Dial on Demand Prog/Nutzer feststellen

Hi,
habe über SuSE 6.1 einen kleinen ISDN-Router mit Dial on Demand eingerichtet, was bis jetzt auch ganz gut funktioniert.
In /etc/ppp/ip-up wird die default-route auf ippp0 gesetzt und bei anfragen an Rechner, die nicht in der /etc/hosts wählt sich der Rechner beim Provider ein.
Dummerweise senden irgendwelche Rechner Anfragen an den Linuxrechner, was diesen so ca. alle 10 Minuten zum Einwählen bewegt.
Hat jemand eine Idee, was das sein könnte ??? Windows 95 - Windows 98 SE Clients und Netware 4.2 Server hängen noch im Netz.
Oder wie könnte ich rausbekommen welcher Request die Einwahl verursacht ?
Von den laufenden Prozessen greift meines Wissens nach keiner auf's Internet zu (es sei denn Apache telefoniert nach hause http://www.linuxforen.de/ubb/wink.gif)
Hatte hier was gelesen von wegen NetBios-Anfragen der Win-Clients...wie wäre denn der IPCHAIN-Befehl zum verhindern, daß diese Anfragen masqueraded und geroutet werden ??

Danke an alle schonmal http://www.linuxforen.de/ubb/smile.gif

greetz



------------------
Haegar, der Schreckliche !!!

[LKH]

Hallo haegar,

wer die Anfragen nach aussen verursacht, kannst du leicht in der /var/log/messages nachlesen. Die Einträge sehen dann so aus:

kernel: OPEN: xxx.xxx.xxx.xxx -> xxx.xxx.xxx.xxx TCP, port: 17055 -> 80

Das wahr jetzt eine Anfrage an Port 80 (www). Darauf folgt dann gleich die Einwahl.

Die NetBios-Dienste laufen über die Ports 137-139, tcp und udp.

Eine gute Firewall brauchst du nicht mehr zu konfigurieren, weil die alles sperrt, ausser was explizit erlaubt ist. ;-)

Da ich nicht weiss, wie deine Firewall konfiguriert ist, findest du eine gute Anleitung unter
http://stories.nickles.de/stories/stories.php3?displaypage=1&category=12&story=0009&story_id=57

Hoffe es hilft


------------------
Mit freundlichen Gruessen / Best regards

Leander Kirstein-Heine
--
COMPUTER & | Engelplatz 11 Phone: +49 3641-210.401
NETWORK | D-07743 Jena (Germany, EC) Fax: +49 3641-211.650
CONSULTING | eMail: lkh@cnc-online.net URL: http://cnc-online.net/ (http://www.cnc-online.net/)

Hi LKH,

leider ist in /var/log/messages kein entsprechender Eintrag zu finden http://www.linuxforen.de/ubb/frown.gif
Meine Firewall ist die pmfirewall von pointman.org !
War das bei den alten SuSE-Distris vielleicht irgendwie anders ?

Habe leider keine Zeit mich in die IPCHAINS-Geschichte einzulesen. Denke mal es sollte nur ein Befehl nötig sein, um diese Ports zu sperren. Kann mir den vielleicht jemand posten ?!?!(muss leider zuviele andere Dinge noch machen´ http://www.linuxforen.de/ubb/frown.gif(

Danke schon mal an alle im Voraus http://www.linuxforen.de/ubb/smile.gif

greetz


------------------
Haegar, der Schreckliche !!!

[Tosk]

ich schließe mich der anfrage an:

ich möchte die einwahl generell nicht sperren, ich möchte sie nur nachvollziehen können (weil: die automatische einwahl ist und bleibt mir unheimlich!).

bei mir wird automatisch der service/demon isdnlog gestartet, leider habe ich nicht herausfinden können, ob dieser auch eine log-datei über die verbindungen/verbindungs-dauern anlegt und wo ich diese finden kann. im /var/log war jedenfalls nichts.

Tosk

[Tosk]

ich schließe mich der anfrage an:

ich möchte die einwahl generell nicht sperren, ich möchte sie nur nachvollziehen können (weil: die automatische einwahl ist und bleibt mir unheimlich!).

bei mir wird automatisch der service/demon isdnlog gestartet, leider habe ich nicht herausfinden können, ob dieser auch eine log-datei über die verbindungen/verbindungs-dauern anlegt und wo ich diese finden kann. im /var/log war jedenfalls nichts.

Tosk

[LKH]

Hallo allerseits,

zuerst zur Firewall:
es macht eigentlich keinen Sinn, nur die NetBios-Geschichten zu sperren und den Rest so zu lassen wie er ist. Grundsätzlich sollte man alles sperren und nur das was erlaubt bzw. unumgänglich ist freigeben.

Mit folgendem Script kannst du das erzielte erreichen

#!/bin/sh

# Interne Adressen
INTERNAL=192.168.1.0/24

# Wildcard-Adresse
ANY=0.0.0.0/0

ipchains -A forward -s $INTERNAL -d $ANY 137:139 -p tcp -j DENY
ipchains -A forward -s $INTERNAL -d $ANY 137:139 -p udp -j DENY

Jetzt zum isdn.log. Bei unseren SuSEn findet sich das log unter /var/log/isdn.log. Da steht allerdings nur drin, wann mit wem oder von wem (MSN) eine Verbindung mit welchen Kosten aufgebaut wurde. Welcher Rechner im Netz das war, kann man damit nicht feststellen. Das steht definfitiv in der /var/log/messages. Wem das zuviel zum lesen ist, der kann sich das herausgreppen.

Hoffe es hilft,

------------------
Mit freundlichen Gruessen / Best regards

Leander Kirstein-Heine
--
COMPUTER & | Engelplatz 11 Phone: +49 3641-210.401
NETWORK | D-07743 Jena (Germany, EC) Fax: +49 3641-211.650
CONSULTING | eMail: lkh@cnc-online.net URL: http://cnc-online.net/ (http://www.cnc-online.net/)

[Dieser Beitrag wurde von LKH am 27. März 2001 editiert.]

[Dieser Beitrag wurde von LKH am 27. März 2001 editiert.]