Newsgroup: it.comp.os.linux.sys
Titolo: fail2ban mi banna la lan

Ciao a tutti,
Sto impazzendo dietro ad un problema apparentemente semplice: ho qualche
macchina in LAN che mi fa del traffico anomalo verso un server remoto,
ma non riesco a beccarla. Sul server ho questo log:
 
Oct  3 16:22:23 xx-yy kernel: [630510.026177]
Shorewall:net2fw:DROP:IN=eth0 OUT=
MAC=14:da:e9:ef:67:6b:00:26:88:yy:xx:1c:08:00 SRC=89.96.xx.yy
DST=88.198.xx.yy LEN=68 TOS=0x00 PREC=0x00 TTL=111 ID=22668 PROTO=41
 
e fail2ban mi banna inesrabilmente nel giro di pochi secondi dalla
rimozione dalla blacklist.
 
La stessa cosa succedeva con delle macchine windows che andavano a
cercarsi delle stampanti tramite il processo spoolsrv.exe usando smtp
sulla porta UDP 161, e finivano su quel server per via di un catch all
configurato in modo discutibile (in sostanza il server remoto fa da
catch all per tutto ciò che è 
nomeditta.it
, e certe macchine windows si
autoriconoscono come 
nomemacchina.nomeditta.it
, per cui certo traffico
locale veniva instradato al server remoto...)
Ho risolto bloccando tutto il traffico interno verso la porta UDP 161 e
fine dei problemi, con il log del firewall ho individuato le macchine.
Come blocco i pacchetti del log qui sopra?
 
Grazie
 
-- 
g4b0, linux user n. 369000
http://brosulo.net
 

ma non riesco a beccarla. Sul server ho questo log:
 
Non puoi metterti in ascolto sulla porta LAN per pacchetti di protocollo 41
(IPv6 Tunnel)?
 
Leonardo
 
-- 
 
Questi non hanno speranza di morte; e la lor cieca vita e' tanto bassa,
Che 'nvidiosi son d'ogne altra sorte. Fama di loro il mondo esser non lassa;
Misericordia e Giustizia li sdegna; non ragioniam di lor, ma guarda e passa.

 (IPv6 Tunnel)?
 
Grazie per il consiglio, ho fatto cosï¿½ ed ho scoperto che sono macchine
windows che fanno router discovery su IPv6. Per ora ho disabilitato IPv6
sul firewall, cosï¿½ non instrado porcheria su internet, poi un giorno
dovrï¿½ sistemare questo catch all che ho ereditato, ma temo che saranno
rogne...
 
Tra l'altro ho scoperto anche un notevole traffico UDP delle medesime
macchine verso lo stesso indirizzo di catchall, appena ho un po' di
tempo faccio un'analisi un pelo piï¿½ approfondita.
 
La lezione del giorno, comunque, ï¿½ che il catch all ï¿½ il MALE!


La lezione del giorno, comunque, è che il catch all è il MALE!
 
Al contrario: e' il bene. Scusa, datosi che le cose succedono, tu preferiresti
saperle, o non saperle?
 
Certo, quando le cose sono tante, saperle tutte e' un po' un giramento. Pero',
uno le assistema poco a poco...


 saperle, o non saperle?
 
Be, in realtà si tratta di traffico che dovrebbe rimanere in LAN che
invece esce sulla WAN. A me piace lavarmi in casa i panni sporchi :D


invece esce sulla WAN. A me piace lavarmi in casa i panni sporchi :D
 
Ah, scusa: intendevi dire che c'e' un catchall nella regola di forward? Non
avevo capito questo dettaglio.
 
Allora si', e' il MALE, anzi il PEGGIO :-D


 
 
No, è un catchall DNS, tutto ciò che nella LAN non viene risolto
normalmente viene risolto verso un nostro server in WAN. Il problema è
che apparentemente queste macchine Win tentano di risolvere via DNS il
loro nome locale, e quindi mi sparano fuori traffico che IMHO dovrebbe
rimanere in localhost. Almeno credo...
