Forum Debian Users Gang

w lanie kompy komunikuja sie za pomoca mac'a no i nie wiem czy w naglowku pakietu docierającego do mojego kompa od intruza z lanu bedzie moj ip czy tez nie i w zwiaazku z tym czy regulka moze okazac sie nie przydatna:)?

... Ale tylko w drugiej warstwie przesylajac realnie ramki - owszem mozesz uzyc tez jej tylko (np jadac ARPINGiem ) ale jesli do Ciebie przychodzi jakis pakiet IP to musi on miec podane w naglowku ADRES IP docelowy. Zreszta watpliwosci moze rozwieje Ci lookniecie do RFC - http://abcdrfc.free.fr/rfc-vf/rfc791.html :)

iptables -A INPUT -i eth0 -d moj_ip_wew -j LOG --log-level debug --log-prefix OOOOOO

Tam , mysle ze to bedzie mialo sens  choc mozesz dodac -m state i tu wyciac ESTABLISHED RELATED .... albo explicite dodac SYN , jako match ktory bedzie logowany. Jednak wtedy nie dostaniesz pakietow NEW but not SYN marked. Czyli wielu ciekawych informacji o misiach :)

Do lapana tych ostatnich pakietow uzylbym :
$IPTABLES -A INPUT -p tcp ! --syn -m state --state NEW -j LOG
--log-prefix "New not syn:"

oraz oczywiscie je dropowal potem :
$IPTABLES -A INPUT -p tcp ! --syn -m state --state NEW -j DROP

sorry za pewna haotycznosc mojej odpowiedzi, ale siedze w pracy i dopisuje w miare jak moge :)

Pozdrawiam

Jesli chcesz jeszce logowac kazde rozpoczescie (nawiazanie ) polaczenia musisz jeszcze logowac pakiety z SYN'em
JA bym osobiscie szczegolnym zainteresowaniem oblozyl (jakis mily prefix w logu) te pakiety ktore np mialy spoofowany source ip ...

Pozdrawiam

Fenx Wam:)

Ręczne przeglądanie komunikatów iptables to nędzne zajęcie. Do tego zainstaluj PSAD.

OK na przykladze pierwszego :

Nov 16 12:59:06 localhost kernel: Jakis prefixIN=eth0 OUT= MAC=00:30:4f:1b:8c:7c:00:30:4f:26:c6:a5:08:00 SRC=192.168.9.95 DST=192.168.11.4 LEN=48 TOS=0x00 PREC=0x00 TTL=128 ID=46962 DF PROTO=TCP SPT=3642 DPT=445 WINDOW=16384 RES=0x00 SYN URGP=0

przez <uroczy interface> eth0 zawedrowal do ciebie pakiet z karty o MACu {MAC] z IP 192.168.9.95 o dlugosci 48 Bajtow bez ustawionego TOSa. TTL mowi nam jakoby ten komp (winda ) stal w tej samej podsieci tco twoj, ale skoro sa rozne adresy sieci (zakladam ze stosujecie maske 255.255.255.0) to znacyz ze albo na routerze k
KTOS mu dodal 1 do TTLa ,albo pakiet ma zespoofowane source IP ...
Dalej czytamy - numer (fragm) pakeitu, oraz ze to byl pakie TCP typu SYN a po porcie mozemy przyjac ze ktos probowal sie do ciebie dostac na sambe (Winnet) albo (nie pamietam dokladnie specyfikacji NETBEUI cyz moze to sama Winnet sobie rozsyla tego typu pakiety ...

Tyle na szybko , i przed zasnieciem  :)
Pozdrawiam

Nie za maco :)...i tak dane podane przeze mnie byly niekompletne :)
I tak np. Pola PREC i TOS maja zmienne w historii znaczenie , kiedys stosowano je do wyznaczania Typpe of Service (i tka naprawde do pewnej priorytetyzacji ppakietow w kolejkach routingu ) Niemniej wiekszosc dzisiejszych routerow nie zwraca na nie uwagi . Zreszta od dawna juz istnieje (RFC 1349) koncepcja zastapienia pol TOS i PREC (czyli pierwszych 6ciu bitow drugiego oktetu naglowka IP) z jednym polem DSCP w ktorym obowiazuje inny podzial na pola: DS ECN ...  Taka niekompaybilnosc ma tez swoje skutki w niektorych bledach generowancyh przez pewne typy routerow. Ale to juz zupelnie inna sprawa.

Pole URGP to tzw. flaga Urgent , wlasciwie juz nie uzywany znacznik
ktory nakazuje przepchnac routerowi kpakiet nawet jesli wyjkracza on poza mozliwosci lacza (tzw. bandwith). Niemniej z racji niewystepowania we wszystkich implementacjach protokolow, jest prawie nie uzywany. Stad domyslna wartosc "=0"

"For more " look at http://www.faqs.org/rfcs/rfc1001.html and www.netfirter.org (especially categorie FAQ/manual) - np zeby sie dowiedziec nt paru skrotow ktorych nie rozszyfrowalem Ci tu na razie ...


Pozdrawiam