Newsgroup: it.comp.os.linux.sys
Titolo: help traffico di rete

ho una linea hdsl con 8 indirizzi IP statici, uso linux come router/firewall
per la mia lan e da giorni ho problemi di traffico assurdo, ho provato a
loggare con tcpdump le richieste che arrivano sull'ip pubblco ed ecco il
risultato:
12:24:59.480655 iris.es.ncku.edu.tw.2002 >
host124-41.poolXXXX.interbusiness.it.2002:  udp 41 (DF)
12:24:59.480655 host124-41.poolXXXX.interbusiness.it.2002 >
iris.es.ncku.edu.tw.2002:  udp 12 (DF)
12:24:59.480655 host124-41.poolXXXX.interbusiness.it.2002 >
212.234.155.5.2002:  udp 41 (DF)
12:24:59.480655 host124-41.poolXXXX.interbusiness.it.33008 >
dns.interbusiness.it.domain:  15403+ PTR? 124.41.18.80.in-addr.arpa. (43)
(DF)
12:24:59.490655 nano.chem.northwestern.edu.2002 >
host124-41.poolXXXX.interbusiness.it.2002:  udp 41 (DF)
12:24:59.490655 ip64-48-141-170.z141-48-64.customer.algx.net.2002 >
host124-41.poolXXXX.interbusiness.it.2002:  udp 41 (DF)
12:24:59.490655 host124-41.poolXXXX.interbusiness.it.2002 >
nano.chem.northwestern.edu.2002:  udp 12 (DF)
12:24:59.490655 host124-41.poolXXXX.interbusiness.it.2002 >
host42-6.pool8173.interbusiness.it.2002:  udp 41 (DF)
12:24:59.490655 host124-41.poolXXXX.interbusiness.it.2002 >
ip64-48-141-170.z141-48-64.customer.algx.net.2002:  udp 12 (DF)
12:24:59.490655 host124-41.poolXXXX.interbusiness.it.2002 >
opac.regione.emilia-romagna.it.2002:  udp 41 (DF)
12:24:59.490655 210.177.163.170 > 
host124-41.poolXXXX.interbusiness.it
:
icmp: 210.177.163.170 udp port 2002 unreachable [tos 0xc0]
12:24:59.510655 213.154.101.17 > 
host124-41.poolXXXX.interbusiness.it
: icmp:
213.154.101.17 udp port 2002 unreachable [tos 0xc0]
12:24:59.510655 216.175.85.247 > 
host124-41.poolXXXX.interbusiness.it
: icmp:
216.175.85.247 udp port 2002 unreachable [tos 0xc0]
le richieste sono talmente tante che dopo dieci minuti la mia rete č
bloccata (verso l'esterno), qualcuno mi sa dare qualche info???
in telecom dicono che č tutto ok e non č un problema loro, qualcuno mi sa
dare qualche info??
(ho anche provato a cambiare l'ip pubblico del firewall/router linux, e per
due giorni tutto ok, ma oggi č ricominciato)

 host124-41.poolXXXX.interbusiness.it.2002:  udp 41 (DF)
Interbusiness e' un'accozzaglia di spammatori e wannabe hacker. Io ho
chiuso il loro IP.
Davide


I'm not prejudiced, I hate everyone equally.

 
Porta UDP 2002?
Molto piu' probabilemnte sei attaccato da macchine che sono state infettate da
Slapper, hai patchato il tuo server con l'ultima verisone di OpenSSL ?
Ciao,
Marco

esatto.... è ho scoperto di averlo anche io... mò che faccio?


esatto.... č ho scoperto di averlo anche io... mň che faccio?
Cancella tutto quello che e` in /tmp/
Chiudi la porta 443 da firewall.
Disabilita il server SSL da httpd.conf (commenta tutta la sezione ssl)
Scarica i sorgenti delle ultime versioni di openssl, mod_ssl ed
apache, ricompila prima openssl, poi configuri mod_ssl, poi compili ed
installi apache che fa tutto il resto.
Riapri la porta, riabililiti ssl da httpd.conf, riavvii il server.
Dovresti essere a posto.

 >esatto.... è ho scoperto di averlo anche io... mò che faccio?


cmq ringrazio tutti per l'aiuto.
Apri la porta 2002 e/o metti l'IP del server di default nel router.
Resetti il router.
Poi per 30 secondi, o un minuto, lanci tcpdump  -n > log.txt (dopo
interrompi con ctrl-c)
Ridisabiliti la porta 2002 o togli comunque l'IP del server come
dafault.
Resetti il router.
Ti controlli tutti gli IP di quelli che cercano di comunicare con te
sulla porta 2002, usando i vari whois server per USA, Europa, Asia:
http://ws.arin.net/cgi-bin/whois.pl
http://www.ripe.net/ripencc/pub-services/db/whois/whois.html
http://www.apnic.net/apnic-bin/whois2.pl
http://www.nic.ad.jp/
http://whois.nic.or.kr/english/index.html
http://lacnic.net/en/index.html
A quel punto, trovato l'indirizzo e-mail dell'amministratore (meglio
usare piu` destinatari, almeno il primo che legge, provvede), gli
scrivi allegando un pezzo di LOG coi suoi IP.
E` una rottura di scatole allucinante, ma se la banda ti serve, non
vedo altra alternativa. Probabilmente esistono metodi meno faticosi,
ma io non li conosco e non ho ancora voglia di indagare sulla loro
esistenza.
Per inciso, avro` scritto oltre 200 e-mail. La sera, davanti la TV,
col portatile mi diletto a scrivere e-mail. :-)
Prima avevo 10/12k in ingresso, ora sono solo 2k. A qualcosa e`
servito.