DoS Protection Meldung

[mcwolle]

Hallo,

bekomme gelegendlich DoS Protection Meldungen, kann sie aber nicht nachstellen, kann mir da jemand sagen was das bedeutet, Danke.

Log-Tabelle/IP-Router
Idx. System-Zeit Quell-Adresse Ziel-Adresse Prot. Quell-Port Ziel-Port Filterregel Limit Schwelle Aktion
0001 17.2.2007 19:14:39 0.0.0.0 0.0.0.0 17 68 67 DoS protection 0000001 0 80000800

[backslash]

Hi mcwolle

das ist ein DHCP-Request, der statt an die Adresse 255.255.255.255 an die 0.0.0.0 gerichtet ist - und eine Zieladresse 0.0.0.0 führt automatisch zu einen DoS-Meldung weil es halt nicht erlaubt ist. Soweit ich weiß macht die XBox so einen Mist...

Um herauszufinden, wer genau dafür verantwortwortlich ist: Laß dir von der Firewall eine Mail schicken - da steht dann die MAC-Adresse des Absenders drin...

Gruß
Backslash

[mcwolle]

Hallo backslash,

das ist die Mail, dazu kann aber leider keine MAC finden?
Gruß mcwolle


Date: 2/17/2007 19:14:41

The packet below

Src: 0.0.0.0:68 {BuchKanzel} Dst: 0.0.0.0:67 {BuchKanzel} (UDP)


45 00 01 48 06 fd 00 00 ff 11 b3 a8 00 00 00 00 | E..H.... ........
00 00 00 00 00 44 00 43 01 34 37 bf 01 01 06 00 | .....D.C .47.....
00 00 04 ab 00 00 00 00 00 00 00 00 00 00 00 00 | ........ ........
00 00 00 00 00 00 00 00 00 a0 c5 82 97 f9 00 00 | ........ ........
00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 | ........ ........
00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 | ........ ........
00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 | ........ ........
00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 | ........ ........

matched this filter rule: DoS protection
filter info: packet with same source and destination address received from interface LAN

because of this the actions below were performed:
reject
send email to administrator

[mcwolle]

ist es manchmal die 00 a0 c5 82 97 f9

[backslash]

Hi mcwolle,

ja, in diesem Fall ist es die 00 a0 c5 82 97 f9... (sie steht im DHCP-Request)

Gruß
Backslash

[mcwolle]

Date: 1/23/2007 20:25:14

The packet below

Src: 192.168.96.7:2313 {Inneralpbach} Dst: 192.168.96.7:2313 {Inneralpbach} (UDP)


45 00 00 66 00 77 00 00 3c 11 3c b1 c0 a8 60 07 | E..f.w.. <.<...`.
c0 a8 60 07 09 09 09 09 00 52 f1 4d 01 03 00 00 | ..`..... .R.M....
0a 49 6e 74 65 72 77 61 76 65 49 01 00 06 00 0f | .Interwa veI.....
a3 4b 0b b6 02 00 06 00 00 00 00 00 00 03 00 06 | .K...... ........
00 0f a3 4b 05 ee 04 00 01 20 07 00 02 00 02 10 | ...K.... . ......
00 01 05 11 00 01 00 12 00 01 0b 13 00 02 00 64 | ........ .......d
80 00 03 00 a0 57 | .....W

matched this filter rule: DoS protection
filter info: packet with same source and destination address received from interface LAN

because of this the actions below were performed:
reject
send email to administrator

[mcwolle]

kann mir dabei auch jemand helfen, bei der anderen handelte es sich um einen fehlerhaften Zyxel Router 334

Date: 1/23/2007 20:25:14

The packet below

Src: 192.168.96.7:2313 {Inneralpbach} Dst: 192.168.96.7:2313 {Inneralpbach} (UDP)


45 00 00 66 00 77 00 00 3c 11 3c b1 c0 a8 60 07 | E..f.w.. <.<...`.
c0 a8 60 07 09 09 09 09 00 52 f1 4d 01 03 00 00 | ..`..... .R.M....
0a 49 6e 74 65 72 77 61 76 65 49 01 00 06 00 0f | .Interwa veI.....
a3 4b 0b b6 02 00 06 00 00 00 00 00 00 03 00 06 | .K...... ........
00 0f a3 4b 05 ee 04 00 01 20 07 00 02 00 02 10 | ...K.... . ......
00 01 05 11 00 01 00 12 00 01 0b 13 00 02 00 64 | ........ .......d
80 00 03 00 a0 57 | .....W

matched this filter rule: DoS protection
filter info: packet with same source and destination address received from interface LAN

because of this the actions below were performed:
reject
send email to administrator

[backslash]

Hi mcwolle,

laut IANA ist Port 2313 IAPP (Inter Access Point Protocol). Da scheint wohl ein Accesspoint beim Roaming eines WLAN-Clients Mist zu bauen...

Hat du einenm AP, der "Interwave" heißt?

Gruß
Backslash

[mcwolle]

kann man da irgendwie die MAC herrausfinden, dann finde ich auch den Passenden Access Point und Client.
Interwave heist keiner

[backslash]

Hi mcwolle

kann man da irgendwie die MAC herrausfinden

leider nein - das gibt's erst mit der 7.00

Da sich der Absender aber im LAN befindet, kannst du ihn doch einfach von deinem PC anpingen und dann in der ARP-Tabelle nachschauen:

ping 192.168.96.7

...

arp -a 192.168.96.7



Gruß
Backslash