Re: Fragen zu pf

Dominik Brettnacher <domi(at)saargate.de> wrote:
> Oliver Fromme wrote:
> > Eine andere Möglichkeit wäre, eine »Falle« zu bauen. Man
> > kann die fragliche Ziel-IP lokal konfigurieren (z.B. auf
> > lo0) und dann ein Test-Programm (z.B. netcat) an den frag-
> > lichen Port (2710) binden, der nichts weiter tut.
>
> Möglicherweise ist diese Lösung gangbar: man setze auf die Zieladresse
> (falls es immer dieselbe ist) eine Route ins Nirwana, also
> beispielsweise so:
>
> route add -host 85.12.11.221 -interface lo0
>
> Das dürfte dazu führen, dass das SYN-Paket nie beim Ziel ankommt, und der
> Socket eine gewisse Zeit im Status SYN_SENT bleibt.

Nein, das ergibt »No route to host«, da lo0 mit der Ziel-
adresse nichts anfangen kann. Du müßtest für die Route
eine IP als Gateway definieren, für die es eine Route gibt,
aber die nicht reagiert. Wenn Du z.B. ein internes Netz
10.0.0.0/24 hast, und 10.0.0.42 existiert nicht (oder
droppt Pakete auf Port 2710), dann geht folgendes:

route add -host 85.12.11.221 10.0.0.42

Übrigens: Die fragliche IP-Adresse gehört einem Provider
in den Niederlanden (siehe »whois 85.12.11.221«), offenbar
eine IP aus einem Kundenpool ohne Reverse-Mapping. Auf dem
Rechner läuft unter Port 2710 ein sshd.

Wenn einer meiner Rechner, auf dem es außer mir keine User
gibt, dorthin eine ssh-Connection aufbauen will, würde ich
mir ernsthafte Sorgen machen.

Gruß
   Olli

-- 
Oliver Fromme,  secnetix GmbH & Co. KG, Marktplatz 29, 85567 Grafing
Dienstleistungen mit Schwerpunkt FreeBSD: http://www.secnetix.de/bsd
Any opinions expressed in this message may be personal to the author
and may not necessarily reflect the opinions of secnetix in any way.
"C++ is the only current language making COBOL look good."
        -- Bertrand Meyer
To Unsubscribe: send mail to majordomo(at)de.FreeBSD.org
with "unsubscribe de-bsd-questions" in the body of the message