Gruesse! * [EMAIL PROTECTED] <[EMAIL PROTECTED]> schrieb am [19.07.04 10:32]:
> Hallo, > > wie kann ich quasi automatisiert den Verursacher für Verbindungsanfragen ins > Internet heraus bekommen? Hintergrund ist der, dass der Internetzugang über > einen Woody-Server mit einem DSL-Zeittarif geschieht. Da dieser in einer > Firma steht, möchte ich gern, dass er Nachts und am Wochenende "Ruhe" gibt, > damit ein kleinerer Tarif gewählt werden kann. > Auf dem Server selber sind alle Skripte und Crondienste so angepasst (meine > ich jedenfalls; /etc/crontab, /etc/cron.d, /etc/cron.*, > /var/spool/cron/crontabs/*), dass hier nichts außer der Reihe passieren > sollte. Ein weiterer Woody-Server, der ebenfalls ständig an ist und den > anderen Server als Gateway nutzt, ist ebenfalls so konfiguriert, dass er > z.B. Virenupdate's nur zu bestimmten definierten Zeiten holt. Trotz dem wird > alle 10 Minuten eine Verbindung aufgebaut (24h lang, jeden Tag). > Wie kann ich über Logs herausbekommen, wer diese Verbindungen verursacht? > Ich kann nicht mal sagen, von welchem Server diese initiiert werden. Kann > man da etwas mit der Logfunktionalität von iptables was machen oder gibt es > Möglichkeiten in den ip-up-Skripten? Mir würde die Rechner-IP, die die > Verbindung haben will und evtl. die IP, von der etwas angefragt wird, schon > für weitere Untersuchungen reichen. Wie dir schon geschrieben wurde, lass iptables alle Pakete dieser 10-min Intervalle ins syslog schreiben. Dann kannst du anhand der zeitlichen Abfolge den Verursacher anhand geloggtes Paket <-> pppd Einwahl erkennen. I.d.R. sind das DNS(=Nameserver)-Anfragen (=Port tcp/udp 53). Wenn ihr in eurem Netz einen eigenen Nameserver verwendet, muß der wirklich alle Adressen die im lokalen LAN vorkommen auflösen können und alle Clients dürfen nur diesen DNS benutzen. Bei Anfragen nach "draußen" ist es dann halt eine Frage der Konfiguration, ob eine nicht beantwortete Anfrage einen Dial-out auslöst. Wenn ihr keinen eigenen DNS verwendet, kannst du evtl. zu betsimmten Zeiten DNS-Anfragen (=Port udp/tcp 53) über das externe Interface per iptables-Regel sperren. Allerdings würde ich ab einer gewissen Anzahl PCs auf jedenfall einen eigenen DNS einrichten. Mein Favorit in kleinen LANs, bei denen der DNS des Providers nach der Einwahl mitbenutzt wird, ist dnsmasq. apt-cache show dnsmasq gibt dir weitere Infos. Oder halt bind, ist IMHO aber meistens Overkill. > Danke, Ralf Gruß Gerhard