Packet log: input DENY ppp0 PROTO=6 
193.70.192.127:25
 
151.30.133.205:1032
 L=66 S=0x00 I=4228 F=0x4000 T=249 (#35)
Qui, invece, devi dirci perche' impedisci all'smtp server di libero di
consegnarti la posta.:-)
Name:    
smtp6.libero.it
Address:  193.70.192.127
Puo' anche darsi che tu faccia bene, non si deve fare relay per gli
spammer, ma pensaci su, visto che mi sembra tu sia utente proprio di
libero.
-- 
           |Save our planet!
  Ciao     |Save wildlife;
  roberto  |For your E-MAIL use only recycled Bytes !!
           |roberto poggi  
rpo...@softhome.net

Address:  193.70.192.127
qui intervengo io: mea culpa (ma per culpa di libero!)! ;-)
hanno cambiato gli ip di libero (ultimamente anche altri, a quanto pare...)
il mio script dava:
# de/commentare solo le sezioni d'interesse o aggiungerne altre
#------------------------------ IP di libero
  DNS1_IP="195.210.91.1"
  DNS2_IP="195.210.91.2"
  SMTP_IP="193.70.192.50"
  NNTP_IP="192.106.1.6"
evidentemente e' da aggiornare... (creero' una pagina apposita con gli ip dei
vari servizi di tutti gli isp che becco, appena ho un po' di tempo).
-- 
Vuoi configurare velocemente internet, postfix, fetchmail, procmail,
leafnode, firewall, dns, wwwoffle,  junkbuster, mutt, slrn ed altro?
Visita 
http://mrshark.sourceforge.net
 oppure  
http://mrshark.cjb.net
e scarica il "Quick&Easy Configuration Howto",  piu' i files citati.

Dec 20 17:40:40 tornado kernel: Packet log: input DENY ppp0 PROTO=103 
151.5.32.42:65535
 
224.0.0.13:65535
 L=30 S=0xC0 I=0 F=0x0000 T=1 (#35)
Io ricontrollerei quella regola numero 35 perchè impedisce di accedere
alla tua porta 25 (SMTP)

 
Ma io ricevo regolarmente la posta da 
smtp.libero.it
, non uso
smtp6.libero.it
.
E la posta mi arriva...
Fammi capire, ho perso delle mail? No, vero?
-- 
Paolo Gherpelli (aka Paolo 83 RE)
gherpelli at libero dot it
gherp at freemail dot it
Powered by Debian 2.2 / Linux 2.2.17 on a P2-266

In article <slrn941ok...@tornado.home>, 
gh...@NOSPAM.freemail.it
 (Paolo Gherpelli) wrote:
EHI SCUSATE!
ricevo la posta solo perche' la scarico prima di fare partire il fw
c'ho pensato solo adesso.
mrshark, tu che l'hai fatto, come lo metto a posto?
Ma davvero un fw per una macchina dialup e' di questa utilita'?
Mi sta dando solo problemi.
A proposito, sempre tu mrshark, se vuoi ti mando la versione che
ho modificato, ho tolto il masq e l'output e' in inglese. Mi sono
preso la liberta' di farlo, tanto siamo nel mondo opensource ;-)


 preso la liberta' di farlo, tanto siamo nel mondo opensource ;-)
ciao ,una piccola curiosita' (scusandomi per l' OT) :
http://www.cert.org/incident_notes/IN-98-05.html
elrond

preso la liberta' di farlo, tanto siamo nel mondo opensource ;-)
manda, pure, grazie, ma il mio aveva l'obiettivo di essere il + possibile
generale, per questo all'inizio si possono impostare a on/off i servizi che non
servono


 Procotollo 103 non so cosa sia, in /etc/procotols non é elencato...
Strano da me dice:
pim     103     PIM             # Protocol Independent Multicast
-- 
Saluti,      |    Mal di testa da configurazione?     |  Debian woody
     Gianni  |    Con Debian ti passa.                |  kernel 2.2.18

 3) Di che servizi si tratta, cosa sono proto=2, 6, 103 ???
Non so se č corretto ma per evitare di riempire i log ho fatto cosě:
ho aggiunto la riga REMOTEIP all'inizio dello script
  LOCALIP="$INTERFACEIP/$INTERFACEMASK"
-------------------------------- taglia ------------------------------------
  REMOTEIP=`/sbin/ifconfig $INTERFACE | \
                        grep inet | cut -d : -f 3 | cut -d \  -f 1`
------------------------------- fine ---------------------------------------
ed inserito il "blocco senza log"
-------------------------------- taglia ----------------------------------
#------------------------------ blocco senza log
    echo -n "Blocco IGMP e PIM : "
    # Rifiuta senza loggarli i pacchetti dei protocolli IGMP (2) e PIM (103)
    # provenienti da REMOTEIP e diretti a multicast addresses di Classe D
    # (in.h) (NET-3-HOWTO)
    #
    $IPCHAINS -A input -i $INTERFACE -p igmp -s $REMOTEIP \
                -d $CLASS_D_MULTICAST -j DENY
    $IPCHAINS -A input -i $INTERFACE -p pim -s $REMOTEIP \
                -d $CLASS_D_MULTICAST -j DENY
    echo -e "\t\t\t\t\t\t[ ${GREEN}OK ${WHITE}]"
------------------------------------ fine -------------------------------
#------------------------------ blocco e log
      echo -n "Blocco e log di tutto il resto : "
si accettano critiche e correzioni, ma siate buoni č Natale.


 pim     103     PIM             # Protocol Independent Multicast
Non so.
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

 servono
Hai ragione, ma diciamo che avevo voglia di smanettare un po' :-)
Non ho una LAN allora ho tolto del tutto il codice per il masq, l'eth ecc...


 pim     103     PIM             # Protocol Independent Multicast
anche da me, 2 e' igmp, 6 tcp, 103 pim. Ho pensato di lasciare
la regola deny e non loggare questo tipo di traffico... non mi
importa molto cosa sia, se so che ipchains lo sbatte via :-)



The majority of the stupid is invincible and guaranteed for all time.
The terror of their tyranny, however, is alleviated by their lack of
consistency.
                -- Albert Einstein