Newsgroup: it.comp.sicurezza.unix
Titolo: Ma come lo hanno configurato?

Ho provato a fare un ifconfig dall'interno di una macchina (server di
posta) del mio "provider" ed ho trovato la seguente configurazione
(modificando gli ip per la privacy, e tagliando sulla loopback)
eth0      Link encap:Ethernet  HWaddr 00:10:4B:89:96:00
          inet addr:147.162.1.10  Bcast:147.162.1.255  Mask:255.255.255.0
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1 RX
          packets:322520988 errors:0 dropped:0 overruns:2 frame:0 TX
          packets:539729557 errors:0 dropped:0 overruns:0 carrier:197
          collisions:3672130 txqueuelen:100
          Interrupt:10 Base address:0xb400
)    Link encap:Ethernet  HWaddr 00:10:4B:89:96:00
          inet addr:147.162.1.82  Bcast:147.162.1.255  Mask:255.255.255.0
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1 Interrupt:10
          Base address:0xb400
stessa scheda di rete fisica, stessa mashera di sottorete, due ip diversi
entrambi che rispondono al ping dalla mia macchina. L'ifconfig l'ho fatto
dopo essere entrato tramite ssh sul primo ip (quello relativo ad eth0), il
secondo ip (quello relativo ad eth0:0) ha come porta aperta solo la porta
comandi ftp. Se faccio dalla mia macchina a qualsisi dei due ip un
traceroute questo si ferma all' 147.162.199.38 che immagino quindi sia una
macchina che faccia da firewall (e che apparentemente ha come porta aperta
solo la 23 non la 22) tra la mia macchina ed il server di posta. A questo
punto non penso che sia l'host che fa da server di posta ad avere una sola
scheda di rete con due ip e stessa subnet mask (che per quanto ne so e'
impossibile) ma che ci sia qualche "trucco" dovuto al firewall che sta in
mezzo, magari con qualche port forwarding o consimile, immagino anche che
tale configurazione del firewall sia ben nota: qualcuno sa dirmi il nome?
Grazie per
l'attenzione,
b.

Ho provato a fare un ifconfig dall'interno di una macchina (server di
posta) del mio "provider" ed ho trovato la seguente configurazione
(modificando gli ip per la privacy, e tagliando sulla loopback)
eth0      Link encap:Ethernet  HWaddr 00:10:4B:89:96:00
          inet addr:147.162.1.10  Bcast:147.162.1.255 
Mask:255.255.255.0
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1 RX
          packets:322520988 errors:0 dropped:0 overruns:2 frame:0 TX
          packets:539729557 errors:0 dropped:0 overruns:0 carrier:197
          collisions:3672130 txqueuelen:100
          Interrupt:10 Base address:0xb400
eth0:0    Link encap:Ethernet  HWaddr 00:10:4B:89:96:00


Ho provato a fare un ifconfig dall'interno di una macchina (server di
posta) del mio "provider" ed ho trovato la seguente configurazione
(modificando gli ip per la privacy, e tagliando sulla loopback)
eth0      Link encap:Ethernet  HWaddr 00:10:4B:89:96:00
          inet addr:147.162.1.10  Bcast:147.162.1.255 Mask:255.255.255.0
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1 RX
          packets:322520988 errors:0 dropped:0 overruns:2 frame:0 TX
          packets:539729557 errors:0 dropped:0 overruns:0 carrier:197
          collisions:3672130 txqueuelen:100
          Interrupt:10 Base address:0xb400
eth0:0    Link encap:Ethernet  HWaddr 00:10:4B:89:96:00
          inet addr:147.162.1.82  Bcast:147.162.1.255 Mask:255.255.255.0
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
	  Interrupt:10 Base address:0xb400
quindi stessa scheda di rete fisica, stessa mashera di sottorete, due ip


 quanto ne so e' impossibile)
E perche' dovrebbe essere impossibile? E' sicuramente cosi', dai dati
che hai prodotto: come potrebbe una qualsiasi configurazione della
rete tra te e il server modificare l'output di ifconfig? Ragionevolmente,
intendo dire.
Fabio

 intendo dire.
Grazie mille per la lucida e tranquilla risposta. Si vede che hanno fatto
recentemente delle modifiche sul server di posta per attivare un ftp
virtuale sul secondo ip ed hanno messo su sta macchina in mezzo che taglia
gli icmp per motivi loro e del tutto lecitissimi. Avevo avuto una brutta
giornata e tutti questi cambiamenti mi avevano provocato un attacco di
paranoia che mi ha fatto addirittura baluginar l'idea che il mio traffico
venisse spedito sulla macchina di mezzo e che questa simulasse il server
di posta. Piuttosto fantascientifico lo ammetto. 
Stammi bene,
b.

 gli icmp per motivi loro e del tutto lecitissimi.
E' una cosa molto frequente filtrare certi icmp e i traceroute. Non
e' detto che quella macchina l'abbiano messa su successivamente:
probabilmente e' uno dei loro border router su cui hanno impostato un
filtro per droppare il traffico con certe caratteristiche. Se sei
curioso puoi provare un traceroute usando tcp o udp o puoi provare
con record route (se passa e sei abbastanza vicino).
Ciao
Fabio