Dotaz: SSH server nezalogoval ip klienta ale routra

[Peter]

Dobrý deň vám prajem.

Stala sa mi taká zvláštna vec - vo večernom logwatch som našiel záznam o tom, že som sa pripojil na ssh server z ip adresy 192.168.1.250 čo je ip routera.

Sieť mám úplne jednoduchú. Kábel od ISP ide do routera (Asus RT-N16 s Olegovým firmwarom - myslím ten fork čo je na https://code.google.com/p/wl500g/), ten natuje, routruje, robí dhcp server a má ip 192.168.1.250 a potom je už vnútorná sieť, ktorá mimo iné má centos server s ip 192.168.1.254 a android tablet s ip 192.168.1.93.

Nahliadol som teda do /var/log/secure a vážne tam bol tento záznam, pričom som podľa času zistil, že to bolo legálne moje spojenie (vlastne v ten deň jediné) a aj viem na 100%, že to bolo z android tabletu (na ktorom mimochodom používam VX ConnectBot) - upozornujem, že z toho tabletu som sa pripájal už asi tak milionkrát a všetko bolo OK a aj ďalšie spojenia boli OK. Samotný ssh klient nemal žiadne pripomienky čo sa týka zmeny razítka, takže MITM by som asi vylúčil (no teda dúfam, že v tomto problém nie je). Na tom serveri mi beží aj DNS server (s internal aj external zónou), teda vo vnútri siete mi server prekladá adresu ssh.domain.tld na 192.168.1.254 a vonku na internete samozrejme na 1.2.3.4. Jediné čo ma napadá, je že sa niečo udialo s DNS (ten router má natvrdo nastavený pre DHCP ako DNS2 svoju ip adresu), ale čo sa ďalej dialo s paketom, že sa nakoniec identifikoval ako 192.168.1.250 a nie ako 192.168.1.93 absolútne netuším.

Napadá niekoho modelová situácia, že čo sa mohlo vlastne udiať?

Veľmi pekne ďakujem za odpovede.

---

---

Odpovědi

[ma]

Kdyz se pripojujes na server zpoza NATu tak server nikdy nevidi realnou IP. Vidi jenom IP routeru ktery to NATuje. DNS s tim nema co delat.

[Peter]

Ale ja nie som vo vnútornej sieti za natom. Všetky 3 zariadenia sú na jednom switchy a v sieti 192.168.1.0/24. Apropo do tohto incidentu a aj po tomto incidentne mi server pri spojení správne zaloguje ip tabletu (192.168.1.93), len v tomto konkrétne jedinom prípade zalogoval 192.168.1.250 aj ked som sa reálne pripájal z tabletu tak ako po X krát pred tým.

[MMMMMMMMM]

Napadá mě jedna věc - že jsi pro přístup použil veřejnou IP routeru a pokud tam máš pravidlo pro forward do vnitřní sítě na ten ssh tak to pak šlo přes NAT routeru a tím pádem je tam IP routeru.

Vše záleží od nastavení - některé přijímají pakety na lan rozhraní s IP co je na wan některé ne, záleží jaké jsou pravidla v iptables.

Takže záleží který DNS ti odpověděl dřív a jakou IP poskytl - pokud DNS z internetu tak tam budeš mít zadanou veřejnou IP routeru.

[Peter]

Ano, presne v tom bol problém - už som na to prišiel aj sám. Ale aj tak obdivujem tebe podobných ľudí, kde si zohnal tú krištáľovú guľu? Dakujem.

[Petr Šobáň]

Praxe.....

Samozřejmě někdy to nevyjde, vše musí potvrdit zda to tak skutečně bylo pouze uživatel co k tomu stroji má přístup.