eDeonkey Penetration

[knoesel]

Hi,
ich habe seit einiger Zeit Probleme mit dem automatischen Trennen der DSL Verbindung, da immer weiter Requests auf eDonkey Port 4662 eintrudeln.
Ich benutze selber kein eDonkey oder eMule und droppe die Packets, dennoch hält dieser "Traffic" meine Verbindung online...

Mal ein Auszug aus dem /var/log/messages:

Jan 11 11:07:09 linux kernel: TFW DROP modem-FIREWALL:IN=ppp0 OUT= MAC= SRC=217.229.85.170 DST=80.133.102.231 LEN=52 TOS=0x00 PREC=0x00 TTL=124 ID=36462 DF PROTO=TCP SPT=3242 DPT=4662 WINDOW=32767 RES=0x00 SYN URGP=0
Jan 11 11:07:29 linux kernel: TFW DROP modem-FIREWALL:IN=ppp0 OUT= MAC= SRC=217.80.127.197 DST=80.133.102.231 LEN=48 TOS=0x00 PREC=0x00 TTL=123 ID=62549 DF PROTO=TCP SPT=65266 DPT=4662 WINDOW=64240 RES=0x00 SYN URGP=0
Jan 11 11:07:51 linux kernel: TFW DROP modem-FIREWALL:IN=ppp0 OUT= MAC= SRC=217.237.75.40 DST=80.133.102.231 LEN=48 TOS=0x00 PREC=0x00 TTL=124 ID=18763 DF PROTO=TCP SPT=1146 DPT=4662 WINDOW=16384 RES=0x00 SYN URGP=0
Jan 11 11:08:12 linux kernel: TFW DROP modem-FIREWALL:IN=ppp0 OUT= MAC= SRC=80.141.127.234 DST=80.133.102.231 LEN=52 TOS=0x00 PREC=0x00 TTL=60 ID=51550 DF PROTO=TCP SPT=3477 DPT=4662 WINDOW=44032 RES=0x00 SYN URGP=0
Jan 11 11:08:33 linux kernel: TFW DROP modem-FIREWALL:IN=ppp0 OUT= MAC= SRC=217.238.64.222 DST=80.133.102.231 LEN=48 TOS=0x00 PREC=0x00 TTL=124 ID=37993 DF PROTO=TCP SPT=3027 DPT=4662 WINDOW=64800 RES=0x00 SYN URGP=0
Jan 11 11:08:53 linux kernel: TFW DROP modem-FIREWALL:IN=ppp0 OUT= MAC= SRC=80.141.127.234 DST=80.133.102.231 LEN=52 TOS=0x00 PREC=0x00 TTL=60 ID=53969 DF PROTO=TCP SPT=3563 DPT=4662 WINDOW=44032 RES=0x00 SYN URGP=0


Benutze SuSE 8.1, die Firewall habe ich mit TurtleFirewall erstellt...
Idle Time ist auf 45 Sekunden gestellt...

:confused:

[geronet]

Jaja das kennen wir alle und da kannst du auch wenig dagegen machen. Sobald du irgendeine blöde IP-Adresse durch Neueinwahl von einem Filesharing-Benutzer bekommst wirst du die Pakete nicht mehr los.

Grüsse, Stefan

[HangLoose]

moin moin

wie geronet schon sagte, gegen die anfragen selbst wirst du nicht viel machen können. es gibt allerdings möglichkeiten diese anfragen aus den logfiles rauszuhalten bzw. einzuschränken.

ich kenne deine eingesetzte firewall nicht und weiß nicht, ob du mit ihr eigene logging regeln definieren kannst. wenn ja sieh dir mal folgenden thread an => http://www.linuxforen.de/forums/showthread.php?s=&threadid=56885&highlight=edonkey+logfiles

eine etwas elegantere lösung wäre der einsatz der iptables erweiterung -m limit. damit hast du die möglichkeit das ausführen eines targets, in dem fall das logging; zeit und mengenmäßig einzuschränken.


Gruß HL

[AndreKramer]

Hallo,
in einem anderen thread wurde auf einem Bericht in der aktuellen C't verwiesen.

Ich hab das ganze mal weiter verfolgt.

Folgende Lösung gibt es für DSL:

- Man braucht Kernel 2.4.x mit aktiven PPP_FILTER ( bei SuSE schon drin)
- Dann neuesten pppd 2.4.1 (http://www.suse.de/de/private/download/updates)
- tcpdump auch installieren, wer nicht hat.
- laut C't in /etc/ppp/options eintragen:

active-filter 'outbound'
active-filter 'not icmp[icmptype] == icmp-unreach'
active-filter 'not tcp[tcpflags] & (tcp-rst | tcp-fin) != 0'

Dann:
rcsmpppd start
rcsmpppd stop

Bei mir kommt dann was mit Parser-Error im logfile (SuSE 7.3) und es läuft nicht.

alternative:

active-filter 'outbound and not icmp[0] == 3 and not tcp[13] & 4 != 0'

Das funzt bei mir, Kiste hat nach Idle 60 aufgelegt trotz vielen P2P anfragen vom Esel.

Ich beobachte weiter, ob das immer so ist.

Viel Glück,

Andre

[cane]

Das ist (wenn man ein aktuelles System hat) die beste Lösung!

Gut das ich die ´ct im Abo hab:D

Ist jedem zu empfehlen

mfg
cane

[knoesel]

Jo!
Vielen Dank für diesen Tip - ich habs vor ein paar Tagen so eingerichtet und es scheint zu funktionieren!!