Início / unix / Perguntas / 772788
Accepted
user1636349
Asked: 2024-03-21 03:27:26 +0800 CST

Tentando entender as mensagens de log do iptables

  • 772

Eu configurei o iptables para registrar o tráfego de saída de todos, exceto um conjunto limitado de usuários, e estou tentando entender as mensagens de log que isso produz. Olhando para/var/log/syslog, vejo solicitações de 127.0.0.1 a 127.0.0.53 (pesquisas de DNS?) E algumas para 224.0.0.22 que se parecem com isto:

IN= OUT=wlp2s0 SRC=10.100.102.200 DST=224.0.0.22 LEN=40 TOS=0x00 PREC=0xC0 TTL=1 ID=0 DF PROTO=2 MARK=0x94

que é um endereço multicast... alguma idéia do que estaria causando isso?

Finalmente, tenho vários parecidos com este, que parecem ser solicitações ICMP enviadas para vários lugares ao redor do mundo:

IN= OUT=wlp2s0 SRC=10.100.102.200 DST=151.80.9.69 LEN=138 TOS=0x08 PREC=0xC0 TTL=64 ID=26846 PROTO=ICMP TYPE=3 CODE=3 [SRC=151.80.9.69 DST=10.100.102.200 LEN=110 TOS=0x08 PREC=0x40 TTL=51 ID=48812 DF PROTO=UDP SPT=27209 DPT=8083 LEN=90 ]

Mas o que realmente me intriga é a parte entre colchetes ( SRC=151.80.9.69 PROTO=UDP SPT=27209 DPT=8083). Significa que o pacote ICMP é uma resposta a uma solicitação UDP para a porta 8083? Devo me preocupar com a possibilidade de uma possível intrusão (ou tentativa de intrusão)? E se sim, há algum motivo pelo qual eu não deva bloquear todo o tráfego UDP de entrada? (Eu só tenho servidores web escutando nas portas 80 e 443, e nenhuma outra porta está aberta - eu verifiquei e verifiquei novamente isso.)

Grato por qualquer ajuda para entender o que estou vendo aqui ...

iptables

1 respostas

  1. Best Answer

    Respostas separadas para perguntas separadas

    • 224.0.0.22é o endereço multicast para IGMP , que permanece na sua rede local

    • 127.0.0.53é o systemdresolvedor DNS

    • Seus PROTO=ICMP TYPE=3 CODE=3pacotes de saída são respostas " Porta inacessível " às tentativas de 151.80.9.69enviar uma mensagem UDP para 10.100.102.200uma porta8083

      Para que o tráfego chegue 10.100.102.200ao udp/8083servidor deve ser acessível através de NAT e encaminhamento de porta. Ou porque você costumava executar um serviço udp/8083e o NAT ainda não expirou, apesar de você não estar mais executando esse serviço (apenas uma questão de segundos ou minutos), ou porque você tem um encaminhamento de porta estático através de sua camada NAT.

    • 0

relate perguntas