Dotaz: Packety z vnitrni site za NATem

[Andy]

ahoj, zjistilo se, ze mi utikaji packety z vnitrni site za NAT nevite co s tim??

popis:

AMD64 3000+

aktualizovane Gentoo,kernel 2.6.18r2, iptables v1.3.5

3 bezdratove karty s atheros chipsetem bezici na madwifi-ng 0.9.2

mam 4 podsite v rozsahu 192.168.x.x a na rozhrani do internetu verejnou adresu a utika to z jakekoliv podsite v poctu nekolika malo packetu za hodinu a dela to kdykoli (pri zatizeni i bez)

na stroji bezi qos s htb

podstatne z lsmod:

ip_nat_ftp 4480 0

ip_conntrack_ftp 8912 1 ip_nat_ftp

iptable_nat 8452 1

ip_nat 20012 2 ip_nat_ftp,iptable_nat

ip_tables 21936 3 iptable_mangle,iptable_filter,iptable_nat

x_tables 19144 9 xt_MARK,xt_state,ipt_TOS,xt_tcpudp,xt_limit,ipt_REJECT,ipt_LOG,iptable_nat,ip_tables

vypis z tcpdump na ath0 (rozhrani smer inet)

23:52:29.257029 IP 192.168.x.x.3416 > 194.228.32.118.80: F 301461651:301461651(0) ack 1590532203 win 65535

23:52:31.631943 IP 192.168.x.x.3416 > 194.228.32.118.80: F 0:0(0) ack 1 win 65535

23:52:36.361987 IP 192.168.x.x.3416 > 194.228.32.118.80: F 0:0(0) ack 1 win 65535

23:52:46.017786 IP 192.168.x.x.3416 > 194.228.32.118.80: F 0:0(0) ack 1 win 65535

23:53:05.232423 IP 192.168.x.x.3416 > 194.228.32.118.80: F 0:0(0) ack 1 win 65535

23:53:43.661193 IP 192.168.x.x.3416 > 194.228.32.118.80: F 0:0(0) ack 1 win 65535

23:57:47.356646 IP 192.168.x.x.3437 > 194.228.32.118.80: F 3071293138:3071293138(0) ack 1877889949 win 64723

toto je jen u jedne adresy a u ostatnich je to to same

budu velmi vdecny za jakoukoli odpoved... nemuzu nikde nic najit

moc diky

-nd-

Odpovědi

[Jiří J.]

Tvrdíte tedy (pokud jsem to pochopil), že spousta adres v interní síti za NATem posílá pro vás neidentifikovatelné packety?

$ nslookup 194.228.32.118
notify.seznam.cz
viz. výpis WHOIS RIPE databáze

Podle "notify" hádám, že jde o nějakou featurku od seznam.cz, něco jako "Seznam pošťák" či něco obdobného. Proč to ale používají všichni, to nevím.

[Andy]

asi sem vybral spatnej vzorek:

nejedna se jen o tu adresu na seznam.cz, tech cilovych adres vic

rano sem zrovna umazal ty data, protoze testuju dalsi moznost (rekompiloval sem iptables) tak az tam zase neco bude poslu vzorek adres .

jo jinak jeste sem nenapsal jak NATuju:

iptables -t nat -A POSTROUTING -o ath0 -j SNAT --to verejna adresa

[Andy]

tak doufam ze je vyreseno: za poslednich 5 hodin ani jeden packet takze doufam ze tohle je reseni: zapnuti Default Linux Capabilities v kernelu v sekci Security options

[Andy]

tak to nebylo ono. nema jeste nekdo prosim nejaky napad?

[M]

rad bych ti nejak pomohl, jen netusim jak :/ nemuzes mit chybu v pravidlech firewallu?

[Andy]

Praveze by nemela byt, pouzivam firewall z www.root.cz od pana petricka http://www.petricek.cz/mpfw/ upraveny jen pro me potreby. nakonci je jeste navic skript na ip accounting

diky dnesnim zpravickam (iptables tutorial) jsem nasel toto:

Forwarded packets:

nat POSTROUTING

This chain should first and foremost be used for SNAT. Avoid doing filtering here, since certain packets might pass this chain without ever hitting it. This is also where Masquerading is done.

zkusim ty packety dropovat jak by ste dropovali vy?

[M]

ja osobne mam neco takoveho

$IPTABLES -t nat -A POSTROUTING -o $NETIF -j SNAT --to $NETIP

#forward
$IPTABLES -A FORWARD -i $NETIF -o $LANIF -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A FORWARD -i $LANIF -s ! $LANAREA -j REJECT
$IPTABLES -A FORWARD -i $LANIF -o $NETIF -j ACCEPT
$IPTABLES -A FORWARD -i $NETIF -o $NETIF -j REJECT
$IPTABLES -A FORWARD -i $LANIF -o $LANIF -j REJECT