IP Spoofing ,taucht jeden tag in meinen logs auf

[SELLMI]

Jul 3 14:22:35 linux kernel: SuSE-FW-DROP-ANTI-SPOOFIN=ippp0 OUT= MAC= SRC=192.168.20.98 DST=217.2.71.220 LEN=696 TOS=0x00 PREC=0x00 TTL=47 ID=30138 DF PROTO=TCP SPT=8081 DPT=1561 WINDOW=31856 RES=0x00 ACK PSH FIN URGP=0 OPT (0101080A9A72E5520063B46B)
Jul 3 14:23:00 linux kernel: SuSE-FW-DROP-ANTI-SPOOFIN=ippp0 OUT= MAC= SRC=192.168.20.70 DST=217.2.71.220 LEN=696 TOS=0x00 PREC=0x00 TTL=48 ID=49129 DF PROTO=TCP SPT=8081 DPT=1569 WINDOW=31856 RES=0x00 ACK PSH FIN URGP=0 OPT (0101080A9A6D60C50063BDB4)
Jul 3 14:24:35 linux kernel: SuSE-FW-DROP-ANTI-SPOOFIN=ippp0 OUT= MAC= SRC=192.168.20.98 DST=217.2.71.220 LEN=696 TOS=0x00 PREC=0x00 TTL=47 ID=40208 DF PROTO=TCP SPT=8081 DPT=1561 WINDOW=31856 RES=0x00 ACK PSH FIN URGP=0 OPT (0101080A9A7314320063B46B)
Jul 3 14:25:00 linux kernel: SuSE-FW-DROP-ANTI-SPOOFIN=ippp0 OUT= MAC= SRC=192.168.20.70 DST=217.2.71.220 LEN=696 TOS=0x00 PREC=0x00 TTL=48 ID=59361 DF PROTO=TCP SPT=8081 DPT=1569 WINDOW=31856 RES=0x00 ACK PSH FIN URGP=0 OPT (0101080A9A6D8FA50063BDB4)
Jul 3 14:26:35 linux kernel: SuSE-FW-DROP-ANTI-SPOOFIN=ippp0 OUT= MAC= SRC=192.168.20.98 DST=217.2.71.220 LEN=696 TOS=0x00 PREC=0x00 TTL=47 ID=50343 DF PROTO=TCP SPT=8081 DPT=1561 WINDOW=31856 RES=0x00 ACK PSH FIN URGP=0 OPT (0101080A9A7343120063B46B)
Jul 3 14:27:00 linux kernel: SuSE-FW-DROP-ANTI-SPOOFIN=ippp0 OUT= MAC= SRC=192.168.20.70 DST=217.2.71.220 LEN=696 TOS=0x00 PREC=0x00 TTL=48 ID=3926 DF PROTO=TCP SPT=8081 DPT=1569 WINDOW=31856 RES=0x00 ACK PSH FIN URGP=0 OPT (0101080A9A6DBE850063BDB4)
Jul 3 14:28:35 linux kernel: SuSE-FW-DROP-ANTI-SPOOFIN=ippp0 OUT= MAC= SRC=192.168.20.98 DST=217.2.71.220 LEN=696 TOS=0x00 PREC=0x00 TTL=47 ID=60166 DF PROTO=TCP SPT=8081 DPT=1561 WINDOW=31856 RES=0x00 ACK PSH FIN URGP=0 OPT (0101080A9A7371F20063B46B)
Jul 3 14:29:00 linux kernel: SuSE-FW-DROP-ANTI-SPOOFIN=ippp0 OUT= MAC= SRC=192.168.20.70 DST=217.2.71.220 LEN=696 TOS=0x00 PREC=0x00 TTL=48 ID=13428 DF PROTO=TCP SPT=8081 DPT=1569 WINDOW=31856 RES=0x00 ACK PSH FIN URGP=0 OPT (0101080A9A6DED650063BDB4)
Jul 3 14:30:35 linux kernel: SuSE-FW-DROP-ANTI-SPOOFIN=ippp0 OUT= MAC= SRC=192.168.20.98 DST=217.2.71.220 LEN=696 TOS=0x00 PREC=0x00 TTL=47 ID=4403 DF PROTO=TCP SPT=8081 DPT=1561 WINDOW=31856 RES=0x00 ACK PSH FIN URGP=0 OPT (0101080A9A73A0D20063B46B)
Jul 3 14:31:00 linux kernel: SuSE-FW-DROP-ANTI-SPOOFIN=ippp0 OUT= MAC= SRC=192.168.20.70 DST=217.2.71.220 LEN=696 TOS=0x00 PREC=0x00 TTL=48 ID=23094 DF PROTO=TCP SPT=8081 DPT=1569 WINDOW=31856 RES=0x00 ACK PSH FIN URGP=0 OPT (0101080A9A6E1C450063BDB4)
Jul 3 14:32:35 linux kernel: SuSE-FW-DROP-ANTI-SPOOFIN=ippp0 OUT= MAC= SRC=192.168.20.98 DST=217.2.71.220 LEN=696 TOS=0x00 PREC=0x00 TTL=47 ID=14342 DF PROTO=TCP SPT=8081 DPT=1561 WINDOW=31856 RES=0x00 ACK PSH FIN URGP=0 OPT (0101080A9A73CFB20063B46B)
Jul 3 14:33:00 linux kernel: SuSE-FW-DROP-ANTI-SPOOFIN=ippp0 OUT= MAC= SRC=192.168.20.70 DST=217.2.71.220 LEN=696 TOS=0x00 PREC=0x00 TTL=48 ID=32986 DF PROTO=TCP SPT=8081 DPT=1569 WINDOW=31856 RES=0x00 ACK PSH FIN URGP=0 OPT (0101080A9A6E4B250063BDB4)


jeden tag das selbe , aber es kann doch eigendlich gar nichts sein ich hänge an einer t-online flat , deshalb glaube ich auf keinen fall , daß das gezielt sein kann . Aber woher kommt es ?

[prg_tom]

Auf den ersten Blick siehts danach aus...

source ip von private adressen..
ack und fin gesetzt, ohne jemals einen Connect gemacht zu haben...
ausserdem option gesetz, was ziemlich unüblich ist...

das Paket kann nur vom gleichen Subnetz kommen ( 217.2.71.0 je nach subnetzmaske ),
da jeder Router der was auf sich hält, Pakete mit Privatadressen verwerfen würde...

Achso, um eine Ip Adresse herauszubekommen ist doch auch kein Problem.( zb ICQ )

[ratte]

<grins>sieht so aus, als seist dus selbst...192.168.x.x ist *for private use only*</grins>

ratte

[SEllmi]

1. Ratte was willst du mir damit sagen ?

2. wann kann jemand mit solchen packeten for haben ?
was bringt ihm das , und welche nachteile könnte ich davon haben ?

[ratte]

æsellmi

nun, src ist eine private adresse, die in jedem homenetz verwendet werden darf und bei onlineverbindungen maskiert wird.

dst ist eine aus dem Telekompool.

also, wirklich ahnung habe ich da nicht, aber ich dachte mir, dass kann ja dein eigener rechner sein, oder?

ratte

[prg_tom]

wenn ein Server diese Pakete annehmen würde,
könnte dieser abstürzen...
Sonst sind diese pakete sind ziemlich sinnlos...
weil, wenn eine Antwort erfolgen würde, diese niergends ankommen würden...

Also, keine große Auswirkung...

[ronny]

kleine ergänzung
wenn man t-online über isdn (oder modem) nutzt, dann ist nicht sicher, dass die 192.168.x.x adresse gespooft ist
t-online hat (zumindest im alten netz) auch private adressen, z.b. der cept gateway rechner hat 192.168.0.1

bei dsl gibts afaik nur öffentliche adressen

[cerberusger]

der sinn von gespooften adressen ist ja gerade, sie aussehen zu lassen, als kaemen sie vom lokalen netz. damit kann man rechner abtrennen == (d)dos

was aber in deinem fall kaum sinn machen wuerde, da du ja ein dialup-user bist.

das mit dem cept-gw hat nix zu sagen, solange du direkt mit ihm verbunden bist, ist das ja ein privates netz, und wird genau aus dem grund benutzt, damit es nicht weiter geroutet wird == sicherheit (wenigstens soll es das sein =)

dev0

[Sellmi]

also brauche ich das nicht beachten , weil es nicht wichtig ist , oder ?

[ronny]

das mit dem cept gateway hat schon was zu sagen, dann müsste nämlich traffic zu/von privaten adressen über das externe interface gehen (was ja durch die spoofing protection verhindert wird)