[samba] 900 'acces denied'-messages in 2 maand

[Verwijderd]

Ik keek laatst es in mijn /var/log, en daar stonden pakweg 900 samba.log files, allemaal van juni en juli 2005.

Er stond dan zoiets in als

[2005/07/02 19:53:30, 0] lib/access.c:check_access(328)
Denied connection from (192.168.24.129)
[2005/07/02 19:53:30, 1] smbd/process.c:process_smb(1084)
Connection denied from 192.168.24.129

In de meeste bestanden staat dit er 1 keer, ik las ook een paar waar het wel 10 keer geprobeerd was...met telkens een halve minuut ertussen...

Het lijkt op een opzettelijke hackpoging ofzo, maar het gekke is dat al die ip-adressen uit verschillende werelddelen komen. komen een boel uit zuid-amerika trouwens.

Heeft hier iemand ook zoiets meegemaakt ?

[DiGyPh0]

Het 192.168.xxx.xxx blok is gereserveerd voor interne netwerken. De "hack"-poging zal dus vanaf je eigen netwerk plaatsvinden

[TheekAzzaBreek]

Ik zou je Samba poortjes maar eens dichtgooien op je router / firewall, of was het juist de bedoeling je files met de hele wereld te sharen?

192.168.24.129 is trouwens een private adres, dat komt van jouw kant van de router. Moet toch te doen zijn uit tevinden waardat vandaan komt.

[Verwijderd]

Klinkt als een machine op je LAN die besmet is met een of ander virus dat zich probeert te verspreiden via Windows shares.

[Verwijderd]

Hm, ik heb net een voorbeeld gepikt met een intern ip-adres. Gek, ik heb maar 1 andere machine in het netwerk, maar die zit op 10.0.0.151... Er waren ook een heleboel ip-adressen van buitenaf. 200.204...., 201.128...., enz.
Ik heb in smb.conf alleen 10.0.0.151 toegelaten, dus verder lijkt het me geen probleem, of kan ik beter nog iets blokkeren in hosts.deny ?

[deepbass909]

Als ik jou was, zou ik of in je modem zorgen dat poort 139 naar de wereld dicht zit en eventueel op je linux machine een firewall instellen, zodat je samba alleen nog berijkbaar is vanaf 10.0.0.x

Overigens hoeven dit geen hack pogingen te zijn. Een windows-client zoekt continu naar andere shares. Zo ben ik ook weleens andere shares uit de wereld tegen gekomen.

[Verwijderd]

Het gekke is dat die poort niet in de NAPT tabel van mijn modemconfiguratie staat, maar sites als grc.com vinden wel dat die netbios (139) poort open staat.

Hier volgt die tabel:



staat er iets anders fout dan ? Ik bedoel ik zie niet dat 139 geforward wordt..

[ Voor 3% gewijzigd door Verwijderd op 11-07-2005 13:37 ]

[moto-moi]

Je hebt toch niet toevallig je server in de DMZ geplaatst ?

[Verwijderd]

Helaas is het zo, dat om financiele redenen zowel mijn als mijn vrouw haar computer rechtstreeks via een hub aan de modem zitten, mijn vrouw een eigen firewall en ik linux met de hosts.deny en hosts.allow bestandjes, en in samba een lijst van allowed hosts: 10.0.0.150 (ik), 10.0.0.151 (mijn vrouw), en 10.0.0.152 (een virtuele windows machine op vmware, bridged)

[ Voor 134% gewijzigd door Verwijderd op 11-07-2005 16:42 . Reden: beter leesbaar ]

[MrBarBarian]

bind interfaces only en interfaces staan in je smb.conf (en geconfigureert)?

[Verwijderd]

Ja kijk maar.

[global]
log file = /var/log/samba-log.%m
ldap ssl = No
restrict anonymous = yes
printing = cups
workgroup = Werkgroep
server signing = Auto
domain master = no
printcap name = /etc/printcap
public = yes
security = share
preferred master = no
hosts allow = 127.0.0.1, 10.0.0.151, 10.0.0.152
hosts deny = 0.0.0.0/0
interfaces = eth* lo
bind interfaces only = yes


[Muziek]
path = /mnt/storage/Muziek
comment = Muziek
guest ok = yes
read only = yes
browseable = yes

enz.

Weet iemand ook hoe het komt dat die poort 139 open staat op het modem ? Ik dacht altijd dat dat modem ook een beejte een firewall was... of is het open zetten van poorten toch iets anders dan het forwarden van interne poorten naar externe ?

[MrBarBarian]

Je interfaces instelling is sowieso fout.. Hij mag naar alle interfaces praten van jou.. hierdoor heeft bind interfaces only natuurlijk geen zin..

Noem een specifieke interface (die van je interne netwerk natuurlijk) en je local interface kan eruit..

Volgens mij wordt security = share ook door samba sterk afgeraden..