Newsgroup: it.comp.os.linux.sys
Titolo: E questo come lo spiegate?

Apr  8 10:18:43 x sshd[6021]: Failed password for root from 61.174.51.212 port 2487 ssh2
 
 
# iptables -L INPUT -n -v
Chain INPUT (policy DROP 56765 packets, 19M bytes)
 pkts bytes target     prot opt in     out     source               destination         
9702M   12T ACCEPT     all  --  eth0   *       
0.0.0.0/0
 
0.0.0.0/0
           state RELATED,ESTABLISHED 
  40M   21G ACCEPT     all  --  lo     *       
0.0.0.0/0
 
0.0.0.0/0
           state NEW,RELATED,ESTABLISHED 
  30M 1725M ACCEPT     tcp  --  eth0   *       
0.0.0.0/0
 
0.0.0.0/0
           multiport dports 20,21,80 
2070K 1001M DROP       all  --  eth0   *       
0.0.0.0/0
 
0.0.0.0/0
 
 
 
 
? Da dove arriva quella richiesta ssh, se ssh è bloccato dal firewall ?


   Dici bene: *se* è bloccato dal firewall.
 
 
   Ciao,
 
 
-- 
Alessandro Selli 
http://alessandro.route-add.net
 
AVVERTENZA: i messaggi inviati a "trappola" non mi arriveranno.
WARNING: messages sent to "trappola" will never reach me.

    Dici bene: *se* è bloccato dal firewall.
 
Lo è:
1. ho provato a connettermi da remoto e non risponde nessuno
2. ho postato l'output di iptables, la 22 non è listata e quindi va in drop a fine catena.

 2. ho postato l'output di iptables, la 22 non č listata e quindi va in drop a fine catena.
 
   Hai postato la configurazione di solo una catena di solo una tabella di 
iptables, e quindi non č dato sapere se e cosa ha fatto il firewall.


 iptables, e quindi non è dato sapere se e cosa ha fatto il firewall.
 
ho postato solo la input perchè ho solo quella, non ci sono catene extra.


 
Non è che l'otto aprile ad un certo punto hai riavviato la macchina?

 Non è che l'otto aprile ad un certo punto hai riavviato la macchina?
 
No, perchè?
 
$ uptime
 19:26:09 up 129 days, 20:56,  1 user,  load average: 1.19, 1.18, 1.16

 ? Da dove arriva quella richiesta ssh, se ssh è bloccato dal firewall ?
 
Mi posti un route -n ed un ifconfig ?
 
 
 

 19:26:09 up 129 days, 20:56,  1 user,  load average: 1.19, 1.18, 1.16
 
Uhm, giusto per farmi gli affari tuoi, non sarebbe ora di riavviare? Che tra 
bugfix del kernel e bugfix vari (vedi Heartbleed) un riavvio non guasterebbe
 
Enrico

   19:26:09 up 129 days, 20:56,  1 user,  load average: 1.19, 1.18, 1.16
 
Perché magari le chain di iptables non erano state ripopolate durante 
il boot.
 
 
 
 

 bugfix del kernel e bugfix vari (vedi Heartbleed) un riavvio non guasterebbe
 
Sarebbe anche ora, ma non cambierebbe nulla.
E' una maledetta slackware non più aggiornata da anni. 
E' un server destinato a morire nei prossimi giorni e che ha alcune problematiche. 
Mi sono accorto del problema proprio spostando le ultime cose, potrei benissimo spegnerlo ora, ma mi piacerebbe prima capire da dove arriva quel tentativo di accesso.

 Mi posti un route -n ed un ifconfig ?
 
# route -n
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
1.2.3.0         0.0.0.0         255.255.255.0   U     0      0        0 eth0
172.16.0.0      0.0.0.0         255.255.248.0   U     0      0        0 eth1
127.0.0.0       0.0.0.0         255.0.0.0       U     0      0        0 lo
0.0.0.0         1.2.3.254       0.0.0.0         UG    1      0        0 eth0
 
 
# ifconfig
eth0      Link encap:Ethernet  HWaddr 52:7D:62:CF:40:3A  
          inet addr:1.2.3.2  Bcast:1.2.3.255  Mask:255.255.255.0
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:1927954036 errors:98635349 dropped:142601821 overruns:0 frame:1871
          TX packets:3410592077 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:2590305504 (2.4 GiB)  TX bytes:1661258717 (1.5 GiB)
          Interrupt:18 Base address:0xc100 
 
eth1      Link encap:Ethernet  HWaddr CA:9F:F6:C4:87:08  
          inet addr:172.16.3.1  Bcast:172.16.7.255  Mask:255.255.248.0
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:71864466 errors:705 dropped:1870 overruns:0 frame:0
          TX packets:119315085 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:1530463935 (1.4 GiB)  TX bytes:
3657941566
 (3.4 GiB)
          Interrupt:19 Base address:0xc200 
 
lo        Link encap:Local Loopback  
          inet addr:127.0.0.1  Mask:255.0.0.0
          UP LOOPBACK RUNNING  MTU:16436  Metric:1
          RX packets:43863849 errors:0 dropped:0 overruns:0 frame:0
          TX packets:43863849 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0 
          RX bytes:1452972614 (1.3 GiB)  TX bytes:1452972614 (1.3 GiB)
 
 
 
 
 
P.S: si è autoriavviato per un problema hardware (motivo per il quale è un server che sto dismettendo)
 

 P.S: si è autoriavviato per un problema hardware (motivo per il quale è un server che sto dismettendo)
 
Sono due le possibilità.
Come suggerivano se è rebootato, la connessione è arrivata mentre il FW 
ancora non era impostato.
 
L'alternativa è che sia entrato da eth1 tramite un altro router nattante 
(ma sto speculando).
 
Max
 
 

 (ma sto speculando).
 
Ma su eth1 la 22 non è aperta.