Komisches bei tcpdump

[MasterTH]

Hi Leute,

ich hab da ein Problem. Seit zwei Wochen ist auf meinem Server einiges komisch es los. Bei tcpdump hab ich jede menge connections auf eine IP die auf dem Server gar nicht konfiguriert ist.

Wie kann ich das blockieren, weil das legt meinen Server lahm. Ist das nen DDOS?


Danke für Infos

 

[d4f]

Von _aussen_ einkommende Verbindungen welche _nicht_ auf deine IP zeigen und auch nicht von deiner IP initiiert wurden?
Das ist nur moeglich wenn (faelschlicherweise?) eine Route auf deinen Server zeigt die nichts drauf verloren hat.

Oder handelt es sich bei dir um einen vServer (XEN)?
Dann sollte das hier evtl interessant sein:

Iftop Komische Verbindungen

Servus, habe seit gestern wiedereinmal komische Verbindungen. Seht am besten mal selbst nach. per Iptables wurde es geblockt, ist aber trotzdem noch in den verbindungen zu sehen. Fail2ban, Denyhost sind eingerichtet. Die Logs sind alle sauber. Sys: Debian Lenny / läuft kein Mail, Web, PHP SQL...

serversupportforum.de

Meistens wird der letzte Teil zu deiner IP geswitcht statt geroutet (Layer-2 statt Layer-3) so dass es sich entweder um einen groesseren Fehler handelt oder schlichtwegs ein Feature (des Vorbesitzers?) aktiv ist - eine andere IP

 

[MasterTH]

genau das was ich gesagt hab...
Ticket offen...

Ist die Host-Maschine von 3 VServern die aber auch nicht auf die IP hören. Also von daher falsche Route im Router

Danke für die Rückmeldung

 

[Whistler]

Falls es bei Dir auch UDP-Pakete sind (im anderen Thead ging es um DNS-Requests), könnte der Absender gefälscht sein.
Bei TCP geht das aus naheliegenden Gründen nicht.

 

[d4f]

Warum geh ich um 3 Uhr morgens davon aus dass TCPDump ausschliesslich TCP/IP mitschreibt? xD
Im Fall von UDP ist natuerlich Absender-Faelschung moeglich, aber Faelschen der Adresse an welche sie geschickt werden sollen doch afaik nur wenn alle dahinterhaengende Netzwerkgeraete Switches (Layer-2) statt Router (Layer-3) sind? SOnst kommt das Paket ja so oder so beim ¨richtigen"Adressaten raus...

 

[MasterTH]

bin ma gespannt was der hoster sagt. Legt meinen Server zu Spitzenzeiten ganz schön lahm.

3 Sec. und ich hab teilweise 180K geblockte Anfragen