Борьба с "любителями" nmap и прочими :)

[Artem Artemov]

В 15.02.2017 в 00:35, Dorik1972 сказал:

Насмотревшись логов своего Keenetic Ultra II и страдая легкой формой "паранойи", решил поделится своими фантазиями на тему использования iptables для усложнения жизни "сканерастов" (любителей утилиты nmap).

Добрый день!

А где можно посмотреть данный лог ?

такое не срабатывает

iptables -A INPUT -i _NDM_INPUT -p tcp --dport 3389 -j LOG --log-level debug --log-prefix "RDP connect: "

 

 

Изменено 18 января, 2018 пользователем Artem Artemov

[naileddeath]

В 18.01.2018 в 15:53, Artem Artemov сказал:

Добрый день!

А где можно посмотреть данный лог ?

такое не срабатывает

iptables -A INPUT -i _NDM_INPUT -p tcp --dport 3389 -j LOG --log-level debug --log-prefix "RDP connect: "

 

 

Сделай в mc  -> cd /lib/modules/3.4.113 -> ls | grep ipt_ и если вывод такой

/lib/modules/3.4.113 # ls | grep ipt_
ipt_ECN.ko
ipt_ROUTE.ko
ipt_ULOG.ko
ipt_ah.ko

то тебе не LOG нужен а ULOG

man iptables

Сам курил долго пока, не нахлынуло желание поискать и поковыряться в модулях

Изменено 31 августа, 2018 пользователем naileddeath
правка

[zdaf]

В 15.02.2017 в 00:35, Dorik1972 сказал:

Насмотревшись логов своего Keenetic

Приветствую!

Системный монитор показывает подозрительную активность на входе (см. скриншот). Где взять/как собрать логи, чтобы понять, из какого источника трафик?

В ip_conntrack лишних соединений не наблюдаю.

Спасибо!

[Le ecureuil]

1 час назад, zdaf сказал:

Приветствую!

Системный монитор показывает подозрительную активность на входе (см. скриншот). Где взять/как собрать логи, чтобы понять, из какого источника трафик?

В ip_conntrack лишних соединений не наблюдаю.

Спасибо!

Компонентом monitor захватить и посмотреть в wireshark.

[zdaf]

31 минуту назад, Le ecureuil сказал:

Компонентом monitor захватить и посмотреть в wireshark.

Пробовал. Настраивал на безразборный захват с максимальными лимитами. Он не фиксирует этот трафик.

Проблема в том, что этот траффик виден только в системном мониторе, потребителей его в локальной сети нет. Такое чувство, что дальше входа в роутер он не идёт.

[Le ecureuil]

5 минут назад, zdaf сказал:

Пробовал. Настраивал на безразборный захват с максимальными лимитами. Он не фиксирует этот трафик.

Проблема в том, что этот траффик виден только в системном мониторе, потребителей его в локальной сети нет. Такое чувство, что дальше входа в роутер он не идёт.

Мультикаст кино?

Пробовали отключать все ppe на время захвата? Они, вероятно, влияют.

[zdaf]

1 час назад, Le ecureuil сказал:

Мультикаст кино?

У меня белый IP. Было бы странно.

1 час назад, Le ecureuil сказал:

Пробовали отключать все ppe на время захвата? Они, вероятно, влияют.

что такое ppe?

[Sfut]

14 часа назад, zdaf сказал:

15 часов назад, Le ecureuil сказал:

Мультикаст кино?

У меня белый IP. Было бы странно.

Одно с другим никак не связано. Имеется ввиду мультикаст от провайдера. Например, провайдерское IPTV.

14 часа назад, zdaf сказал:

что такое ppe?

Это ускорители, аппаратный и программный https://help.keenetic.com/hc/ru/articles/214470905-Сетевой-ускоритель. Выключается в CLI командами 

no ppe software 
no ppe hardware