Newsgroup: it.tlc.gestori.fastweb
Titolo: Una curiosità sul NATting di FW. Ho  notato una cosa strana.

Un paio di giorni fa ho notato che il firewall del mio Linux box aveva 
registrato per diverse ore pacchetti di ritorno UDP provenienti da un 
sito web *esterno a FW*.
Ora le cose strane:
1) questi pacchetti UDP partivano dalla porta 5000 di detto web server 
diretti a varie porte (ephemeral) del mio Linux box
2) netfilter č settato in maniera tale da registrare e *bloccare* 
qualsiasi pacchetto originato dal mio Linux box o dalla Lan diretto 
verso determinate porte sospette (fra cui 135, 137, etc. e *5000*).
3) nei log ovviamente non c'č traccia di traffico diretto verso queste 
porte (anche perché sarebbe stato bloccato)
4) ho provato a mandare pacchetti UDP alla porta 5000 di quel web server 
e, come mi aspettavo, la cosa č stata rilevata da netfilter e bloccata
5) non avevo mai sentito di quel web server prima di trovare il suo IP 
nei miei log.
6) ho rivoltato il mio Linux box come un calzino, ho guardato i log di 
squid (giusto per accertarmi che non avessi mai visitato quel sito) e 
quelli di ethereal, nonché tutti gli altri, e non ho trovato nulla di 
strano, non c'erano, per esempio, strani buchi. Ho ovviamente lanciato i 
soliti tool per scovare eventuali rootkit e l'esito č stato negativo.
Visto quanto sopra, com'č possibile che quel traffico abbia superato il 
NAT di FW e sia arrivato a me?
Grazie in anticipo per eventuali chiarimenti.
-- 
Formerly known as Loric

|NAT di FW e sia arrivato a me?
Per quel che vale, ti dico la mia.
A me è successo una cosa analoga un anno fa circa e dopo aver postato il
problema su comp.security.firewalls dove sono intervenuti vari guru ad
analizzare i log ed addiritturan il sito web che io sospettavo di tentata
intrusione, sono raggiunto alla inaspettata convinzione che non era
accaduto nulla!
In altra parole, per interpretare correttamente i log dei firewall e'
necessaria una competenza di gran lunga maggiore di quanta un utente bene
informato come te crede a prima vista  necessaria.
 
Ora non voglio dire che bisogna fregarsene, anzi, ma che e' facile prendere
cantonate se non si conosce bene la complessità notevele dei protocolli e
tutto quanto ad essi correlato.
A parte questo concione generale, in pratica mi comporto così:
1- faccio conto che il NAT di fastweb non esiste. Se fa qualcosa, tanto
meglio
2- Ho un mio firewall/router hardware con NAT e SPI che mi controlla i
collegamenti. 
3- Ho un firewall software che mi controlla che software va in esecuzione.
Così facendo non ho avuto rogne. Ancora.
(Nota: il log del firewall hardware evidenzia un tentativo di intrusione al
minuto circa, provenienti per lo piu' da fastweb).

Non entriamo in paranoia !!!

 
Non è una questione di paranoia, ma di semplice curiosità. A meno che 
qualcuno non abbia craccato il mio Linux box (e tutti i miei controlli 
dimostrano il contrario), non vedo come quei pacchetti siano stati fatti 
passare dal NAT per poi essere indirizzati a me.
Mi spiego meglio: il NAT riceve un pacchetto dall'esterno, verifica che 
appartenga ad una connessione già in corso (in caso di UDP la cosa è un 
po' meno semplice, ma lasciamo perdere) e, in caso affermativo, cambia 
l'IP di destinazione con quello interno dell'utente FW e lascia passare.
In caso contrario, però, non sapendo che farsene lo deve droppare, 
dubito che il router di FW ci metta un IP a caso (nell'ipotesi il mio IP 
privato) e lo forwardi verso la rete interna.
Ora l'unica spiegazione che mi viene in mente, se si esclude un 
malfunzionamento, è che qualcuno dietro il mio stesso router Fastweb 
(qualcuno di Bologna quindi) abbia spoofato, volontariamente o 
involontariamente, il mio IP privato.


 NAT di FW e sia arrivato a me?
Guarda a me e' succesa una cosa analoga, stavo facendo delle prove con
tcpdump e ho visto che stavo subendo uno scan da un server americano, mi
sono chiesto -Oibò com'è possibile?- 
In realtà navigando avevo aperto un link ad un server il cui webserver
era presente ma non inviava dati e che guarda un pò era proprio quello
che mi scannava, però siccome tcpdump riportava l'ip address dell server
per i pacchetti in ingresso e io in uscita vedevo lo fqdn non me ne sono
accorto per un pò.
Magari anche a te è sfuggito qualcosa del genere? (solo un'ipotesi eh..)
Ciao
P.S.
In che senso i pacchetti UDP provenivano da "un sito web" ?