Poort 5353 dichtzetten

[Paultje3181]

Ik heb gisteren een mail binnen gekregen van mijn vps-leverancier dat ik poort 5353 open heb staan (waarschijnlijk via avahi), en dat hier geen abuse meldingen op gedaan zijn, maar wel eenkans bestaat dat ik in een ddos-netwerk kom.

Dit wil ik uiteraard voorkomen, maar kan ik deze poort zomaar dichtzetten? Er zitten een aantal zaken op:
- LAMP Debian Jessie met verschillende sites en phpmyadmin
- Exim/Dovecot met een connectie via MySQL
- CSF en LFD

Volgens mij is avahi helemaal niet nodig, aangezien er geen hardware oid aan hangt en hij niet in een lokaal net zit, maar bijvoorbeeld de mailserver kijkt wel lokaal naar adressen uiteraard.

Maar moet poort 5353 dan open staan? Of kan ik deze gewoon dichtzetten?

Ik kom de vraag vaker tegen op internet, maar niet icm mailservers.

[frickY]

UDP en/of TCP?
Die poort lijkt naast avahi ook te worden gebruikt voor multicast dns.
Gebruikt je hoster hem niet voor (hardware-)monitoring (cacti, nagios)?

In ieder geval is het geen systeem kritieke poort en moet hij straffeloos dicht kunnen.

[CyBeR]

Dat kan gewoon dicht ja. Avahi is voor discovery op je lokale netwerk.

[Equator]

Verplaatst naar Serversoftware en Windows Servers

[Paultje3181]

Ik heb hem nu via csf.conf (daar stond hij in) dicht gezet (gewoon 5353 verwijderd) en een reboot gedaan.

Maar als ik nu met netstat -tunlp kijk, zie ik dat udp :::5353 en udp6 :::5353 er nog tussen staan via avahi.

Hoe kan ik het beste controleren of hij nu toch dicht staat? Shieldsup werkt alleen met de PC waarmee je de site aanroept.

[DJSnels]

Heb je in de csf.conf ook 5353 UDP dichtgezet of enkel TCP?

Gebruik je ook daadwerkelijk IPv6? Zo niet, dan gewoon heel IPv6 uitschakelen.

[Ximon]

Correct me if I'm wrong maar volgens mij zie je met netstat de open sockets op jouw server. Dat je Avahi nog steeds in het lijstje ziet staan betekent dus dat Avahi nog steeds op die poort luistert. Of de poort ook daadwerkelijk open is, is een ander verhaal. Dit kan je het beste testen via een andere machine of misschien de VPS leverancier lief vragen of ze overnieuw willen testen.

[CyBeR]

Equator schreef op donderdag 12 mei 2016 @ 07:36:
Verplaatst naar Serversoftware en Windows Servers

Maar TS heeft een Linux server?

[Equator]

CyBeR schreef op donderdag 12 mei 2016 @ 11:18:
[...]


Maar TS heeft een Linux server?

offtopic:
WSS is niet alleen voor Windows Servers. Het gaat ook over Server Software. Als het ging om hoe hij die poort dicht kon zetten was NOS wellicht beter

[gekkie]

Equator schreef op donderdag 12 mei 2016 @ 11:28:
[...]

offtopic:
WSS is niet alleen voor Windows Servers. Het gaat ook over Server Software. Als het ging om hoe hij die poort dicht kon zetten was NOS wellicht beter

Maar is nou juist niet het probleem dat avahi niet echt server software is ?

Wellicht kijken of er iets depend op avahi, of dat het alleen ooit geinstalleerd is bij iets als "recommended" package. Indien het eerste gewoon deinstall?

[CyBeR]

Equator schreef op donderdag 12 mei 2016 @ 11:28:
[...]

offtopic:
WSS is niet alleen voor Windows Servers. Het gaat ook over Server Software. Als het ging om hoe hij die poort dicht kon zetten was NOS wellicht beter

Ok da's ten eerste een idiote verdeling maar belangrijker Avahi is niet echt server software en 't lijkt me vrij duidelijk dat 'ie de poort dicht wil hebben. Naar NOS die meuk.

[CAPSLOCK2000]

5353 gewoon helemaal blokkeren, het liefst zowel inkomend als uitgaand.

Voor desktops in het lokale netwerk is het leuk speelgoed maar je moet het niet op internet aansluiten. Het protocol is gevoelig voor amplificatie-aanvallen. Het is Poeteringware, leuk voor op de desktop dus maar een ramp zodra het de buitenwereld in aanraking komt. Ik zou avahi helemaal verwijderen van je systeem, nergens voor nodig op een server.