IP-Blocken, wie geht das?

[aumag]

hallo,

ich scheine folgendes Problem zu haben?!:
Am log-file meiner Firewall sehe ich, das dort einige User (d.h. die gleiche IP-Adresse) GLEICHZEITIG bis zu 10 mal auf meinen Webserver zugreifen - also müsste derjenige GLEICHZEITIG 10 browserfenster aufgemacht haben!
Das Resultat ist doch, das mein Server 10 mal die index.html in Netz bringt.
Wegen Standleitung muß ich aber irgendwann ab dem im Grundpreis inbegriffenen upload für zusätzlichen upload extra bezahlen.
Ich möchte der Telekom nicht unterstellen, das die dahintersteckt, aber bis dato wahren es nur IP-Adressen von denen (über www.all-nettools.com ermittelt).
Im Übrigen schreiben die auch die Rechnung Ende des Monats.

Ich bin hier nur derjenige, der diese dann auch bezahlen muß, habe ÜBERHAUPT keine Ahnung vom Programmieren bzw. installieren!

Vieleicht kann man das Problem folgendermaßen angehen:
Hinter der firewall die Pakete analysieren, die auf den Webserver zugreifen, und alle diejenigen, die mehr als 3mal pro sekunde (oder 2mal) von der gleichen Source-Ip kommen ins devnull schicken? Gleichzeitig ein log-file dieser Adressen anlegen, was man prima auswerten kann!

Wer kann mir weiterhelfen?

grootjes

[Spike05]

Kannst du mir mal den Teil deines logfile posten in der 10 Gleichzeitig darauf zugreifen?? Würde mich interessieren!

cu

Jochen

[aumag]

hallo
<132>2002-09-20 12:22:35 192.168.1.12 NAT: Open tunnel TCP [192.168.4.1/8080]<-[MeinWEB-server/80]<-[2Begr./22967]
<132>2002-09-20 12:22:37 192.168.1.12 NAT: Open tunnel TCP [192.168.4.1/8080]<-[MeinWEB-server/80]<-[2Begr./23141]
<132>2002-09-20 12:22:37 192.168.1.12 NAT: Open tunnel TCP [192.168.4.1/8080]<-[MeinWEB-server/80]<-[2Begr./23146]
<132>2002-09-20 12:22:38 192.168.1.12 NAT: Open tunnel TCP [192.168.4.1/8080]<-[MeinWEB-server/80]<-[2Begr./23210]
<132>2002-09-20 12:22:38 192.168.1.12 NAT: Open tunnel TCP [192.168.4.1/8080]<-[MeinWEB-server/80]<-[2Begr./23246]
<132>2002-09-20 12:22:38 192.168.1.12 NAT: Open tunnel TCP [192.168.4.1/8080]<-[MeinWEB-server/80]<-[2Begr./23250]
<142>2002-09-20 12:22:38 192.168.1.12 FILTER: Received information UDP [192.168.1.1/137]->[192.168.1.12/137] fxp1 l=50
<132>2002-09-20 12:22:39 192.168.1.12 NAT: Open tunnel TCP [192.168.4.1/8080]<-[MeinWEB-server/80]<-[2Begr./23315]
<132>2002-09-20 12:22:39 192.168.1.12 NAT: Open tunnel TCP [192.168.4.1/8080]<-[MeinWEB-server/80]<-[2Begr./23325]
<132>2002-09-20 12:22:39 192.168.1.12 NAT: Open tunnel TCP [192.168.4.1/8080]<-[MeinWEB-server/80]<-[2Begr./23331]
<132>2002-09-20 12:22:39 192.168.1.12 NAT: Open tunnel TCP [192.168.4.1/8080]<-[MeinWEB-server/80]<-[2Begr./23336]
<132>2002-09-20 12:22:39 192.168.1.12 NAT: Open tunnel TCP [192.168.4.1/8080]<-[MeinWEB-server/80]<-[2Begr./23356]
<132>2002-09-20 12:22:39 192.168.1.12 NAT: Open tunnel TCP [192.168.4.1/8080]<-[MeinWEB-server/80]<-[2Begr./23375]
<132>2002-09-20 12:22:39 192.168.1.12 NAT: Open tunnel TCP [192.168.4.1/8080]<-[MeinWEB-server/80]<-[2Begr./23380]
<142>2002-09-20 12:22:39 192.168.1.12 FILTER: Received information UDP [192.168.1.1/137]->[192.168.1.12/137] fxp1 l=50
<142>2002-09-20 12:22:41 192.168.1.12 FILTER: Received information UDP [192.168.1.1/137]->[192.168.1.12/137] fxp1 l=50
<128>2002-09-20 12:22:45 192.168.1.12 NAT: Close UDP [192.168.1.1/3832]->
<128>2002-09-20 12:22:45 192.168.1.12 NAT: Close UDP [192.168.1.1/3832]->
<128>2002-09-20 12:22:45 192.168.1.12 NAT: Close UDP [192.168.1.1/3832]->
<128>2002-09-20 12:22:57 192.168.1.12 NAT: Close tunnel TCP [192.168.4.1/8080]<-[MeinWEB-server/80]<-[2Begr./22967] dur=00:00:23 pkts=7:6 bytes=5291:653
<128>2002-09-20 12:22:58 192.168.1.12 NAT: Close tunnel TCP [192.168.4.1/8080]<-[MeinWEB-server/80]<-[2Begr./23141] dur=00:00:22 pkts=6:5 bytes=2190:643
<128>2002-09-20 12:22:59 192.168.1.12 NAT: Close tunnel TCP [192.168.4.1/8080]<-[MeinWEB-server/80]<-[2Begr./23246] dur=00:00:22 pkts=5:5 bytes=509:588
<128>2002-09-20 12:22:59 192.168.1.12 NAT: Close tunnel TCP [192.168.4.1/8080]<-[MeinWEB-server/80]<-[2Begr./23146] dur=00:00:23 pkts=8:6 bytes=6737:698
<128>2002-09-20 12:23:00 192.168.1.12 NAT: Close tunnel TCP [192.168.4.1/8080]<-[MeinWEB-server/80]<-[2Begr./23336] dur=00:00:22 pkts=5:5 bytes=509:595
<128>2002-09-20 12:23:00 192.168.1.12 NAT: Close tunnel TCP [192.168.4.1/8080]<-[MeinWEB-server/80]<-[2Begr./23250] dur=00:00:23 pkts=5:5 bytes=508:592
<128>2002-09-20 12:23:00 192.168.1.12 NAT: Close tunnel TCP [192.168.4.1/8080]<-[MeinWEB-server/80]<-[2Begr./23380] dur=00:00:22 pkts=5:5 bytes=509:597
<128>2002-09-20 12:23:00 192.168.1.12 NAT: Close tunnel TCP [192.168.4.1/8080]<-[MeinWEB-server/80]<-[2Begr./23356] dur=00:00:22 pkts=5:4 bytes=509:536
<128>2002-09-20 12:23:00 192.168.1.12 NAT: Close tunnel TCP [192.168.4.1/8080]<-[MeinWEB-server/80]<-[2Begr./23331] dur=00:00:22 pkts=5:5 bytes=508:589
<128>2002-09-20 12:23:00 192.168.1.12 NAT: Close tunnel TCP [192.168.4.1/8080]<-[MeinWEB-server/80]<-[2Begr./23315] dur=00:00:23 pkts=5:5 bytes=508:587
<128>2002-09-20 12:23:00 192.168.1.12 NAT: Close tunnel TCP [192.168.4.1/8080]<-[MeinWEB-server/80]<-[2Begr./23210] dur=00:00:24 pkts=5:5 bytes=508:597
<128>2002-09-20 12:23:01 192.168.1.12 NAT: Close tunnel TCP [192.168.4.1/8080]<-[MeinWEB-server/80]<-[2Begr./23325] dur=00:00:23 pkts=5:5 bytes=508:587
<128>2002-09-20 12:23:02 192.168.1.12 NAT: Close tunnel TCP [192.168.4.1/8080]<-[MeinWEB-server/80]<-[2Begr./23375] dur=00:00:24 pkts=5:5 bytes=509:586

Hier mal ein aktuelles log-file GNAT-Box, aus datenschutzgründen möchte ich die unter 2Begr. abgekürzte IP nicht bekannt geben.

[aumag]

Ja Hallo,

Hilfe:rolleyes: bitte

[HangLoose]

hi


aus datenschutzgründen möchte ich die unter 2Begr. abgekürzte IP nicht bekannt geben.

verstehe ich nicht ganz. ich finde in deinem logfile nur ip-adressen aus privatem adressraum.

192.168.4.1/8080 - is wohl dein webserver
192.168.1.12 NAT - deine firewall tip ich mal





Am log-file meiner Firewall sehe ich, das dort einige User (d.h. die gleiche IP-Adresse) GLEICHZEITIG bis zu 10 mal auf meinen Webserver zugreifen

also aus deinem logfile kann ich derartiges nicht herauslesen. :confused:


bestimmte ip-adressen kannst du mit einem entsprechenden eintrag in der firewall blocken


Gruß HangLoose:)

[Jinto]

Man sollte sich auch vor Augen führen, dass es mit der Übertragung einer HTML Seite nicht getan ist. Auf einer Webseite sind auch Bilder, Frames, etc entahlten . das damit ein zusätzlicher connect notwendig wird ergibt sich ja von selbst.

10 gleichzeitige Anfragen hören sich so unrealistisch nicht an....

>Vieleicht kann man das Problem folgendermaßen angehen:
> [...]
Wenn man keine Kunden/Besucher/Whatever haben will, darf man auch keinen Dienst anbieten. Also BEVOR man solche Unterstellungen betreibt, empfiehlt sich vielleicht ein Blick in die gelben Seiten.

nix für ungut und HTH

[Spike05]

Deswegen wollte ich das logfile sehen!

:)

cu

Jochen