Linux за българи: Форуми

Здравейте,
Преди няколко часа инсталирах slackware10.0 ,на машината на един приятел. Всичко си мина по учебник. Инсталирах му usb модема за гнусния adsl. И всичко заработи чудесно. Седнахме да пийнем по една биричка, когато забелязах, че лампичката на модема не спира да мига... Стана ми много странно и реших да видя какво толкова се влачи по мрежата. И ето какво видях:

Примерен код

Wed Mar  9 01:23:55 2005; TCP; ppp0; 48 bytes; from 83.35.158.60:1134 to 81.33.58.119:4662; first packet (SYN) Wed Mar  9 01:23:55 2005; TCP; ppp0; 40 bytes; from 81.33.58.119:4662 to 83.35.158.60:1134; Connection reset; 1 packets, 40 bytes, avg flow rate 0.00 kbits/s; opposite direction 1 packets, 48 bytes; avg flow rate 0.00 kbits/s Wed Mar  9 01:23:55 2005; TCP; ppp0; 48 bytes; from 81.61.188.33:50253 to 81.33.58.119:4662; first packet (SYN) Wed Mar  9 01:23:55 2005; TCP; ppp0; 40 bytes; from 81.33.58.119:4662 to 81.61.188.33:50253; Connection reset; 1 packets, 40 bytes, avg flow rate 0.00 kbits/s; opposite direction 1 packets, 48 bytes; avg flow rate 0.00 kbits/s Wed Mar  9 01:23:56 2005; TCP; ppp0; 52 bytes; from 81.33.58.119:32855 to 195.96.224.121:80; FIN sent; 9 packets, 1683 bytes, avg flow rate 0.00 kbits/s Wed Mar  9 01:23:56 2005; TCP; ppp0; 52 bytes; from 195.96.224.121:80 to 81.33.58.119:32855; FIN acknowleged Wed Mar  9 01:23:57 2005; TCP; ppp0; 48 bytes; from 62.42.7.48:2668 to 81.33.58.119:4662; first packet (SYN) Wed Mar  9 01:23:57 2005; TCP; ppp0; 40 bytes; from 81.33.58.119:4662 to 62.42.7.48:2668; Connection reset; 1 packets, 40 bytes, avg flow rate 0.00 kbits/s; opposite direction 1 packets, 48 bytes; avg flow rate 0.00 kbits/s Wed Mar  9 01:23:57 2005; TCP; ppp0; 48 bytes; from 62.42.7.48:2668 to 81.33.58.119:4662; first packet (SYN) Wed Mar  9 01:23:57 2005; TCP; ppp0; 40 bytes; from 81.33.58.119:4662 to 62.42.7.48:2668; Connection reset; 1 packets, 40 bytes, avg flow rate 0.00 kbits/s; opposite direction 0 packets, 0 bytes; avg flow rate 0.00 kbits/s Wed Mar  9 01:23:57 2005; TCP; ppp0; 48 bytes; from 83.40.175.131:3300 to 81.33.58.119:4662; first packet (SYN) Wed Mar  9 01:23:57 2005; TCP; ppp0; 40 bytes; from 81.33.58.119:4662 to 83.40.175.131:3300; Connection reset; 1 packets, 40 bytes, avg flow rate 0.00 kbits/s; opposite direction 1 packets, 48 bytes; avg flow rate 0.00 kbits/s Wed Mar  9 01:23:58 2005; TCP; ppp0; 48 bytes; from 83.35.158.60:1134 to 81.33.58.119:4662; first packet (SYN) Wed Mar  9 01:23:58 2005; TCP; ppp0; 40 bytes; from 81.33.58.119:4662 to 83.35.158.60:1134; Connection reset; 1 packets, 40 bytes, avg flow rate 0.00 kbits/s; opposite direction 1 packets, 48 bytes; avg flow rate 0.00 kbits/s Wed Mar  9 01:23:58 2005; TCP; ppp0; 40 bytes; from 81.33.58.119:4662 to 62.42.7.48:2668; Connection reset; 1 packets, 40 bytes, avg flow rate 0.00 kbits/s; opposite direction 2 packets, 96 bytes; avg flow rate 0.00 kbits/s

 
Въпроса ми е какво слуша на тези портове 4662 и 4672. Лично аз нямам спомен да съм пускал каквото и да е на тези портове. Инсталацията е съвсем нова. От къде може да идват тези гнусни пакети и как мога да ги филтрирам :-/

Какво дава

netstat -ntap

Филтрация с iptables прим.

Като гледам нищо не слуша на тия портове.

Иначе:

iptables -I INPUT 1 -p tcp --dport 4662 -j DROP

и още:
http://www.grc.com/port_4672.htm
http://www.seifried.org/security/ports/4000/4662.html
http://www.emule-project.net/home....w_topic

Аз имам един хипотетичен въпрос:
Наложително ли е да се филтрират портове, които не са (и евентуално никога няма да бъдат) отворени и по-важното е ЗАЩО?
Благодаря предварително за всеки съдържателен отговор

Малии какви обяснения  пускам....ужас. Дано си ми разбрал мисълта.

Много мерсита за бързите отговори,
До колкото схванах, на тези портове слушат някакви пер то пер клиенти/демони. Странното в случея, е че аз не съм пускал такива ?!
Дано това с ипетаблес помогне  

...Защо ли като гледам "примерните" неща по-горе си мисля, че става въпрос за други машини, не за твоята
извадчица:
... from 81.33.58.119:4662 to 62.42.7.48:2668 ...
при положение, че от нетстата ти става ясно, че ип-то ти е 83.33.133.45. Както се вижда, dude where's my car т.е. другите хора, който ползват broadband по същия кабел виждаш и техни неща и се бъркаш нещо мн. здраво. Иначе бих ти препоръчал да си направиш защитна стена по начина, описан малко по-горе, той деиствително е най-добрия, но в някой случаи е неприложим... примерно при някой p2p програми...
А, за iptables: RTFM, има го описано поне в няколко howto-ta как се работи с него (network, firewall, ...) и питай гугъл - дава мн добри резултати като този: http://www.siliconvalleyccie.com/linux-hn/iptables-intro.htm например.

За jmut: спор няма, че прави ли се Firewall за запушва всичко и след това се отварят само необходимите неща

Но в моя случай няма отворени портове на ethX, така че има ли смисъл от пускането на Firewall, когато нямаш отворени портове

Ето резултата от netstat, за да не съм голословен:

Цитат

$ netstat -tul Active Internet connections (only servers) Proto Recv-Q Send-Q Local Address           Foreign Address         State       tcp        0      0 localhost:2000          *:*                     LISTEN

Малко пояснение: localhost = 127.0.0.1, което не се меси с ethX, така че к`вото и допълнително внимание да му обръщам ще е излишно - така си е повече от secure
А относно "кое кога ще тръгне и къде ще иска да слуша" - нали затова съм избрал Linux пред Windows, за да определям АЗ как да стават нещата    

@spawnman

Цитат (spawnman @ Март 09 2005,08:20)

Аз имам един хипотетичен въпрос: Наложително ли е да се филтрират портове, които не са (и евентуално никога няма да бъдат) отворени и по-важното е ЗАЩО? Благодаря предварително за всеки съдържателен отговор

Хипотетично, ако получаваш 1Мбит/сек SYN пакети това ти изяжда канала

Когато направиш DROP, всъщност не връщаш АБСОЛЮТНО никакъв отговор (иначе отговаряш, че порта е затворен), така че можеш САМО да се надяваш, че SYN flood-a евентуално ще спре (или поне няма да връщаш 1Мбит обратно). Друг е въпросът, че в някои случаи е точно обратното - докато не кажеш "порта е затоврен" flood-a не спира....

Изобщо оправия със SYN flood-a няма

Адресите на доставчика ти се раздават динамично, т.е. в повечето случаи получаваш различно от предишното ти айпи. Така, да предположим, че юзър Х е получил адрес Х.У.Х.У, пуснал е пиър-ту-пиър клиент, някой е започнал да сваля нещо от него, но изведнъж юзър Х решава да рестартира модемът си или компютърът си (говоря много хипотетично) и точно в този момент това айпи е свободно в пула на доставчика. Ти правиш връзка към доставчика и той ти предоставя случайно айпито Х.У.Х.У за ползване.  Всички, които са сваляли несто от юзер Х, се опитват да се свържат (ТСР син) към неговото предишно/твоето сегашно айпи Х.У.Х.У отново, за да продължат да свалят, не знаейки, че Х вече има айпи Х.Х.У.У.
Искам да кажа, че предполагам, защото не знам как функционират пиър-ту-пиър мрежите в детайли, но се надявам да бъда полезен.