Has anyone been able to drop (and not log) IGMP?

I looking for the same solution myself.   

Hello everyone.  I have found a way to not log the igmp protocol at the 224.0.0.1 IP address.  The solution is to type the following command in the console:

iptables -I INPUT -d 224.0.0.1/24 -j DROP

I am new with astaro product, so I don't no if we can put the iptables in a configuration files that was execute when we boot the firewall.  If no, you must type this string in the console after all reboot/shutdown of the firewall.  Have a nice day.    

Put your rule in a file called ipfilter.local in the /sbin/init.d directory 

and make sure it has root-read permission only...

When you did your Drop rule, did you try (can you even specify??) a target of the interface? That is a requirement/deficiency for the Drop right now...

Sure.
iptables -I INPUT -i eth1 -d 224.0.0.1/24 -j DROP
Or what ever the interface is. 

So I'm curious if he tried that from the web interface...
  

Thanks all for your input.  

SecApp, I have try all combination from the web interface but without success.  I think it's because the igmp protocol are not support in the web interface and if we use any, this don't change anything.  The only way I have found to not log the IGMP traffic is with the iptables command.  Remark that I am not a king in firewall, so correct me if I wrong.

Also, I have adjust a little bit my iptables command to be more precise after I have read your post about the eth1 interface...

iptables -I INPUT -i eth1 -d 224.0.0.1/24 -p igmp -j DROP

This way, we are more precise and we not log only the igmp protocol from the eth1 interface that the destination IP address is 224.0.0.1.            

Are trying to not log traffic originating on your machine or originating elsewhere?
That rule will only drop traffic INBOUND to eth1 where the destination address is 224.0.0.1. 

Yes, I am trying to block traffic that is originate from elsewhere.  It's look like this:

2003-Oct 20 08:19:13 host kernel: IGMP Drop: IN=eth1 OUT= MAC=01:00:5e:00:00:01:00:05:00:e6:24:6c:08:00 SRC=10.66.128.1 DST=224.0.0.1 LEN=28 TOS=0x00 PREC=0xC0 TTL=1 ID=57731 PROTO=2 
2003-Oct 20 12:20:29 host kernel: IGMP Drop: IN=eth1 OUT= MAC=01:00:5e:00:00:01:00:05:00:e6:24:6c:08:00 SRC=10.66.128.1 DST=224.0.0.1 LEN=28 TOS=0x00 PREC=0xC0 TTL=1 ID=3523 PROTO=2 
2003-Oct 20 12:21:30 host kernel: IGMP Drop: IN=eth1 OUT= MAC=01:00:5e:00:00:01:00:05:00:e6:24:6c:08:00 SRC=10.66.128.1 DST=224.0.0.1 LEN=28 TOS=0x00 PREC=0xC0 TTL=1 ID=57822 PROTO=2 
2003-Oct 20 12:22:30 host kernel: IGMP Drop: IN=eth1 OUT= MAC=01:00:5e:00:00:01:00:05:00:e6:24:6c:08:00 SRC=10.66.128.1 DST=224.0.0.1 LEN=28 TOS=0x00 PREC=0xC0 TTL=1 ID=45846 PROTO=2 
2003-Oct 20 12:23:30 host kernel: IGMP Drop: IN=eth1 OUT= MAC=01:00:5e:00:00:01:00:05:00:e6:24:6c:08:00 SRC=10.66.128.1 DST=224.0.0.1 LEN=28 TOS=0x00 PREC=0xC0 TTL=1 ID=23336 PROTO=2 


And it fill my log with new entry every 1 minute.  I have drop all these traffic to see real problem/attack in my log.   

I guess the proof of what you say is to do a rule for IGMP on the webadmin, then an iptables --list at the console to see if you see any IGMP rules in there (i.e., is it doing it wrong or just not doing it altogether?)

But I must say, that's what makes this priduct so ballsy; that you can check if they're doing it right. Most other manufacturers are doing the infallibility through obscurity trip...

Cool it works.
Thanks from my logfiles to all helping brains. 

by the way ASTARO-People could you take it into your firewall so we didn't do it after every new install ? please.  

firebear  

What I have done is created a script file called igmp.sh and simple put this in it:

iptables -I AUTO_INPUT -p igmp -s 0.0.0.0/0 -d 0.0.0.0/0 -j ACCEPT

That way it kills the IGMP logging on all interfaces. 

What I have done is created a script file called igmp.sh and simple put this in it:

iptables -I AUTO_INPUT -p igmp -s 0.0.0.0/0 -d 0.0.0.0/0 -j ACCEPT

That way it kills the IGMP logging on all interfaces. 

Hi redman,
if i understood right than the difference between your way and the way of the other solutions is that you allow and forward every IGMP Packet and this is not what i want to do.

firebear  

ACK! firebear you are right.. I didn't even notice my mistake there about the ACCEPT. I meant to have it DROP.