[BC3] linux security

[albiez]

Ik heb een iptables firewall en hij zit redelijk dicht volgens mij.
Toch kom ik steeds een ipadres wat ik niet thuis kan brengen waneer ik netstat -a doe.
Ik zie constant de volgende regel staan:
tcp 0 1 kbl-ternzn248.zeel:3371 194.7.80.130:6556 SYN_SENT

Ook kom ik af en toe de volgende lijst tegen:
tcp 0 0 kbl-ternzn248.zeel:auth 194.7.80.130:2543 SYN_RECV
tcp 0 0 kbl-ternzn248.zeel:auth 194.7.80.130:2346 SYN_RECV
tcp 0 0 kbl-ternzn248.zeel:auth 194.7.80.130:2538 SYN_RECV
tcp 0 0 kbl-ternzn248.zeel:auth 194.7.80.130:2475 SYN_RECV

Dit is slecht een klein gedeelte van de gehele lijst.
Ik d8 dat ik hem met
iptables -A INPUT -i eth0 -s 194.7.80.130 -j DROP wel buiten de deur kon houden maar dat werkt dus ook niet.
Mijn poort 113 waar de auth service op draait staat open (deze heb ik namelijk nodig). kbl-ternzn248 is mijn ip het andere van de waarschijnlijk hacker.

[Verwijderd]

niet toevallig de site waarme je connect? (ftp)

Dan zou ik ip maar weghalen

[GarBaGe]

whois geeft:
% Rights restricted by copyright. See http://www.ripe.net/ripencc/pub-services/db/copyright.html

inetnum: 194.7.80.128 - 194.7.80.159
netname: UUNET-CUST
descr: A UUNET customer
descr: B- 1140 Evere
country: BE
admin-c: OK1500-RIPE
tech-c: OK1500-RIPE
status: ASSIGNED PA
notify: [e-mail]
mnt-by: AS2822-MNT
changed: [e-mail] 20001018
source: RIPE

route: 194.7.0.0/16
descr: INNET-BLOCK
origin: AS2822
remarks: CIDR all the way down
notify: [e-mail]
mnt-by: AS2822-MNT
changed: [e-mail] 19950323
source: RIPE

person: Oliver Kolter
address: Autoroute Bruxelles-Zaventem Bâtiment T
address: B- 1140 Evere
phone: [phone]
fax-no: [phone]
nic-hdl: OK1500-RIPE
changed: [e-mail] 19991030
source: RIPE

Misschien heb je hier wat aan:?

[albiez]

Die whois heb ik ook al gedaan had ik ook al gedaan maar zei me echt helemaal niks en nee tis ook geen ftp site
<edit>smiley</edit>

[ACM]

Heb je iptables niet zo staan, dat al het antwoord op verkeer van binnen uit wordt toegelaten?
Want die status van de verbinding is niet zomaar SYN_RECV.
Misschien dat je ook je output ernaar moet blokkeren als je er echt af wil?
iptables -A OUTPUT -i eth0 -d blabla
?

[Verwijderd]

kun je niet beter expliciet de ip-adressen (of een bereik) opgeven welke van de auth 113 poort gebruik moeten maken? en dan de default (de rest dus) rejecten/droppen/deny''en.