Newsgroup: it.lavoro.professioni.webmaster
Titolo: Chiudere porta 53 TCP/UDP sul server ?

A causa di un DOS brasiliano sulla porta 53 che mi esauriva le sessioni del 
firewal mi son trovato a chiudere le porte 53 (tcp/udp).
Domanda: a cosa può portare la chiusura di queste porte sul web server?
Irraggiungibilità o cos'altro... dato che funziona apparentemente tutto 
bene, tranne per il fatto che ora le sessioni sono tornate "tranquille".
Grazie. 

 ha scritto

Ciao, la 53 è usata per le query dns, quindi se il tuo webserver funge, ad 
esempio, da mail server, le email spedite tramite il tuo server non 
arriveranno mai a destinazione. Inoltre il server, per lo stesso motivo, non 
risolvendo i dns, non potrà navigare e quindi scaricare aggiornamenti o 
altro.
Saluti
Anak
softwareE=mc^
2...@netlogica.it
 (eliminare l'eq per risp in prv)
www.netlogica.it
 

> Ciao, la 53 è usata per le query dns, quindi se il tuo webserver funge, ad
Grazie mille, quindi ho capito che al massimo mi conviene bloccare l'IP che
mi crea casini se non voglio crearmene di peggio. ;-)
Domanda: quali sono le porte che devono essere sempre necessariamente 
aperte?
25, 80, 53,113,143, altro?
Ti prego di correggermi se sbaglio.
Grazie ancora!

> Ciao, la 53  usata per le query dns, quindi se il tuo webserver funge,

Come ti si fa a rispondere se non sappiamo il serve a cosa serve?
Le porte che devono essere aperte sono quelle che *devono* essere aperte 
perchè servono.
Se hai paura di attacchi puoi usare una porta non standard per il 
servizio (dove, ovviamente, è possibile - ossia non per servizi come 
SMTP), oppure compri un firewall hardware dedicato che non cada giù con 
un attacco DOS.
Saluti  Manlio Perillo

 un attacco DOS.
Il server è solo per ospitare i siti e la posta, niente di più.
Il firewall zywall c'è già, ma quando son complete le 4000 sessioni ci
saluta e si mette a riposo per un pochetto.

 25, 80, 53,113,143, altro?
dipende dai servizi che eroga il server: per ftp/web e pop3/smtp. Di solito 
abbiamo:
21: ftp
80: http
53: dns
25: smtp
110: pop3
Poi dovresti aggiungere eventualmente quelle per https (443), per mysql, ecc 
ecc


CiaoCiao ha scritto:

se il tuo è solo un server web ti basta tenere aperta la 80/tcp
la 53 non ti serve a niente (a meno che non voglia fornire un servizio dns)
la 25 ti serve? spedisci tramite il tuo server dall'esterno? se si spero 
tu lo faccia in modalità SSL / TLS altrimenti la 25 la puoi chiudere.
110 e 143 servono a ricevere la posta con protocolli differenti, se ti 
servono bene altrimenti chiudi.

 dns)
Ti riporto una risposta che mi hanno dato, mi pare sia contrapposta alla 
tua, come mai?
"Ciao, la 53 è usata per le query dns, quindi se il tuo webserver funge, ad


 alla tua, come mai?
Le porte si possono aprire sia in ingresso che in uscita.
Quindi se vuoi che il tuo server risolva i nomi, deve essere in grado
di connettersi alla 53 tcp/udp altrui. Se vuoi offrire un servizio dns
devi anche consentire agli altri di connettersi alla sua 53 tcp/udp.
-- 
ValeRyo - Yamaha TDM850 "Ushio"
deja mu:
  Serni L. et al., "Deja Mu: The Feeling of Having Heard This
  Same Bull Before", Ann. Soc. Psych., 42, Ithaca Press, 1997
                -- Leonardo Serni

 ad esempio, da mail server, le email spedite tramite il tuo server non
<snip>
occhio, ho idea che tu stia facendo confusione; il termine "chiudere"
una porta (di rete) non basta a definire l'operazione, va anche
specificato
in quale direzione chiuderla; ossia in ingresso (da internet verso il
tuo
server) o in uscita (dal tuo server verso internet); ad esempio per
quanto
riguarda le queries DNS basta permettere il traffico in uscita (dal tuo
server
verso internet) verso la porta 53 (udp e tcp) per essere in grado di
utilizzare
la risoluzione DNS ma NON HA alcun senso invece "pubblicare" la porta
53 permettendone l'accesso in ingresso (da internet)
ciao

Grazie Vale e Obi,
si in realtà quando chiudo le porte (chiedo scusa in effetti n on l'ho 
specificato) lo faccio solo in ingresso per non renderle raggiugibili 
dall'esterno ed evitare attacchi dos e via discorrendo, quindi dalla WAN1 
alla LAN. Poi naturalmente lo Zywall ha altri sistemi di controllo granulare 
ecc.
Allora a questo punto, visto che non faccio ne da server dns, ne da proxy, 
ne da qualsiasi altra cosa diversa dalla posta e dall'http, chiudo 
tranquillamente la 53 in "ascolto".
Grazie ancora per la gentile disponibilità.

 Grazie ancora per la gentile disponibilità.
Y/W
considera facendo un portscan dall'esterno vero un
normale webserver le uniche porte aperte dovrebbero
essere la 80 (http) ed opzionalmente la 443 (https); al
limite anche la 21 (ftp) nel caso in cui si voglia rendere
disponibile tale servizio per l'aggiornamento dei siti
ciao

 chiudo tranquillamente la 53 in "ascolto".
Mi chiedo comunque perchè hanno preso di mira proprio la porta 53, se non 
hai nessun server che la usa.
Non è che forse volevano tentare un attacco al server DNS del tuo router?
Saluti  Manlio Perillo

 router?
Oppure ha effettivamente un dns lasciato aperto e non se n'è accorto
o ancora gli hanno dato da poco un nuovo ip che prima era di un ns
che serviva domini parecchio abusati.
Io parecchio spam lo blocco alla radice con il blocco delle query
ai dns...


> Mi chiedo comunque perchè hanno preso di mira proprio la porta 53
sospetto 
http://www.securiteam.com/securityreviews/5GP0L00I0W.html
ciao

Siete tutti molto gentili, ma ora ho vari grandi puti interrogativi 
conficcati nel cervello: sto andando in overflow! ;-)
Non ho nessun servizio strano installato sul server e l'attacco proveniva da 
2-3 ip non era molto distribuito.
Uno era brasiliano, un altro mi pare americano, e sul terzo non ho indagato, 
ho chiuso la porta 53 in ingresso e amen. ;-)
Quello che mi dava i più grossi problemi era il brasiliano, mi riempiva le 
sessioni del firewall in quattro e quattr'otto, me lo faceva piantare anche 
tutta la notte, solo bannando quell'ip (disgraziato!) avevo quasi 
completamente risolto.

 l'attacco proveniva da 2-3 ip non era molto distribuito.
beh, se hai un DNS ricorsivo attivo sul server e se la
porta 53 era aperta (pubblicando così il server) credo
che l'ipotesi che il DNS venisse usato per un attacco
di tipo "amplification" verso altri servers possa essere
plausibile; a questo punto, se non hai la necessità di
pubblicare il DNS chiudendo la porta 53 in ingresso
dovresti aver risolto il problema
ciao

Grazie ObiWan per la dritta che mi hai molto gentilmente passato.
Dunque, a prescindere che la porta 53 l'ho già chiusa in ascolto, quello che 
scrivi è molto interessante, ha forse a che vedere con questa configurazione 
del server nel pannello di Plesk?
Server > DNS >
Preferenze del DNS
Impostazione della ricorsione del DNS
Consenti ricorsione
(*) Any host
Localnets
Localhost