Am Freitag, 24. Oktober 2003 20:06 schrieb Matthias Hentges:

Am Fre, 2003-10-24 um 19.47 schrieb Michael Karges:

[...]

...

Ein nmap-Scan gegen den Firewallrechner liefert etwas, was ich nicht ganz verstehe, vielleicht kann mir jemand helfen:

[...]

...

(The 1599 ports scanned but not shown below are in state: filtered) Port State Service 22/tcp open ssh 113/tcp closed auth

[...]

...

"Wer" fummelt da am Port 113 ( 113/ident resp. 113/auth)? Eigentlich dürfte doch nur Port 22 für ssh offen sein.

Deswegen ist 113 ja auch "closed" und nicht "open" :)

Jaja, is mir alles klar.

Was verwendest Du für eine Firewall? Port 113 sollte man immer rejecten (sieht also "closed" aus) und niemals droppen. Könnte also auch an einem sauber geschriebenen firewall script liegen und wäre kein Fehler.

Mhhm, die Suse Firewall. Was ich nicht verstehe: warum listet nmap gerade diese Port wenn es doch "closed" ist und nicht alle anderen? Ich hatte das Port auch schon mal "half-open" angetroffen.

Warum das so ist, verrät Dir Google ;) --

Matthias Hentges Cologne / Germany

Gruss Michael

Am Freitag, 24. Oktober 2003 21:13 schrieb Matthias Hentges: [snip]

Wird der Port von der Firewall gedropt nennt nmap ihn "filtered", wird er rejected (wie bei 113) nennt nmap ihn closed (eben weil er rejected wird und nicht gedropt) ob da nun was läuft auf dem Port oder nicht. Das "closed" wird von der Firewall verursacht und nicht von einem Dienst auf dem Rechner.

Kann nicht ganz stimmen: # cat /var/log/messages | grep DPT=113 liefert unter anderem: Oct 24 20:13:34 (none) kernel: SuSE-FW-DROP-DEFAULT IN=eth1 OUT= MAC=xx DST=xx.xx.xx.xx LEN=328 TOS=0x00 PREC=0x00 TTL=48 ID=31557 PROTO=UDP SPT=44104 DPT=113 LEN=308 D.h., die Firewall "dropped" das Paket, genau das gleiche tut sie aber mit Port 110 beispielsweise, und dieses bezeichnet nmap als "filtered": "Interesting ports on (81.5.192.18): (The 1599 ports scanned but not shown below are in state: filtered)" Auch meint nmap: "For OSScan assuming that port 22 is open and port 113 is closed and neither are firewalled" -> wird also auch von nmap als niht von einer Firewall gefiltert angenommen.

--

Matthias Hentges Cologne / Germany

Gruss Michael

Matthias Hentges wrote:

Am Fre, 2003-10-24 um 20.25 schrieb Michael Karges:

...

Am Freitag, 24. Oktober 2003 20:06 schrieb Matthias Hentges:

...

Am Fre, 2003-10-24 um 19.47 schrieb Michael Karges:

[...]

...

...

Was verwendest Du für eine Firewall? Port 113 sollte man immer rejecten (sieht also "closed" aus) und niemals droppen. Könnte also auch an einem sauber geschriebenen firewall script liegen und wäre kein Fehler.

Mhhm, die Suse Firewall. Was ich nicht verstehe: warum listet nmap gerade diese Port wenn es doch "closed" ist und nicht alle anderen?

Weil alle anderen gedropt werden..........

Wird der Port von der Firewall gedropt nennt nmap ihn "filtered", wird er rejected (wie bei 113) nennt nmap ihn closed (eben weil er rejected wird und nicht gedropt) ob da nun was läuft auf dem Port oder nicht. Das "closed" wird von der Firewall verursacht und nicht von einem Dienst auf dem Rechner.

siehe http://www.sysiphus.de/daulex/t_auth.html -- gruss thomas

Am Freitag, 24. Oktober 2003 20:19 schrieb Andreas Kneib:

* Michael Karges :

...

113/tcp closed auth _________________________________________________________

"Wer" fummelt da am Port 113 ( 113/ident resp. 113/auth)? Eigentlich dürfte doch nur Port 22 für ssh offen sein.

113 ist zu. ;) Der Port wird beispielsweise vom identd genutzt.

identd, inetd, xinetd,....NIX läuft auf dem Rechner.

Gruss, Andreas

Gruss Michael