Dotaz: jak chápat "filtered" ve výpisu nmap?

[Ladislav Nešněra]

Mám debianí server Lenny a nmap mi vrací:

Not shown: 991 closed ports
PORT     STATE    SERVICE
22/tcp   open     ssh
80/tcp   open     http
135/tcp  filtered msrpc
139/tcp  filtered netbios-ssn
179/tcp  filtered bgp
443/tcp  open     https
445/tcp  filtered microsoft-ds
593/tcp  filtered http-rpc-epmap
1720/tcp filtered H.323/Q.931

Text manuál mě ne zcela uklidňuje: "Filtered.means that a firewall, filter, or other network obstacle is blocking the port so that Nmap cannot tell whether it is open or closed."

Nejraději bych tam viděl jen to ssh, http a https. Tušíte někdo, proč tam je ten M$ zavánějící zbytek? Vzhledem k výpisu netstat to nevypadá, že by tam právě něco naslouchalo, ale nemůže se to "vzbudit"? Díky

netstat -lnptu
Aktivní Internetová spojení (pouze servery)
Proto Přích-F Odch-F Místní Adresa          Vzdálená Adresa         Stav      PID/Program name
tcp        0      0 127.0.0.1:3306          0.0.0.0:*               LISTEN      452/mysqld      
tcp        0      0 127.0.0.1:35568         0.0.0.0:*               LISTEN      817/redmine     
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      315/sshd        
tcp6       0      0 :::80                   :::*                    LISTEN      576/apache2     
tcp6       0      0 :::22                   :::*                    LISTEN      315/sshd        
tcp6       0      0 :::443                  :::*                    LISTEN      576/apache2

---

---

Odpovědi

[chrono]

Nie je tam (v iptables/netfilter) nastavené zahadzovanie paketov (DROP) a povolenie len pre určité porty?

[Luboš Doležel (Doli)]

Tohle dělají typicky ISP zoufalí z Windows zombies. Tohle jsou totiž porty, přes které se na Windows často útočí.

[Ladislav Nešněra]

Asi jsem mě ještě zmínit, že to je řešení postavené na OpenVZ a to u vpsfree.cz

Dělám si z toho ten závěr, že bezpečnostní ani funkční obavy mít nemusím. Zjištění, jak se tam zrodilo to "filtered" na M$ porty přesouvám do kategorie všetečných otázek. Nápadně podobný výpis nmap Debin serveru se tu před časem objevil v poradně, tak tomu dám ještě chvilku čas..

[Jakub Lucký]

to jste asi nepochopil, jak to Luboš myslel... S těmahle porty se potká každý, kdo je v síti skenovatele, ne v síti skenovaného... a ve vaší síti se nějaký nešťastný admin snaží vypořádat s botnety...

příklad:

Z domova na server:

PORT    STATE SERVICE
21/tcp   open     ftp
22/tcp   open     ssh
25/tcp   open     smtp
80/tcp   open     http
1720/tcp filtered H.323/Q.931

Ze serveru na server:

PORT    STATE SERVICE
21/tcp  open  ftp
22/tcp  open  ssh
25/tcp  open  smtp
80/tcp  open  http

[Ladislav Nešněra]

Myslím, že k nedorozumění nedošlo. Na diskutovaném serveru jsou dostupné pouze ty otevřené porty, v čemž mě utvrzuje i výpis nmap na localhost (vrací ssh, http a https, což potřebuji). K filtrování dochází někde mezi mou domácí stanicí a serverem, což už je mimo mou kompetenci a nemá to vliv na funkčnost ani bezpečnost.

[pht]

Vzhledem k výpisu netstat to nevypadá, že by tam právě něco naslouchalo, ale nemůže se to "vzbudit"? Díky

Tak si tam dejte vlastní firewall.