ISP miert szuri a forgalmat felem?

Flame

ISP miert szuri a forgalmat felem?

  • 743 megtekintés

( tamasna | 2004. 10. 16., szo – 14:29 )

Kellett volna egy kis vpn tesztet csinalnom openbsd-openbsd es openbsd-winxp kozott. Sehogy nem akart mukodni, aztan kiderult, hogy a tvnetwork szuri az 1024-es port alatti forgalmat (cel port < 1024), isakmpd -nek meg az 500-as kellene. Ssh-t, telnetet atengedik, minden mas szurve van 1024 alatt.
Persze ennek hetvegen kell kiderulnie, mikor nincs ugyfelszolgalat.

Mashol is csinalnak ilyen hulyesegeket, vagy ez tvnetworkos specialitas?

( ReLuXa | 2004. 10. 16., szo – 14:44 )

Halli!

Nem tudod ujraforgatni a progit mindket oldalt magasabb portszammal? Vagy csinalj portmapet a gepekre:
kliens: 500 -> remote:1025
szerver: 1025 -> localhost 500

( trey | 2004. 10. 16., szo – 14:48 )

[quote:48202709ae="tamasna"]Kellett volna egy kis vpn tesztet csinalnom openbsd-openbsd es openbsd-winxp kozott. Sehogy nem akart mukodni, aztan kiderult, hogy a tvnetwork szuri az 1024-es port alatti forgalmat (cel port < 1024), isakmpd -nek meg az 500-as kellene. Ssh-t, telnetet atengedik, minden mas szurve van 1024 alatt.
Persze ennek hetvegen kell kiderulnie, mikor nincs ugyfelszolgalat.

Vidam. Seggbe kene rugni valakit?

Mashol is csinalnak ilyen hulyesegeket, vagy ez tvnetworkos specialitas?

mondjuk a 139-es port vs. elender

( tamasna | 2004. 10. 16., szo – 14:50 )

De, ki lehet kerulni legtobb esetben, csak kicsit felidegesitett, hogy az ISP szuri a forgalmat felem a megkerdezesem nelkul, es emiatt szivok rendesen. Annyi asszem benne volt a szerzodesben, hogy a 25-os port szurve van, ezt kikerultem egy redirect-el, de masrol nem volt szo.

( tamasna | 2004. 10. 16., szo – 14:59 )

> Vidam. Seggbe kene rugni valakit?

Jo lenne, biztos megnyugtatna kicsit. :) Csak az a baj, hogy ugyfelszolgalaton nem azzal a nagyonhulyevel fogok beszelni, aki ezt kitalalta, hanem valaki olyannal akinek semmi koze az egeszhez. Ugyfelszolgalaton egyebkent nagyon segitokesz emberekkel talalkoztam eddig (debrecen).

> mondjuk a 139-es port vs. elender

Gondolom ott se volt benne a szerzodesben, hogy szurjuk a 139-et. Ez a legidegesitobb, hogy most derul ki, kb. egy ev utan. A 25-os portra irtak, hogy leveszik a szurest, ha alairom, hogy enyem minden felelosseg, ha ebbol valami gond lesz. Ez is ertelmesen hangzik. :)

( k_laci | 2004. 10. 16., szo – 15:44 )

[quote:00f2481ad0="tamasna"]Kellett volna egy kis vpn tesztet csinalnom openbsd-openbsd es openbsd-winxp kozott. Sehogy nem akart mukodni, aztan kiderult, hogy a tvnetwork szuri az 1024-es port alatti forgalmat (cel port < 1024), isakmpd -nek meg az 500-as kellene. Ssh-t, telnetet atengedik, minden mas szurve van 1024 alatt.
Persze ennek hetvegen kell kiderulnie, mikor nincs ugyfelszolgalat.

Mashol is csinalnak ilyen hulyesegeket, vagy ez tvnetworkos specialitas?

Ezzel én is szívtam már és bosszant a dolog, de részben igaza van a tvnetworknek. Az okok a következők:
A felhasználói szerződésben az szerepel, hogy végpontról nem lehet szerver-szolgáltatásokat üzemeltetni, erre van nekik külön csomagjuk, rakd be a szerveredet a termükbe és onnan csinálhatsz mindent (egyébként nem olyan veszélyesen drága).
A kezdeti időkben persze semmit sem szűrtek, csak hát rengeteg felhasználó üzemeltetett végpontról SMTP-ket és szórták kifelé a SPAM-eket, ekkor berágott a tvnetwork (kb. 1 éve lehetett) és azt mondta, hogy akkor jól van, lezárunk mindent kivéve a telnetet és az ssh-t.

Nekem persze nagyon sz@rul jött ez a dolog, mert szinte minden nap hasztáltam ftp-t a tanszék és az otthoni gép között. Aztán kénytelen voltam átrakni az ftp-met az telnet portjára (nem éppen elengáns megoldás, de hát mit lehet csinálni :?).
Ja, meg nem tudok otthonról futó web-alkalmazásokat tesztelni...

Laci

( turczi | 2004. 10. 16., szo – 18:03 )

> Vidam. Seggbe kene rugni valakit?
valakiket, nagyon. :twisted:

sztm. ez egyszeruen szemetseg, es megerdemelnek erte hogy 10cm-es darabokra vagjuk minden kabeluket ..

sztm. ("internet szolgaltatas" !="web nezegetese, levelezes"); csak nemelyik szolgaltato nem igy latja sajnos :(
pl. gprs-nel natolva is vagy..

nem tudja v.ki nincs erre v.mi torverny; hif rendelet... ?
" a portok szabadsagot kivannak!"

( begin | 2004. 10. 16., szo – 18:11 )

Tudnak alkotni a szolgáltatók... Sajnos!
Az axelero pl nem fogad nav-val ellenőrzött levelet, csak úgy megy a levélküldés, ha letiltja az ember a kimenő levelek ellenőrzését. Gondolom a levél fejlécét figyeli és valami elszúrtak a feltételeknél, de nagyon!
Az elender mail servere pedig csak akkor fogad levelet továbbításra, ha a küldő címe elenderes. Ezt meg a válaszcím alkalmazásával lehet használhatóvá tenni.

( tamasna | 2004. 10. 16., szo – 18:37 )

[quote:c21bb6b50e="k_laci"]
Ezzel én is szívtam már és bosszant a dolog, de részben igaza van a tvnetworknek. Az okok a következők:
A felhasználói szerződésben az szerepel, hogy végpontról nem lehet szerver-szolgáltatásokat üzemeltetni, erre van nekik külön csomagjuk, rakd be a szerveredet a termükbe és onnan csinálhatsz mindent (egyébként nem olyan veszélyesen drága).
Laci

Ha valaki alairta, hogy nem uzemeltet szervert, es megis, akkor azzal meg kell szuntetni a szerzodest, es kesz. Persze az nem jo, mert akkor nemfizet tovabb. :)
En csak vpn-t akartam tesztelni, de ezt hasznalhatnam akar folyamatosan is. Pl. ceges halora akarok vpn-en csatlakozni wines geprol. Na ez pl. nem jon ossze tvnetwork halozatabol.

( tamasna | 2004. 10. 16., szo – 18:42 )

[quote:cedff61734="begin"]Tudnak alkotni a szolgáltatók... Sajnos!
Az axelero pl nem fogad nav-val ellenőrzött levelet, csak úgy megy a levélküldés, ha letiltja az ember a kimenő levelek ellenőrzését. Gondolom a levél fejlécét figyeli és valami elszúrtak a feltételeknél, de nagyon!
Az elender mail servere pedig csak akkor fogad levelet továbbításra, ha a küldő címe elenderes. Ezt meg a válaszcím alkalmazásával lehet használhatóvá tenni.

A tvnetworkos mail szerver is tud jokat. Nem tudom, hogy meg most is igy van-e, mert nem hasznalom, de kb. fel eve meg az volt, hogy a virusos levelek egyszeruen eltuntek amikor atmentek rajta. Se a felado, se a cimzett nem kapott ertesitest. Ez csak azert volt erdekes, mert egy virusszuro mail szervert teszteltem, es kuldtem ra virusos levelet (nem igazi virust, csak eicar test stringet), es ezt szepen lenyelte a tvnetworkos mail szerver. En meg neztem, hogy miert nem jon meg a level...

( Aewyn | 2004. 10. 16., szo – 19:40 )

[quote:5267af7d5c="tamasna"]
A tvnetworkos mail szerver is tud jokat. Nem tudom, hogy meg most is igy van-e, mert nem hasznalom, de kb. fel eve meg az volt, hogy a virusos levelek egyszeruen eltuntek amikor atmentek rajta.

Azért van benne ráció: ha egy vírusos gép küldözgeti a levelet, akkor a küldőnek ne küldje vissza, mert hamisított volt a küldő címe, a fogadót pedig miért ez miért is érdekelne?

Jobb időkben a levélforgalom jelentős része ilyen értesítő levél, miért terhelné vele a szolgáltató az ilyenkor egyébként is terhelt szervereit?

( khiraly | 2004. 10. 16., szo – 20:55 )

1. a szolgaltatonal a kapcsolat minosegeert fizet az ember, es nem azert amire akarja hasznalni.
A mostani felfogas szerint kellene csinalni egy
-bongeszo csomagot
-irc-zo csomagot
-directConnectolo csomagot.

2. Definialni kellene, hogy mi minosul szervernek. Ha en elinditok egy TeamSpeak szervert mondjuk 2 oraig amig a haverokkal beszelgetek az is szerver?

(mert most az egyiknel az smtp masiknal meg a port alapjan dontik el, hogy melyik a szerver)

Ha ilyenek vannak, akkor az szerintem az internet sulyos korlatozasanak szamit(amit max. ki lehet jatszani/kerulni), ami semmikep se ildomos cselekedet.

Udv,
Khiraly

( gyu v | 2004. 10. 16., szo – 22:02 )

[quote:0234b04d9a="khiraly"](mert most az egyiknel az smtp masiknal meg a port alapjan dontik el, hogy melyik a szerver)

smtp-t nem azert szurik kifele, mert szerver, hanem hogy ne spammeljenek az o halojukrol. Sok esetben a nagy szolgaltatok megengedhetik maguknak, hogy ne tokoljenek 1-1 spammer kitiltasaval, hanem az egesz networkot, vagy akar minden networkot amit ugyanaz a regisztrator intezett a whoisben kinyomjanak!
Pl. nálunk is volt, hogy ügyfél gépét vírus megszállta. Vmelyik usa-beli szolgáltató meg az egész C-t kitiltotta egy az egyben. Vagyis nem csak minket, de mindenki mást is, aki abba a network-be esett. (Nem nagy szolgáltatóról van szó, a mi esetünkben.) Mindezt azért, mert a vírusszállta gép nekiállt mindenfélét küldeni smtp-n.
Nu, azóta default 25-ös porton, senki sehova kifele! Relayezzenek a szerveren át, és csak olyan feladóval adhatják fel a leveleiket, amiket előtte nekem elsorolnak. (Bármikor hozzáveszek új címeket, ez nem gond...) Viszont sok bosszúságtól megkímél, mert ugye a vírusok általában avval kezdik, hogy a feladót is hamisítják...
De befele, porttól függetlenül DROP a default... RELATED,ESTABLISHED az ACCEPT, meg kifele minden...
Aztán ha vki. vmit akar, szól, és beírom a tűzfalba.
Mióta ez van, a vírusos gépek száma töredékére csökkent...
Nekünk is jobb így, meg az üf.-eknek is.

Az 1024 alatti portokról meg olvass rfc-t. Különlegesnek minősülnek, abban a tekintetben, hogy pl. un*x rendszereken pl. 1024 alatti portokra csak root tud szervert tenni, 1024 fölötti portra meg bárki.

( tamasna | 2004. 10. 16., szo – 22:37 )

[quote:196b2b5c16="gyu"]
De befele, porttól függetlenül DROP a default... RELATED,ESTABLISHED az ACCEPT, meg kifele minden...
Aztán ha vki. vmit akar, szól, és beírom a tűzfalba.
Mióta ez van, a vírusos gépek száma töredékére csökkent...
Nekünk is jobb így, meg az üf.-eknek is.

Az 1024 alatti portokról meg olvass rfc-t. Különlegesnek minősülnek, abban a tekintetben, hogy pl. un*x rendszereken pl. 1024 alatti portokra csak root tud szervert tenni, 1024 fölötti portra meg bárki.

A drop a default az eleg szomoru. Ez egy ceg belso halozatanal teljesen rendben van, de ISP-vel en olyan szerzodest kotok, hogy internet szolgaltatast akarok. Persze lehet, hogy kell szurni a spam meg a virusok miatt, ami meg a jo kis default install, nem karbantartott oprendszereknek koszonheto, de ez mar mas tema.
Mindenesetre jo lenne, ha a szerzodesben pl. az lenne, hogy alapbol sajat belatasa szerint szur az ISP mindenfele forgalmat, de bejelolheted a szerzodesben, hogy feled ne. Atlag felhasznalo ugysem tudja, hogy mirol van szo, nem fogja ezt kerni.

Az 1024 alatti portok meg tenyleg kulonlegesnek minosulnek minden unix-like rendszeren, de ennek utoljara valamikor 20 evvel ezelott lehetett ertelme.

( gyu v | 2004. 10. 17., v – 01:55 )

[quote:a656fd7d13="tamasna"][quote:a656fd7d13="gyu"]
De befele, porttól függetlenül DROP a default... RELATED,ESTABLISHED az ACCEPT, meg kifele minden...
Aztán ha vki. vmit akar, szól, és beírom a tűzfalba.
Mióta ez van, a vírusos gépek száma töredékére csökkent...
Nekünk is jobb így, meg az üf.-eknek is.

Az 1024 alatti portokról meg olvass rfc-t. Különlegesnek minősülnek, abban a tekintetben, hogy pl. un*x rendszereken pl. 1024 alatti portokra csak root tud szervert tenni, 1024 fölötti portra meg bárki.

A drop a default az eleg szomoru. Ez egy ceg belso halozatanal teljesen rendben van, de ISP-vel en olyan szerzodest kotok, hogy internet szolgaltatast akarok. Persze lehet, hogy kell szurni a spam meg a virusok miatt, ami meg a jo kis default install, nem karbantartott oprendszereknek koszonheto, de ez mar mas tema.

Most őszintén!!!
Gondolj bele, mit ért a legtöbb üf. az egészből? Semmit.
Ekkora szakértelem mellé imho semmi gond nincs a default drop-pal a befelé jövő irányban. Mint írtam RELATED is ACCEPT!
Ha meg bárki szól, hogy kellene neki vmit kinyitni, akkor amint időm engedi, átállítom...
Vagyis nincs elvágva előlük a net, sem az, hogy akár szolgáltatás nyisson vmelyik porton. Csak a default beállítás ez.
De majd egyszer biztos elmagyarázod nekem, hogy ez miért is szomorú...
(Ne egy több ezer ügyfeles ISP-re gondolj, hanem csak egy kis akkorára, ami egy kis falut 1 v. 2 AP-vel el tud látni! -> nem "évekig" kell hülye callcenterpitschákkal tárgyalniuk, ha vmi. kell nekik.)

( Névtelen (nem ellenőrzött) | 2004. 10. 17., v – 07:42 )

[quote:a4f14a3008="tamasna"]Mashol is csinalnak ilyen hulyesegeket, vagy ez tvnetworkos specialitas?

Jahh, de en addig veszekedtem veluk hogy a vegen levettek a szurest.
Igaz vagy 10e hufot elteloztam emiatt.
Ma mar nem vagyok tvnetwork-os ugyfel :)