Verbindung zum www wird nicht getrennt

[cyclone]

Hallo.

Ich habe folgendes Problem. Server Suse 7.2 agiert als Internet-Gateway für 2 Windoof Kisten. Verbindung zum Internet erfolgt über eine zweite Netzkarte per DSL. Mit einem Cron-Job werden alle 3 Stunden Mails von verschiedenen Providern abgefragt. Für den normalen Zugang ist DOD konfiguriert mit einer Idletime von 4 Minuten.

Nun passiert es, dass sich im Abstand von ein paar Tagen die Kiste nicht mehr vom Internet trennt und ich so bis zur nächsten Kontrolle online bleibe. Das kann dann schon mal 10 Stunden dauern.

In den Logs ist zu erkennen, dass alle 30 Sekunden der pppd ein sent/received produziert ( Protokoll LCP ). Normalerweise hat das keine Auswirkung und die Verbindung wird nach der Idletime getrennt, doch manchmal eben nicht.

Hat jemand eine Idee, was das sein kann? Ich möchte den Server schliesslich kontrollieren und selbst entscheiden, wann ich online bin.

Gruß,
Cyclone

[geronet]

Hast du Programme wie WinMX, EDonkey oder andere Napster-ähnliche Teile laufen? Die Server von aussen schicken dir immer wieder Pakete zu, obwohl dein Client schon lange weg ist.
Mein Router bleibt deshalb auch manchmal länger im Netz als er soll..

Grüsse, Stefan

[cyclone]

Nein, solche Programme habe ich nicht im Einsatz. Der Server ist wirklich sehr schlicht gehalten. Es laufen eigentlich nur noch Apache, Squid und Samba. Aus dem Log-File messages geht auch kein Prozess hervor, der die Verbindung aufrecht hält.

Würde eine Prozessauflistung helfen?

[geronet]

Nein, aber eine strikte Firewall die jedes Paket loggt das nicht erlaubt ist. Da erkennt man solche Filesharingtools an den ports (4665, 1214 usw..)

Grüsse, Stefan

[cyclone]

Hi geronet.

OK, ´ne Firewall steht auch noch auf meiner ToDo-List ;) Ist sicherlich das probateste Mittel, um die Verbindung zu kontrollieren. Ist jedoch mangels Zeit noch nicht umgesetzt.

Mich interessiert wie es möglich ist, dass anscheinend ohne Aktivität des Servers eine Verbindung bestehen bleibt, die Idletime quasi ausgehebelt wird. Kannst Du hier meine Kenntnisse auffrischen?

Gruß,
Cyclone

[geronet]

Wenn dir jemand alle 5 Minuten ein Paket schickt, wird der Idletimer wieder auf null gesetzt. Dagegen kannst du gar nichts machen, weil wenn dir jemand per Post immer wieder Liebesbriefe zuschickt wirst du hast du auch keine Möglichkeiten ausser den Briefkasten wegzuschrauben ;)

Eine Lösung wäre ne Firewall und ein Programm das die Firewall überwacht (ein IDS, sowas wie snort), das die Verbindung dann trennt und eine neue IP-Adresse beantragt wenn zuviele Pakete auf Ports hereinkommen, die man nicht braucht.

Grüsse, Stefan

[cyclone]

Na wenn das mal kein anschauliches Beispiel war :D Jut, dann gewinnt die Firewall an Priorität.

Lediglich zum Verständnis: Bin ich durch irgendeinen Scanner gelaufen? Da ich ja eine dynamisch IP erhalte tauge ich doch nicht für eine gezielte Kommunikation, oder wer kann für diese Pakete der Ursprung sein?

Gruß,
Cyclone

[geronet]

Sicher gibt es Scanner im Internet, oder es kann ja sein dass deine IP-Adresse einem Vorbesitzer gehört hatte und der solche Programme verwendet hat..