Newsgroup: it.comp.reti.locali
Titolo: Router DG834G e disconnessioni, log anomalo [DoS]

Mi stò facendo mandare da un router remoto, i log degli errori, e mi 
arrivano da un paio di giorni, frequenti errori sulla sicurezza:
18:04:09 - UDP Packet - Source:20x.6x.11x.2x,6882 
Destination:7x.2x.2Xx.1xx,20821 - [DOS]
18:04:10 - UDP Packet - Source:8x.4.9x.4x,58180 
Destination:7x.2x.2Xx.1xx,20821 - [DOS]
18:04:10 - UDP Packet - Source:2x.17x.22x.23x,62222 
Destination:7x.2x.2Xx.1xx,20821 - [DOS]
Questi errori ho notato che fanno scollegare il router, da cosa potrebbe 
dipendere? Gli IP destinazioni sono sempre gli stessi invece quelli 
source sono sempre diversi.. info?
Bye e grazie
-- 
psss.: Se vuoi scrivermi in privato,
togli Sir. e cita il messaggio ; ]
[iMac 20" Leo@2,66]

 [iMac 20" Leo@2,66]
Ciao
Il firewall può credere che il tentativo di connessione da parte di un
client in interenet sia un attacco DOS per un paio di motivi almeno,
la porta di destinazione non appartiene a nessun pc della rete locale
o non esiste un portforward, o il numero di tentativi di connessione è
superiore ad un certo valore per secondo.
Per farti un esempio, se hai un port forward per emule quando il
client in rete è connesso ad emule scarica, contemporaneamente altri
client di emule scaricano da quel pc tramite le famose porte di emule
aperte con forward o con UPNP, se all'improvviso spegni il pc a tutti
i client che erano connessi vengono troncate le connessioni, questi
ritentano di riaprirle le connessioni tutti nello stesso momento, il
router si trova con richieste di connessioni su una porta che non
risulta più essere in uso da un pc in lan e prende queste connessioni
come un attacco DOS.
In questa situazione il firewall per proteggersi può smettere di
accettare momentaneamente connessioni in ingresso (ma non disconnette
l'adsl).
Tu dici che si verifica la disconnessione durante gli attacchi, ma
trovi la rinegoziazione del router nei log (dovrebbe riaquisire l'ip)?
Imposta il dg834 perchè ti invii anche giornalmente i log totale così
puoi vedere se è un problema dovuto alla linea adsl, in questo caso
troverai un nomero elevato ri riconnessioni e riassegnazione dell'ip
pubblico dovuto a probremi sulla linea PSTN .
Gli attacchi dos potrebbero segnalare anche un blocco da parte del pc.
(cavo di rete danneggiato, problemi software o causato dal pc verso il
router ad esempio eccesso di connessioni con p2p)
Ciao

 router ad esempio eccesso di connessioni con p2p)
Ti ringrazio x l'esauriente e completa risposta :) però non ho attaccato 
alcunché al router e il log mi arrivano quotidianamente perchè il router 
è sempre acceso.. se avevo dei programmi p2p potevo darti piena ragione, 
ma se non c'è attaccato nulla?
Bye e grazie ancora :)



Cioè capita con il solo router acceso? senza nessun client connesso?
Non hai nessun portforward attivo?
Qualcuno sta usando il tuo router a tua insaputa tramite la wireless?
è spenta o protetta? per esserne sicuro puoi aggiungere una regola nel
firewall ad esempio per la porta 80 in uscita e attivi i log così
nella mail vedi anche tutto l'evventuale traffico http in uscita.
Hai un dyndns attivo?
Dicevi che si verificano delle disconnessioni, nei log trovi la parte
di rinegoziazione dell'adsl, dhcp, server per la
sincro.oraria,ecc....?
Altrimenti può succedere che se il router si disconnette per motivi
dovuti alla rete adsl, alla riconessione acquisisce l'ip che era stato
usato da un'altra macchina precedentemente e fino ad un certo tempo i
client che erano connessi al router dell'altra persona continuano a
cercare di connettersi a quell'ip che però adesso è diventato tuo e
quindi il router segnala DOS.
Ho notato che tutti e tre i tentativi di connessione andati in DOS
puntano sulla porta UDP 20821, non può essere un casi, quei pc
vogliono tutti e tre connettersi a quella porta di qui non ho trovato
traccia tra le porte standard, la porta rimane sempre questa o cambia?
Questo è un log di uno dei dg834 che gestisco:
Tue, 2009-01-06 18:00:01 - Send E-mail Success!
Tue, 2009-01-06 18:14:29 - UDP Packet - Source:XX.XX.XX.XX,XXXX
Destination:XX.XX.XX.XX,13000 - [DOS]
Tue, 2009-01-06 23:40:35 - UDP Packet - Source:XX.XX.XX.XX,XXXX
Destination:XX.XX.XX.XX,13000 - [DOS]
Wed, 2009-01-07 11:26:42 - LCP down.
Wed, 2009-01-07 11:29:27 - Initialize LCP.
Wed, 2009-01-07 11:29:29 - LCP is allowed to come up.
Wed, 2009-01-07 11:29:29 - PAP authentication success
Wed, 2009-01-07 11:29:37 - <DDNS>Update OK: good
Come vedi c'è stato un dos al momento di un doppio riavvio di un
server della rete per manutenzione perchè un client continuava a
connettersi
e alle 11:26 è caduta la connessione adsl per un problema dell'ISP che
è durato qualche minuto.
Ciao

 è durato qualche minuto.
Capito, LCD down me lo da poche volte e in questo log non c'era.. quindi 
mi sa che non si è scollegato a stò punto!!
Bye e grazie mille!
