[Comm] illegal ip on squid

[Comm] illegal ip on squid

[Alexey Morsov]

Привет,

Уже было от меня про это и вот опять повторилось...
И так, в логе сквида есть строка вида:

1083131124.900     27 69.164.93.109 NONE/413 1566 NONE 
error:request-too-large - NONE/- text/html

сам squid настроен на обслуживание только 192.168.130.0/24
т.е. все логично.
Одно маленькое но неприятное но:
поднят arpwatch который слушает нашу LAN - так вот он никаких 
новых станций (ну кроме bogon 169.254.100.100) не видел в это 
время...
Надо так понимать что конект к squid с адреса 69.164.93.109 
пришел извне... но в iptables INPUT извне разрешено только 
ESTABLISHED,RELATED (пробовали сами с другого канала залезть - не 
выходит)

У меня одна только идея - кто-то (или что-то) на машинке в нашей 
сетке инициирует соединение куда-то - от туда идет отклик и 
попадает на мой squid (как и зачем?) который его отфутболивает...

Собственно вопрос - куда рыть, кого крыть? Как просечь машинку 
которая может инициировать такой конект?

-- 
С наилучшими пожеланиями,
Алексей.

Re: [Comm] illegal ip on squid

[Nizamov Shavkat]

> Надо так понимать что конект к squid с адреса 69.164.93.109
> пришел извне... но в iptables INPUT извне разрешено только
> ESTABLISHED,RELATED (пробовали сами с другого канала залезть - не
> выходит)
>
> У меня одна только идея - кто-то (или что-то) на машинке в нашей
> сетке инициирует соединение куда-то - от туда идет отклик и
> попадает на мой squid (как и зачем?) который его отфутболивает...
>
> Собственно вопрос - куда рыть, кого крыть? Как просечь машинку
> которая может инициировать такой конект?

нужно запретить коннекты и в цепочке forward

Re: [Comm] illegal ip on squid

[Alexey Morsov]

Nizamov Shavkat wrote:
>>Надо так понимать что конект к squid с адреса 69.164.93.109
>>пришел извне... но в iptables INPUT извне разрешено только
>>ESTABLISHED,RELATED (пробовали сами с другого канала залезть - не
>>выходит)
>>
>>У меня одна только идея - кто-то (или что-то) на машинке в нашей
>>сетке инициирует соединение куда-то - от туда идет отклик и
>>попадает на мой squid (как и зачем?) который его отфутболивает...
>>
>>Собственно вопрос - куда рыть, кого крыть? Как просечь машинку
>>которая может инициировать такой конект?
> 
> 
> нужно запретить коннекты и в цепочке forward
Во-первых причем тут форвард - прокси локальный - к нему цепочка 
INPUT ведет вроде бы
Во-вторых - и так запрещено все
> 
> 
> 
> _______________________________________________
> Community mailing list
> Community@altlinux.ru
> http://lists.altlinux.ru/mailman/listinfo/community
> 

-- 
С наилучшими пожеланиями,
Алексей.