Re: [gentoo-user-de] [OT] iptables -m state

[Werner Jansen]

On Mon, 27 Sep 2004 18:20:11 +0200
Werner Jansen <jansenw@××××××.edu> wrote:

> Ich nu wieder ...
>
> OT weil nicht gentoo-spezifisch ...
>
> Da ich ja jetzt meinen Rechner neu aufgesetzt habe, bekam auch das
> iptables-Script ne Überarbeitung.
>
> Jetzt hab ich Log-Einträge, die ich mir nicht erklären kann. Gedacht
> ists folgendermaßen:
>
> Connection Tracking mit -m state. Ganz am Anfang des Scriptes steht
> ein Kommando, das Pakete zu bereits erlaubten Verbindungen
> durchläßt. Für jeden erlaubte Verbindung muß nur noch das erste
> Paket (--syn) erlaubt werden (inkl. -m state --state NEW).
> Darüber hinaus habe ich mir noch gedacht, daß ein TCP-Paket, das zu
> keiner dem conntrack bekannten Verbindung gehört und _kein_
> --syn-Paket ist, eigentlich geDROPt werden kann.
>
> Hier die Zeilen aus dem iptables-Script:
>
> STATE="-m state --state NEW"
> LOGNOTICE="LOG --loglevel notice --log-prefix"
>
> # Pakete, die zu erlaubten Verbindungsaufbauten gehoeren,
> durchlassen# Neue Pakete, die keine Verbindung aufbauen, droppen
>    $IPTABLES -N ctrack
>    $IPTABLES -A ctrack -p tcp ! --syn $STATE -j $LOGNOTICE "CTrack
> Unknown: "
>    $IPTABLES -A ctrack -p tcp ! --syn $STATE -j DROP
>    $IPTABLES -A ctrack -m state --state ESTABLISHED,RELATED -j
>    ACCEPT$IPTABLES -A INPUT -j ctrack
>    $IPTABLES -A OUTPUT -j ctrack
>    $IPTABLES -A FORWARD -j ctrack
>
> ====
> Folgenden Log-Eintrag bekomme ich:
> Sep 27 16:12:27 [kernel] CTrack Unknown: IN=eth0 OUT=ppp0
> SRC=10.27.2.22 DST=129.187.254.88 LEN=53 TOS=0x00 PREC=0x00
> TTL=63 ID=19631 DF PROTO=TCP SPT=35389 DPT=119 WINDOW=7504 RES=0x00
> ACK PSH FIN URGP=0
>
> Zu dem Zeitpunkt existierte eine NNTP-Verbindung zum News-Server des
> LRZ München (siehe auch IP-Adresse), insofern wundert mich die bloße
> Existenz dieses Paketes nicht. Solche Pakete sind auch bei anderen
> Diensten (POP3 und IMAP) aufgetreten. Bis jetzt aber nur da.
>
> Was ist an dem Paket komisch, daß es durch das Connection Tracking
> fällt?
> Wenn ich in obigem Script die Zeile mit ESTABLISHED usw. _vor_ die
> anderen beiden stelle, taucht das Paket nicht im Log auf.

Streicht den letzten Satz, er taucht doch auf ... <grummel> aber
wenigstens konsistent :-)


> Wie habe ich so ein Paket zu verstehen?
> Hängt das mit den Flags zusammen? Oder mit dem State?
>
> Hoping For An Answer .. :-)
>
> <aufdemschlauchsteh>
>
> CU
> Werner
>
> --
> gentoo-user-de@g.o mailing list
>

--
gentoo-user-de@g.o mailing list