[Poort] GRE? Hoe te blocken? Wat is het?

[Aetje]

Ik snap er nu niets meer van... Ik heb op mijn Linux bak poort 47 (GRE) zowel udp als tcp dichtgetimmerd... En toch blijf ik dit krijgen:
kernel: ip_fw_demasq_gre(): Inbound from 10.0.0.138 has no masq table entry

Dit is een Alive signaal van de ethernet modem, en m'n logs lopen er over van:
Sep 29 01:08:17 - kernel: ip_fw_demasq_gre(): Inbound from 10.0.0.138 has no masq table entry.
Sep 29 01:08:48 - last message repeated 572 times
Sep 29 01:09:49 - last message repeated 1189 times
Sep 29 01:10:50 - last message repeated 1146 times
Sep 29 01:11:51 - last message repeated 1112 times
Sep 29 01:12:52 - last message repeated 1134 times
Sep 29 01:13:53 - last message repeated 1131 times
Sep 29 01:14:54 - last message repeated 1150 times
Sep 29 01:15:55 - last message repeated 1153 times
Sep 29 01:16:56 - last message repeated 1132 times
Sep 29 01:17:57 - last message repeated 1136 times
Sep 29 01:18:58 - last message repeated 1136 times
Sep 29 01:19:59 - last message repeated 1139 times
Sep 29 01:21:00 - last message repeated 1112 times
Sep 29 01:22:01 - last message repeated 1148 times
Sep 29 01:23:02 - last message repeated 1148 times
Sep 29 01:24:03 - last message repeated 1043 times
Sep 29 01:25:04 - last message repeated 1028 times
Sep 29 01:26:05 - last message repeated 1097 times
Sep 29 01:27:06 - last message repeated 1143 times
Sep 29 01:28:07 - last message repeated 1141 times
Sep 29 01:29:09 - last message repeated 725 times
Sep 29 01:29:33 - last message repeated 42 times

Dus... Als iemand me kan vertellen hoe ik ipfwadm kan vertellen hoe die inbound GRE pakketjes kan blokken, zou ik die iemand zeer liev vinden

[Brahiewahiewa]

Aetje schreef op 29 september 2002 @ 01:43:
[...]Dus... Als iemand me kan vertellen hoe ik ipfwadm kan vertellen hoe die inbound GRE pakketjes kan blokken, zou ik die iemand zeer liev vinden

Denk alleen dat je jezelf nie zo liev meer vindt; per saldo block je dan je ADSL verbinding.
't Is ook niet port 47 wat je voorbij ziet komen, maar protocol 47

[Aetje]

Nee, die PPTP verbinding loopt over een ander poortje, 1723 als ik me niet vergis. En dat is een established TCP/IP verbindinkje...

Meer info inmiddels, een vaag iets tijdens een netstat:

code:

Proto Recv-Q Send-Q Local Address           Foreign Address         State 
raw     3440      0 Router:47               10.0.0.138:*       
tcp        0      0 Router:1024             10.0.0.138:1723         ESTABLISHED

Protocol onbekend? Hoe moet ik dit interpreteren???

Overigens, als ik het kan blocken neem ik de oorzaak van de melding weg, maar als ik deze kernel foutmelding kan onderdrukken is het ook goed... immers, ik weet dat het gewoon een tik van Freesco is...

[Brahiewahiewa]

Ga eerst eens RFC 2637 lezen en daarna weer eigenwijs doen...

[schroevendraaier480]

GRE is volgens mij een proprietary tunneling protocol van Cisco, maar weet ik niet zeker

[wouter93]

erm, je hebt hoogst waarschijnlijk op je INTERNET-device (ppp0) de boel dichtgezet. Je gebruikt zo te zien mx-stream, waarbij je ppp0 bestaat uit een tunnel die is opgebouwd vanaf bv eth0 naar je ADSL-router. Jij krijgt meldingen op je eth-device, niet op je ppp-device. Die tunnel bestaat overigens uit GRE-pakketjes, vandaar deze pakketten.
De pakketjes die op je ppp0 binnenkomen zitten dus verpakt in een GRE-pakket.

[Aetje]

Ahaa... Maar waarom dan deze foutmeldingen uit de kernel?

[Edit] Ik heb dat RFC document eens doorgebladerd... Verhelderend. Nu moet ik alleen nog weten hoe ik die melding van de kernel wat GRE betreft kan onderdrukken...

[wouter93]

OK, ik heb maar eens je log-regel door groups.google heen gegooid (had je zelf ook kunnen doen...). De eerste paar threads heb ik bekeken, dit zijn mogelijke oplossingen:
- laad de module (ip_fw_demasq_gre.o) niet (op freesco betekent dat waarschijnlijk: verwijder/verplaats de module)
- check of je toevallig je 10.0.0.x netwerk probeert te masqueraden. Dat moet niet in ieder geval.
- iemand anders loste het op door module ip_masq_h3231.o te laden en een netmeeting call te maken naar iemand met een webcam. Op wonderbaarlijke wijze werden de meldingen daarna niet meer gelogd.
Dit laatste was op freesco.

[Aetje]

wouter93 schreef op 29 september 2002 @ 15:05:
OK, ik heb maar eens je log-regel door groups.google heen gegooid (had je zelf ook kunnen doen...). De eerste paar threads heb ik bekeken, dit zijn mogelijke oplossingen:
- laad de module (ip_fw_demasq_gre.o) niet (op freesco betekent dat waarschijnlijk: verwijder/verplaats de module)
- check of je toevallig je 10.0.0.x netwerk probeert te masqueraden. Dat moet niet in ieder geval.
- iemand anders loste het op door module ip_masq_h3231.o te laden en een netmeeting call te maken naar iemand met een webcam. Op wonderbaarlijke wijze werden de meldingen daarna niet meer gelogd.
Dit laatste was op freesco.

Hier heb ik al wat meer aan...
Puntje 1 en 3 kan ik niets mee... alle .o's zijn met freesco in de kernel ingebakken geloof ik. Ik kan ze iig nergens vinden.

Puntje 2 kijk ik even na. Ik was toch al met ipfwadm bezig... (even de 50 regels die freesco er zelf uit bakt comprimeren naar 10)