Heiko Degenhardt wrote:

Hallo,

* On Wed, Aug 02, 2000 at 09:49:06AM +0200, Frank-Michael Fischer wrote:

...

An alle Wissenden :-) Na, ich antworte mal trotzdem... ;)

...

Allerdings baut er (in unregelmäßigen Abständen) selbständig ISDN-Verbindungen auf, selbst dann, wenn niemand auf dem Router aktiv ist und ich ihn vom LAN nehme. Hier ist der "Schuldige" aus /var/log/messages:

OPEN: 192.168.0.99 -> 128.196.137.18 TCP, port: 61556 -> 80

Es scheint sich dabei (afaik) um eine maskierte Verbindung aus Deinem internen Netz zu handeln (und zwar um eine WWW-Anfrage). Ist irgendwo auf einem Client noch ein Web-Browser offen?

...

Offenbar versucht ein Programm auf meinem Router über den HTTP-Port 80 eine Verbindung mit "jamaica.U.Arizona.EDU" aufzubauen. Warum? Was will mein Router von dort? "jamaica.U.Arizona.EDU" ist weder ein Root-DNS noch ein von mir angegebener Forwarder. Weiß jemand, was da passiert?

Die DNS-Anfrage ist imho nur sekundaer, vorher wird anscheinend nach der Webseite gefragt. (Eine ganz normale Webseite, habe grad mal draufgeschaut). Wenn Du gar nicht weiterkommst, dann kannst Du ja auch mal bei den Admins von U.Arizona.EDU nachfragen, ob auch sie was in ihren Logs haben.

Rgds. Heiko.

Hab mal weitergeforscht, der Link scheint etwas mit PHP zu tun zu haben. Wie ich schon dokumentierte, ist bei dem spontanen Verbindungsaufbau gar nichts offen, kein WWW, habe das ganze LAN abgeklemmt. Der Router wurde einfach nur gebootet. Von außen sind keinerlei Requests erkennbar. Es muss eine Softwarekomponente aus SuSE 6.4 sein, die sich selbständig macht. Frank-Michael Fischer --------------------------------------------------------------------- To unsubscribe, e-mail: suse-linux-unsubscribe@suse.com For additional commands, e-mail: suse-linux-help@suse.com

Hi Thomas, * On Wed, Aug 02, 2000 at 11:20:41AM +0200, Thomas Bendler wrote:

On Mit, 02 Aug 2000, Frank-Michael Fischer send incredible lines: [...]

...

OPEN: 192.168.0.99 -> 128.196.137.18 TCP, port: 61556 -> 80

Was ein bisschen stutzig macht ist der Port 61556. Was für ein Service läuft dort bei dir?

AFAIK sind Ports > 61000 oft Verbindungen von Rechnern hinter einem Linux-Host mit NAT (also IP Masqerading). Rgds. Heiko. --------------------------------------------------------------------- To unsubscribe, e-mail: suse-linux-unsubscribe@suse.com For additional commands, e-mail: suse-linux-help@suse.com

Marco Dieckhoff wrote:

From: "Heiko Degenhardt" Sent: Wednesday, August 02, 2000 11:59 AM

...

* On Wed, Aug 02, 2000 at 11:20:41AM +0200, Thomas Bendler wrote:

...

On Mit, 02 Aug 2000, Frank-Michael Fischer send incredible lines: [...]

...

OPEN: 192.168.0.99 -> 128.196.137.18 TCP, port: 61556 -> 80

Was ein bisschen stutzig macht ist der Port 61556. Was für ein Service läuft dort bei dir?

AFAIK sind Ports > 61000 oft Verbindungen von Rechnern hinter einem Linux-Host mit NAT (also IP Masqerading).

Hast du mal ein "netstat -ep" gemacht? Welches Prog ist's denn, daß die Verbindung macht? Und welcher User?

Klar habe ich auf dem Router IP Masqerading laufen. Der "Witz" ist nur, dass selbst wenn ich alle Clients abklemme und den Router auf leeren Platten NEU INSTALLIERE! dieser Spontanaufbau stattfindet, ohne dass ausser mir jemand eingeloggt ist. Ich schau jetzt mal mit netstat und lsof nach, was das ist. Danke erstmal! Frank-Michael Fischer --------------------------------------------------------------------- To unsubscribe, e-mail: suse-linux-unsubscribe@suse.com For additional commands, e-mail: suse-linux-help@suse.com

Moin, On Wed, Aug 02, 2000 at 10:58:03PM +0200, Frank-Michael Fischer wrote:

Das "Problem" taucht auch auf, wenn ich das Ethernetkabel herausziehe. Die Anforderung kann (rein un-esotherisch ;-) nur vom Router selbst kommen. Und was eine HTTP-Anfrage bei einem frisch gebooteten Maschinchen, auf dem niemand eingeloggt ist, auslöst, ist mir unklar und damit das Problem.

Ich weiß net, ob's schon gefallen ist, aber was sagt ein netstat -ep ? Olli --------------------------------------------------------------------- To unsubscribe, e-mail: suse-linux-unsubscribe@suse.com For additional commands, e-mail: suse-linux-help@suse.com

On 2 Aug 2000, Frank-Michael Fischer wrote:

...

...

OPEN: 192.168.0.99 -> 128.196.137.18 TCP, port: 61556 -> 80

Den Portnummern (Source-Port 61556) nach zu urteilen sieht es so aus, als ob es sich um eine maskierte Verbindung handelt...

Ist da wirklich nicht von Deinen Clients aus aktiv? Ein "netstat -M" sollte auflisten, was an maskierten Verbindungen offen ist...

...

Offenbar versucht ein Programm auf meinem Router über den HTTP-Port 80 eine Verbindung mit "jamaica.U.Arizona.EDU" aufzubauen. Warum?

Du kannst ja mal versuchen, mittels "tcpdump", o.ae. den Netzwerkverkehr mitzuverfolgen. Vielleicht hilft auch das Kommando "fuser" weiter.

...

Was will mein Router von dort? "jamaica.U.Arizona.EDU" ist weder ein Root-DNS noch ein von mir angegebener Forwarder. Weiß jemand, was da passiert?

Es ist ja (lt. der aus "/var/log/messages" zitierten Zeile) wohl eine eindeutige HTTP-Anfrage. Und auf "128.196.137.18" laeuft auch ein Webserver.

Gruss, Steffen

Vielen Dank für die Tips. Aber wie bereits beschrieben:

Das "Problem" taucht auch auf, wenn ich das Ethernetkabel herausziehe. Die Anforderung kann (rein un-esotherisch ;-) nur vom Router selbst kommen. Und was eine HTTP-Anfrage bei einem frisch gebooteten Maschinchen, auf dem niemand eingeloggt ist, auslöst, ist mir unklar und damit das Problem. da iss noch was... die maskierte verbindung steht unter umständen für ca 15 minuten in der Table drinne....

Bis denne, Jens Sülwald -- Name : Jens Suelwald /"\ Web 1 : http://cochrane.dyndns.org \ / ASCII Ribbon Campaign Web 2 : http://www.jsuelwald.de.vu x Say NO to HTML in email and IRC-NICK : mccoy_ / \ news --------------------------------------------------------------------- To unsubscribe, e-mail: suse-linux-unsubscribe@suse.com For additional commands, e-mail: suse-linux-help@suse.com