1 Тема от gebs9999 (17.01.2012 13:29:30 отредактировано gebs9999)

  • gebs9999
  • Посетитель
  • Неактивен
  • Зарегистрирован: 17.01.2012
  • Сообщений: 2
  • Репутация : [ 0 | 0 ]

Здравствуйте, дорогие линуксоиды)) Возникла существенная проблема и я надеюсь Вы мне поможете с ней справится.
У меня на машине стоит Fedora 15 KDE.
Интернет провайдер Yota.
На хосте стоит какая-то Unix система.

Итак, проблема такова:
Администрируя свой сайт, либо просто заходя на него, через 5-15 мин. файрвол хоста банит мой IP.
Мне они объяснили это тем, что я якобы сканирую их порты и файрвол автоматом меня блочит. А из-за того, что ip динамический они не могут добавить меня в whitelist (Разве что добавить весь диапазон айпишников йоты в исключение, на что они не пойдут. А я ответил, что абсолютно не против. Естественно меня послали  :o  ... да и я бы послал предложи мне кто такое  ag ). Лазил, копался, так и не понял что с моей машины может их сканить. Дошел до того, что проверил на вирусы и руткиты   :lol:   проверял комендами: clamscan -r /, chkrootkit ,rkhunter -c (естественно ничего не нашло). Подскажите пожалуйста в чем же дело, что за "подсадная утка" у меня в системе? Может это я из-за неопытности (только недавно с Linux'ом дружить начал и до этого момента мы не ссорились) или незнания что-то не сделал/проверил/остановил/запустил/удалил/установил/...?
Что вообще в таких ситуациях нужно сделать/проверить/остановить/запустить/удалить/установить/...?

PS: Недавно все началось. Неделю назад ещё все было OK.

2 Ответ от Lupo Alberto

  • Откуда: Беларусь, Гомель
  • Зарегистрирован: 04.07.2010
  • Сообщений: 11,183
  • Репутация : [ 571 | 8 ]

Как вариант: можно попробовать с помощью iptables на вашем компьютере логировать все исходящие соединения.
P.S. Кроме объяснений хостеры какие-либо логи, подтверждающие сканирование, предоставили?

Был, был и весь вышел...
+ gebs9999

3 Ответ от gebs9999

  • gebs9999
  • Посетитель
  • Неактивен
  • Зарегистрирован: 17.01.2012
  • Сообщений: 2
  • Репутация : [ 0 | 0 ]

Нет, логи предоставлены не были. Думаете это необходимо? Ведь блочит только меня. Сказали, что у них такого ещё не было.
А не подскажете какие параметры для этой команды нужно указать, чтобы вести лог исходящих соединений?

я использовал iptables -t filter -nL. Мне выдало:
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED
ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           
REJECT     all  --  0.0.0.0/0            0.0.0.0/0           reject-with icmp-host-prohibited
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:3306
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:80

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
REJECT     all  --  0.0.0.0/0            0.0.0.0/0           reject-with icmp-host-prohibited

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination 

Но что-то мне подсказывает, что это не та информация которая необходима  smile

4 Ответ от Lupo Alberto

  • Откуда: Беларусь, Гомель
  • Зарегистрирован: 04.07.2010
  • Сообщений: 11,183
  • Репутация : [ 571 | 8 ]

Выполните что-либо вроде

iptables -I OUTPUT -j LOG --log-prefix "TEST_LOG "

Затем, в зависимости от используемого вами системного логгера, пропарсить его вывод.

tail -f /var/log/everything/current | grep TEST_LOG

P.S. Все приведённые команды весьма приблизительны.

Был, был и весь вышел...

5 Ответ от Lupo Alberto

  • Откуда: Беларусь, Гомель
  • Зарегистрирован: 04.07.2010
  • Сообщений: 11,183
  • Репутация : [ 571 | 8 ]
gebs9999 пишет:

Нет, логи предоставлены не были. Думаете это необходимо? Ведь блочит только меня. Сказали, что у них такого ещё не было.

Я одно время сталкивался с проблемами при подключении к Интернету, и всякий раз техподдержка предлагала мне «переустановить винду».
С логами, если проблема действительно на вашей стороне, проще искать источник сканирования.

Был, был и весь вышел...

6 Ответ от Fat-Zer

  • Fat-Zer
  • Пользователь
  • Неактивен
  • Откуда: Москва
  • Зарегистрирован: 14.10.2010
  • Сообщений: 4,977
  • Репутация : [ 256 | 6 ]

ещё тоже самое можно посмотреть wireshark'ом... ИМХО удобней.

95% процентов проблем находятся между клавиатурой и стулом.

7 Ответ от Lupo Alberto

  • Откуда: Беларусь, Гомель
  • Зарегистрирован: 04.07.2010
  • Сообщений: 11,183
  • Репутация : [ 571 | 8 ]
Fat-Zer пишет:

ещё тоже самое можно посмотреть wireshark'ом... ИМХО удобней.

Если нужно лишь установить сам факт сканирования, то достаточно iptables, для более детального разбора, разумеется, лучше использовать wireshark.
...но в нём ещё разобраться надо  oO

Был, был и весь вышел...

8 Ответ от drBatty

  • drBatty
  • drBatty
  • Пользователь
  • Неактивен
  • Откуда: Петербург
  • Зарегистрирован: 20.02.2010
  • Сообщений: 17,053
  • Репутация : [ 451 | 73 ]
gebs9999 пишет:

Нет, логи предоставлены не были. Думаете это необходимо?

да. Скорее всего криво настроен их шлюза, и принимает нормальную работу за сканирование. По логу станет понятно в чём проблема.

Карусель разнесло по цепочке за час
Всех известий — конец
Да, весна началась!
(всё к лицу подлецу, как родному отцу, не рассказывай, батя, и так всё пройдёт)