Logging der Firewall normal?

[geisi]

hi!

habe einen linux-server als gateway- und firewallserver bei zu hause installiert. jetzt habe ich mit webmin in der forward-tabelle die firewall (iptables) so eingestellt, dass sie die protokolle http, https, smtp, pop3, dns und ftp durchlässt, den rest sperrt.

in der Input-Chain habe ich dns-paket zu einer bestehenden verbindung erlaubt. weiters sollen pakete, die über die dsl0 verbindung hereinkommen und eine neue verbindung eröffnen, geloggt werden.

Code:

[b]Incoming packets (INPUT)[/b]
Accept,   If protocol is UDP and input interface is dsl0 and source port is 53 and state of connection is ESTABLISHED,RELATED       
Log packet, If input interface is dsl0 and state of connection is NEW       
Drop, If input interface is dsl0

habe jetzt nach einiger zeit das log-file der firewall geschaut: ist es normal, dass in ca. 2 minuten 20 pakete mitgeloggt wurden?

Code:

Sep  1 14:43:26 firewallserver kernel: IN=dsl0 OUT= MAC= SRC=80.130.172.142 DST=xxx.xxx.xxx.xxx LEN=48 TOS=0x00 PREC=0x00 TTL=120 ID=34456 DF
            PROTO=TCP SPT=62927 DPT=19258 WINDOW=64240 RES=0x00 SYN URGP=0 

Sep  1 14:43:28 firewallserver kernel: IN=dsl0 OUT= MAC= SRC=84.223.64.61 DST=xxx.xxx.xxx.xxx LEN=126 TOS=0x00 PREC=0x00 TTL=118 ID=14464 
            PROTO=UDP SPT=10783 DPT=43494 LEN=106 

Sep  1 14:43:30 firewallserver kernel: IN=dsl0 OUT= MAC= SRC=80.130.172.142 DST=xxx.xxx.xxx.xxx LEN=48 TOS=0x00 PREC=0x00 TTL=120 ID=34918 DF
            PROTO=TCP SPT=62927 DPT=19258 WINDOW=64240 RES=0x00 SYN URGP=0 

Sep  1 14:43:33 firewallserver kernel: IN=dsl0 OUT= MAC= SRC=84.223.64.61 DST=xxx.xxx.xxx.xxx LEN=126 TOS=0x00 PREC=0x00 TTL=118 ID=14621 
            PROTO=UDP SPT=10783 DPT=43494 LEN=106 

Sep  1 14:43:36 firewallserver kernel: IN=dsl0 OUT= MAC= SRC=80.130.172.142 DST=xxx.xxx.xxx.xxx LEN=48 TOS=0x00 PREC=0x00 TTL=120 ID=35702 DF 
            PROTO=TCP SPT=62927 DPT=19258 WINDOW=64240 RES=0x00 SYN URGP=0 

Sep  1 14:43:37 firewallserver kernel: IN=dsl0 OUT= MAC= SRC=24.179.10.182 DST=xxx.xxx.xxx.xxx LEN=131 TOS=0x00 PREC=0x00 TTL=112 ID=19126  
            PROTO=UDP SPT=10078 DPT=43494 LEN=111 

Sep  1 14:43:39 firewallserver kernel: IN=dsl0 OUT= MAC= SRC=200.35.77.221 DST=xxx.xxx.xxx.xxx LEN=131 TOS=0x00 PREC=0x00 TTL=107 ID=59075  
            PROTO=UDP SPT=33644 DPT=43494 LEN=111 

Sep  1 14:44:00 firewallserver kernel: IN=dsl0 OUT= MAC= SRC=212.183.119.4 DST=xxx.xxx.xxx.xxx LEN=48 TOS=0x00 PREC=0x00 TTL=122 ID=58199 DF  
            PROTO=TCP SPT=2063 DPT=445 WINDOW=65535 RES=0x00 SYN URGP=0 

Sep  1 14:44:03 firewallserver kernel: IN=dsl0 OUT= MAC= SRC=212.183.119.4 DST=xxx.xxx.xxx.xxx LEN=48 TOS=0x00 PREC=0x00 TTL=122 ID=58496 DF  
            PROTO=TCP SPT=2063 DPT=445 WINDOW=65535 RES=0x00 SYN URGP=0 

Sep  1 14:44:04 firewallserver kernel: IN=dsl0 OUT= MAC= SRC=221.198.240.113 DST=xxx.xxx.xxx.xxx LEN=126 TOS=0x00 PREC=0x00 TTL=110 ID=40625  
            PROTO=UDP SPT=25156 DPT=43494 LEN=106 

Sep  1 14:44:10 firewallserver kernel: IN=dsl0 OUT= MAC= SRC=59.63.46.154 DST=xxx.xxx.xxx.xxx LEN=129 TOS=0x00 PREC=0x00 TTL=112 ID=39432  
            PROTO=UDP SPT=52626 DPT=43494 LEN=109 

Sep  1 14:44:10 firewallserver kernel: IN=dsl0 OUT= MAC= SRC=68.56.44.80 DST=xxx.xxx.xxx.xxx LEN=131 TOS=0x00 PREC=0x00 TTL=111 ID=21554  
            PROTO=UDP SPT=37237 DPT=43494 LEN=111 

Sep  1 14:44:13 firewallserver kernel: IN=dsl0 OUT= MAC= SRC=212.183.119.4 DST=xxx.xxx.xxx.xxx LEN=48 TOS=0x00 PREC=0x00 TTL=122 ID=59380 DF  
            PROTO=TCP SPT=2351 DPT=445 WINDOW=65535 RES=0x00 SYN URGP=0 

Sep  1 14:44:15 firewallserver kernel: IN=dsl0 OUT= MAC= SRC=213.113.0.149 DST=xxx.xxx.xxx.xxx LEN=131 TOS=0x00 PREC=0x00 TTL=117 ID=1700  
            PROTO=UDP SPT=31508 DPT=43494 LEN=111 

Sep  1 14:44:23 firewallserver kernel: IN=dsl0 OUT= MAC= SRC=222.185.61.170 DST=xxx.xxx.xxx.xxx LEN=129 TOS=0x00 PREC=0x00 TTL=113 ID=12319  
            PROTO=UDP SPT=14040 DPT=43494 LEN=109 

Sep  1 14:44:27 firewallserver kernel: IN=dsl0 OUT= MAC= SRC=58.16.41.45 DST=xxx.xxx.xxx.xxx LEN=129 TOS=0x00 PREC=0x00 TTL=109 ID=1953  
            PROTO=UDP SPT=6881 DPT=43494 LEN=109 

Sep  1 14:44:36 firewallserver kernel: IN=dsl0 OUT= MAC= SRC=84.223.64.61 DST=xxx.xxx.xxx.xxx LEN=90 TOS=0x00 PREC=0x00 TTL=118 ID=16752  
            PROTO=UDP SPT=10783 DPT=43494 LEN=70 

Sep  1 14:44:38 firewallserver kernel: IN=dsl0 OUT= MAC= SRC=212.183.34.136 DST=xxx.xxx.xxx.xxx LEN=52 TOS=0x00 PREC=0x00 TTL=58 ID=18414 DF  
            PROTO=TCP SPT=28758 DPT=135 WINDOW=60352 RES=0x00 SYN URGP=0 

Sep  1 14:44:46 firewallserver kernel: IN=dsl0 OUT= MAC= SRC=84.223.64.61 DST=xxx.xxx.xxx.xxx LEN=90 TOS=0x00 PREC=0x00 TTL=118 ID=17099 
            PROTO=UDP SPT=10783 DPT=43494 LEN=70 

Sep  1 14:45:33 firewallserver kernel: IN=dsl0 OUT= MAC= SRC=60.166.90.95 DST=xxx.xxx.xxx.xxx LEN=129 TOS=0x00 PREC=0x00 TTL=114 ID=57135  
            PROTO=UDP SPT=12182 DPT=43494 LEN=109

habe xxx.xxx.xxx.xxx anstatt meiner IP-Adresse eingesetzt, möchte diese nicht unbedingt im internet preisgeben !

wie bekomme ich irgendwelche informationen zu diesen ip-adressen (hostnamen, ...)?

[mkinzler]

hsot, nslookup
Bei deiner Adresse handelt es sich ume eine T-Online-Einwahladresse:
p5082AC8E.dip0.t-ipconnect.de

[geisi]

kann mir jemand sagen, ob das normal ist, oder ob ich mir sorgen machen muss?

[geisi]

Habe gestern in einem Beitrag im Fernsehen von der Absicht des Innenministers gehört, Privat-Computer über das Internet mittels eines Trojaners zu untersuchen bzw. überprüfen. Weiters wurde gesagt, dass dieser Trojaner nicht von Firewalls oder Virenprogrammen aufgehalten werden kann --> ???????

Wenn ich weiß, auf welchem port der trojaner seine Daten hinausschickt - und das findet sicher irgendwer heraus und publiziert es - dann blocke ich einfach auf meiner netzwerk-firewall diesen port.

Wie wollen sie diese firewall umgehen, das geht doch nicht, oder?

[mkinzler]

Die Daten werden eher in einem anderen Datentrom versteckt.

[geisi]

weiß heißt das?

[mkinzler]

Wie das technisch im Detail gelöst wird, werden sie wohl nicht sagen, aber sie werden die Daten wohl im normalen Netzverkehr verstecken und keine eigenen Verkehr erzeugen. Die ServiceProvider werden sicherlich zur Mitarbeit gezwungen sein.
Ist jetzt aber etwas OT und es gibt hier im Forum schon andere Threads zu diesem Thema.