WCM Forum - IP 172.17.2.250 - Blocked: In protocol [89]

WCM Forum (http://www.wcm.at/forum/index.php)

- Internet (http://www.wcm.at/forum/forumdisplay.php?f=8)

- - IP 172.17.2.250 - Blocked: In protocol [89] (http://www.wcm.at/forum/showthread.php?t=62690)

IP 172.17.2.250 - Blocked: In protocol [89]

bei der analyse meines firewall-logfiles hab ich festgestellt, dass ich seit dem gestrigen rechnerstart am nachmittag tausende einträge dieser art von einer IP bekomme.

Zitat:

[11/Jul/2002 22:07:19] Rule 'Deny All': Blocked: In protocol [89], 172.17.2.250->localhost, Owner: Tcpip Kernel Driver

ähem: als erstes wollt ich gleich mal mit visualroute den übeltäter suchen (ohne mein hirn anzustrengen und zu bedenken, dass 172.x.x.x ja zur privaten nutzung vorgesehen sind ;) )

nagut, dachte ich mir, schau ma halt mal im google nach wozu das eigentlich ist - auch hier hab ich nix gefunden ...

kann mir bitte wer erklären, wozu dieses protocol 89 verwendet wird und was das ausgelöst hat? ich hab nämlich definitiv nichts an meinem rechner verändert.

ist da vielleicht irgendwo ein router falsch konfiguriert worden :ms: ?

achja, die einträge kommen im 10-sekunden takt ...

Klingt auf jeden Fall ziemlich nach einem Netzwerkinternen Zugriff.

EDIT: google ist doch fündig geworden link

Ist ein IP Protokoll und hat irgendwas mit Routing zu tun, wenn ich das jetzt auf die schnelle richtgi verstanden hab, kenn mich da aber auch net so gut aus.

nochmal EDIT: achja Ergebnis 4. und 8. im google sinds.

nur, dass ergebnis 4. und 8. überhaupt nix damit zu tun haben ;)

naja aber "protocol" und "89" kommen drin vor und mit Computern hats auch zu tun :D

Steht auch irgendwo ein Zielport dabei?
Ich hatte auch schon massig solche Einträge, ein ganz witziger wollte mit einer gefälschten IP in mein Sys kommen, natürlich werden die Pakete von "privaten" IPs sofort verworfen und geloggt.

Re: IP 172.17.2.250 - Blocked: In protocol [89]

Zitat:

[11/Jul/2002 22:07:19] Rule 'Deny All': Blocked: In protocol [89], 172.17.2.250->localhost, Owner: Tcpip Kernel Driver

das ist der ganze eintrag ... mehr gibts leider nicht ... wenn ein lokaler port dabei stünde, dann würd ich eh mal schaun, welches programm auf diesem port hört ... :(

Welche Firewall hast Du?
Wie gesagt ich vermute einen Verrückten mit einer gefälschten IP.

tiny personal firewall 2.0.15a

naja, ein verrückter, der alle 10 sec. die gleiche attacke macht? ... und das seit gestern nachmittag? ich glaub ich muss mal die ip wechseln und nachschaun, ob das dann immer noch der fall ist :D

Ja ja, das ist gut möglich, solche Verrückte gibt's genug.

Das hab ich herraus gefunden:
172.17.2.250 gehört zu:
% This is the RIPE Whois server.
% The objects are in RPSL format.
% Please visit http://www.ripe.net/rpsl for more information.
% Rights restricted by copyright.
% See http://www.ripe.net/ripencc/pub-serv...copyright.html

inetnum: 172.16.0.0 - 172.31.255.255
netname: IANA-BBLK-RESERVED1
descr: Class B address space for private internets
descr: See http://www.ripe.net/db/rfc1918.html for details
country: NL
admin-c: RFC1918-RIPE
tech-c: RFC1918-RIPE
status: ALLOCATED UNSPECIFIED
remarks: Country is really worldwide
remarks: This network should never be routed outside an enterprise
remarks: See RFC1918 for further information
mnt-by: RIPE-NCC-HM-MNT
mnt-lower: RIPE-NCC-HM-MNT
changed: rfc1918@ripe.net 20020129
source: RIPE

role: RFC1918 Role
address: Singel 258
address: 1016 AB Amsterdam
address: The Netherlands
e-mail: rfc1918@ripe.net
trouble: See http://www.ripe.net/db/rfc1918.html
admin-c: RFC1918-RIPE
tech-c: RFC1918-RIPE
nic-hdl: RFC1918-RIPE
mnt-by: RIPE-DBM-MNT
changed: rfc1918@ripe.net 20020121
source: RIPE

hoffe es hilft dir weiter.

@Memphis daraus geht ja nur hervor, dass die IP für private Nutzung vorgesehen ist, wie pc.net schon gepostet hat.

hi pc.net

ich verwende auch TPFW 2 und habe ADSL von der TA, ich hab aber schon seit anfang an IP-Protocol 103 und 2 und seit kurzem auch UDP 520...

kommt alles von meinem ADSL-VPN-SERVER...

welchen i-net Zugang hast du?

ADSL von der TA.

und von welcher IP kommts?

:hehe:

172.19.64.185

aber die TPFW müsste den namen ja eh a la WBADCR16.highway.telekom.at auflösen...

[e]

ah ja, bei mir sinds 30 sec Abstände...

na ... es wird nix aufglöst ...

außerdem kommts ja über protokoll 89 rein (bzw. ned rein, weils ja geblocket wird ;) ) ... und des würd mich am meisten interessieren, was das zu bedeuten hat :confused:

BTW...was ich noch sagen wollte:

ich block alles ab was von der TA kommt, die werden ja schon schlimmer als MS...

und auf die Geschwindigkeit des i-net Zugangs nimmts m.E. keinen Einfluß, jedenfalls keinen merkbaren...

50kB mit DAP bei guter Connection

Zitat:

Original geschrieben von pc.net
na ... es wird nix aufglöst ...

hm...

Zitat:

außerdem kommts ja über protokoll 89 rein (bzw. ned rein, weils ja geblocket wird ;) ) ... und des würd mich am meisten interessieren, was das zu bedeuten hat :confused:

naja, was schickt dir denn dein adsl-server???

k.a. was mir der schickt ... ich glaub eher, die haben einen router falsch konfiguriert

vielleicht glaubt der ja, mein rechner (mit proxy-sw) ist der nächste hop :ms:, nur weil dahinter noch ein paar rechner dran hängen ...

Zitat:

Original geschrieben von pc.net
vielleicht glaubt der ja, mein rechner (mit proxy-sw) ist der nächste hop :ms:, nur weil dahinter noch ein paar rechner dran hängen ...

vielleicht wollns auch nur schaun ob der böse junge ein lan betreibt...

Zitat:

Original geschrieben von käptn
vielleicht wollns auch nur schaun ob der böse junge ein lan betreibt...

ich block ja auch prinzipiell alles was von aon kommt ab :ms:

wenns mich scannen, sehens höchstens, dass ich eine gut konfigurierte fw hab :hehe:

btw: um herauszufinden, ob ein lan mit proxy vorhanden ist reichts ja wenns die tcp/ip-header analysieren ...

was ist dieses protokoll 89 - des findet man nirgends ... gibts das überhaupt???

jetzt hab ich was gefunden:

Zitat:

2. LINK-STATE ROUTING PROTOCOLS AND AUTONOMOUS OSPF
ROUTING
Routing protocols are used by routers to create a map of the network, so
that the routers can determine how to forward packets from one point to
another. Link-state routing protocols create the map in three distinct
phases. First, each router meets its neighbors and learns about its local
neighborhood. Second, routers share that information with all other routers
on the network by exchanging information. During this phase, a router
learns about neighborhoods other than its local one. Finally, each router
combines the information about each individual neighbor to get a “map”of
the entire network by applying routing algorithms to come up with routing
tables.
OSPF (open shortest path first) [Moy 1998a], based on link-state and
SPF (shortest path first) technology, is classified as an interior gateway
protocol (IGP). This means that it distributes routing information between
routers belonging to a single autonomous system (AS) where a collection of
computer systems, routers, and other network devices is under one admin-istrative
domain.

The three stages of OSPF are as follows,
(1) Meeting the neighbors
The first step is the creation of adjacencies.Ahello protocol is defined
to establish and maintain the neighbor relationship. That is, every
OSPF router periodically sends hello packets to discover its neighboring
routers. Three components in the hello packet header keep information
about the status of routers. The hello interval indicates how frequently
the sender should retransmit its hello packets; the router dead interval
tells how long it takes to declare a router unavailable, and a list
describes the neighbors that the sender has already met. Once neigh-boring
routers have “met” via the hello protocol, they go through a
“database exchange process” to synchronize their databases.
(2) Share the information by flooding LSA
In the second step, the information about a router’s local neighborhood
is assembled into a link-state advertisement (LSA), and is broadcast (via
a reliable intelligent flooding scheme) to all other routers. The com-bined
information makes up the link state (LS) database for the
network. In a broadcasting network like Ethernet, a designated router
may be elected to advertise for the whole network.
(3) Calculate shortest routes based on LS database
Once all systems have an up-to-date link state (LS) database, each
router can use the Dijkstra algorithm to calculate a shortest-path tree
with the router itself as the root node and then form a complete picture
of routing in the network.

In a dynamic network, routers may restart, network cost metrics may
change, and links may fail. These three phases of the OSPF operation
ensure a functional routing environment.
Different from RIP, and many other routing protocols, the OSPF protocol
does not use UDP or TCP. It runs directly over IP, using IP protocol 89. IP
fragmentation and reassembly are used when fragmentation is necessary.
There are five types of OSPF packets. The hello packet is used by a router
to discover its neighbors. The database description and the link state
request packets are used to synchronize two routers’ databases when an
adjacency is being initialized. The link state update packets are used to
update link state database. The link state acknowledgment packets ensure
a reliable transmission by acknowledging flooded LSU packets.

also definitiv ein router ...

achja: das steht in diesem dokument:
http://www.appliedinterconnect.com/c...RPA_detect.pdf

@pc.net aber das was du oben gepostet hast, war eines der google-ergebnisse die ich bekommen habe, also bin ich doch net so falsch gelegen ;)

ok, ok ... geb dir ja recht ... nur war ich zu der uhrzeit nicht mehr ganz zurechnungsfähig :D

wobei, jetzt bin ichs eigentlich auch nicht ... vielleicht irgendwann am wochenende halt - oder besser nächst woche dann, weil morgen ist ja forumstreffen :hehe: