Newsgroup: it.comp.os.linux.sys
Titolo: Oggi qualcuno ce l'ha con me o e' normale?!?

Oggi ho i log del firewall strapieni di attacchi alla stessa porta... la 
4672.
In media me ne viene loggato uno ogni 3 secondi circa, ma la cosa che mi 
lascia perplesso e' che arrivano da ip veramente eterogenei disclocati in 
varie parti del mondo e tutti arrivano quasi contemporaneamente!

 In media me ne viene loggato uno ogni 3 secondi circa, ma la cosa che > mi lascia perplesso e' che arrivano da ip veramente eterogenei > disclocati in varie parti del mondo e tutti arrivano quasi > contemporaneamente!
Dovrebbe essere una delle porte del network edonkey (emule), almeno in UDP.
-- 
Ciao
L. (Linux User #332241)

 4672.
hai, o qualcuno nella tua rete ha, giocato con Emule.
Gli altri emule in giro per il mondo (che sono stati contattati dall'emule
nella tua rete) stanno cercando di ricontattarlo nella porta UDP suddetta,
ovviamente loro provano l'ip pubblico con il quale il tuo emule si e'
presentato,
perche' nulla sanno di un eventuale NAT.
Entro domani sara' finito [1], lascia che vadano in timeout.
[1] se hai smesso di giocare con emule.

 UDP.
Si, e' vero.
Approfitto per chiederti una cosa. Se iptable droppa tale porta:
DROP 2005-07-18 16:12:13 firewall eth1 UDP 
213-169-ADSL.red.retevision.es
 
10.10.10.2 4672 (rfa)
Come mai il client emule scarica e lascia scaricare tranquillamenete. Il p2p 
non l'ho mai capito granche' :-( 

 firewall in generale...
Si hai assolutamente ragione.
Ho fatto due domande una piu' cretina dell'altra :-( 

 E' lunedi'...
Gia', ti ringrazio per la consolazione, ma non ci son scuse per la 
stupidita' purtroppo ;-) 

 4672.
Posso chiederti come gestisci i log del firewall?
Ciao, grazie!

 Posso chiederti come gestisci i log del firewall?
Vuoi sapere che programma uso?
http://sourceforge.net/projects/iptablelog
E' carino e utilizza mysql.
Ma se vuoi vedere una cosa strabiliante......
http://www.sawmill.net
E' veramente incredibile, ma non e' freeware.
Praticamente tu gli dici qual file di log deve elaborare e lui 
automagicamente sa se sta trattando snort,apache,iptables,dansguardian... 
insomma tutto, ma veramnete tutto.
E per ogni log organizza statistiche fatte incredibilmente bene! 

 non l'ho mai capito granche' :-(
Studia il rpotocollo, no? :-)
Su udp viaggiano non i trasferimenti, ma una serie di query non
server-based e tutta una serie di informazioni per la rete realmente
peer to peer che è Kadu.
-- 
Chaos A.D.		|	Raging crowd
Tanks on the streets	|	Burning cars
Confronting police	|	Bloodshed starts
Bleeding the Plebs	|	Who'll be alive?

 ed 'established' vengono fatte passare?
Non c'è un helper specifico per emule, afaik, ergo niente RELATED.


 non l'ho mai capito granche' :-( 
Perche' se le connessioni in ingresso falliscono, vengono utilizzati
dei metodi "push" con cui e' il client interno alla lan che instaura
delle sessioni verso i supernodi, o i server, o i peer (o whatever a
seconda di come funziona il p2p del caso). Su queste sessioni posson
passare sia le info per mantenere la connessione al network p2p, sia
i filez condivisi dagli utenti interni alla lan che, in questo modo,
possono uploadare anche se non son permesse connessioni in ingresso.
Questo in generale, e vale per quasi tutti i p2p moderni. Poi ci son
le particolarita' dei singoli p2p.
Nel tuo caso specifico e' diverso, in quanto emule usa la porta 4672
su udp per gestire info su code, punteggio, priorita' ecc ecc: tutte
cose accessorie e che non inficiano la connessione se non in termini
di livello di ID (roba specifica del protocollo di emule). 
Le soluzioni sono diverse e vanno dal non annunciare questa porta di
servizio come disponibile al DNATtarla al client p2p interno, che e'
di sicuro il metodo preferito dall'utente, visto che gli permette di
avere un ID piu' alto. Ovviamente puoi farlo solo utente per utente,
accordandoti con i singoli su quale porta DNATtare in funzione della
conf del loro emule, in quanto, non esistendo un helper di conntrack
per emule, non ha alcun senso parlare di connessioni RELATED.
Fabio

 di livello di ID (roba specifica del protocollo di emule). 
Sorry, e' una stupidata: la raggiungibilita' della 4672/udp non ha
influenza sull'ID. Vale il resto.
Fabio

 influenza sull'ID.
Vero, è la raggiungibilità su tcp che lo determina.


 Vero, è la raggiungibilità su tcp che lo determina.
Si', infatti: m'era venuto il dubbio mentre premevo il tasto "Send"
e sono andato a darmi una rinfrescatina alla memoria :-/

 Non c'č un helper specifico per emule, afaik, ergo niente RELATED.
Io uso il filtraggio a livello applicazione, e' una patch per il 
kernel+iptables e funziona discretamente bene. 
http://l7-filter.sourceforge.net/
 
Gufo
-- 
  ,___,		 	SYSTEM-INDEPENDENT:
  (9v9)		 Works equally poorly on all systems.
  (_^((\	
-^-"-"-\\-^--	 Remove -me- to reply in email