Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 11 replies
  • Subscribers 2 subscribers
  • Views 2503 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Filterrules ???

Magnus_Lundberg
Is there anyone who can help me to filter(drop) some unwanted logged trafic from the packtet filter log.

---------------------------------------------------------------------------Aug 28 23:40:58 (none) kernel: UDP Drop: IN=eth1 OUT= MAC=ff:ff:ff:ff:ff:ff:00:00:e8:9d:99:cd:08:00 SRC=192.168.0.25 DST=255.255.255.255 LEN=44 TOS=0x00 PREC=0x00 TTL=32 ID=59242 PROTO=UDP SPT=1028 DPT=38293 LEN=24 
Aug 28 23:40:58 (none) kernel: UDP Drop: IN=eth1 OUT= MAC=ff:ff:ff:ff:ff:ff:00:00:e8:9d:99:cd:08:00 SRC=192.168.0.25 DST=255.255.255.255 LEN=44 TOS=0x00 PREC=0x00 TTL=32 ID=59245 PROTO=UDP SPT=1028 DPT=38293 LEN=24 
Aug 28 23:40:58 (none) kernel: UDP Drop: IN=eth1 OUT= MAC=ff:ff:ff:ff:ff:ff:00:00:e8:9d:99:cd:08:00 SRC=192.168.0.25 DST=255.255.255.255 LEN=44 TOS=0x00 PREC=0x00 TTL=32 ID=59246 PROTO=UDP SPT=1028 DPT=38293 LEN=24 
Aug 28 23:40:58 (none) kernel: UDP Drop: IN=eth1 OUT= MAC=ff:ff:ff:ff:ff:ff:00:00:e8:9d:99:cd:08:00 SRC=192.168.0.25 DST=255.255.255.255 LEN=44 TOS=0x00 PREC=0x00 TTL=32 ID=59281 PROTO=UDP SPT=1028 DPT=38293 LEN=24 
Aug 28 23:40:58 (none) kernel: UDP Drop: IN=eth1 OUT= MAC=ff:ff:ff:ff:ff:ff:00:00:e8:9d:99:cd:08:00 SRC=192.168.0.25 DST=255.255.255.255 LEN=44 TOS=0x00 PREC=0x00 TTL=32 ID=59282 PROTO=UDP SPT=1028 DPT=38293 LEN=24 
Aug 28 23:41:48 (none) kernel: UDP Drop: IN=eth1 OUT= MAC=ff:ff:ff:ff:ff:ff:00:80:c8:25:61:cc:08:00 SRC=0.0.0.0 DST=255.255.255.255 LEN=328 TOS=0x00 PREC=0x00 TTL=64 ID=60702 PROTO=UDP SPT=68 DPT=67 LEN=308 
Aug 28 23:41:52 (none) kernel: UDP Drop: IN=eth1 OUT= MAC=ff:ff:ff:ff:ff:ff:00:80:c8:25:61:cc:08:00 SRC=0.0.0.0 DST=255.255.255.255 LEN=328 TOS=0x00 PREC=0x00 TTL=64 ID=60958 PROTO=UDP SPT=68 DPT=67 LEN=308 
Aug 28 23:42:00 (none) kernel: UDP Drop: IN=eth1 OUT= MAC=ff:ff:ff:ff:ff:ff:00:80:c8:25:61:cc:08:00 SRC=0.0.0.0 DST=255.255.255.255 LEN=328 TOS=0x00 PREC=0x00 TTL=64 ID=61214 PROTO=UDP SPT=68 DPT=67 LEN=308 
Aug 28 23:42:16 (none) kernel: UDP Drop: IN=eth1 OUT= MAC=ff:ff:ff:ff:ff:ff:00:80:c8:25:61:cc:08:00 SRC=0.0.0.0 DST=255.255.255.255 LEN=328 TOS=0x00 PREC=0x00 TTL=64 ID=61470 PROTO=UDP SPT=68 DPT=67 LEN=308 
Aug 28 23:42:33 (none) kernel: UDP Drop: IN=eth1 OUT= MAC=ff:ff:ff:ff:ff:ff:00:50:22:b0:ec:6e:08:00 SRC=81.216.250.3 DST=81.216.250.63 LEN=234 TOS=0x00 PREC=0x00 TTL=128 ID=14774 PROTO=UDP SPT=138 DPT=138 LEN=214 
Aug 28 23:43:14 (none) kernel: ICMP Drop: IN=eth1 OUT= MAC=00:00:1c[:D]5:ab:78:00:09:e8:99[:D]f:3f:08:00 SRC=81.218.236.86 DST=81.216.250.13 LEN=92 TOS=0x00 PREC=0x00 TTL=103 ID=60815 PROTO=ICMP TYPE=8 CODE=0 ID=512 SEQ=11508 
Aug 28 23:43:36 (none) kernel: UDP Drop: IN=eth1 OUT= MAC=ff:ff:ff:ff:ff:ff:00:a0:24:4a:6b:70:08:00 SRC=81.216.250.2 DST=81.216.250.63 LEN=237 TOS=0x00 PREC=0x00 TTL=128 ID=62713 PROTO=UDP SPT=1024 DPT=138 LEN=217 
Aug 28 23:43:36 (none) kernel: UDP Drop: IN=eth1 OUT= MAC=ff:ff:ff:ff:ff:ff:00:a0:24:4a:6b:70:08:00 SRC=81.216.250.2 DST=81.216.250.63 LEN=78 TOS=0x00 PREC=0x00 TTL=128 ID=62969 PROTO=UDP SPT=1029 DPT=137 LEN=58 
Aug 28 23:43:37 (none) kernel: UDP Drop: IN=eth1 OUT= MAC=ff:ff:ff:ff:ff:ff:00:a0:24:4a:6b:70:08:00 SRC=81.216.250.2 DST=81.216.250.63 LEN=78 TOS=0x00 PREC=0x00 TTL=128 ID=63225 PROTO=UDP SPT=1029 DPT=137 LEN=58 
Aug 28 23:43:37 (none) kernel: UDP Drop: IN=eth1 OUT= MAC=ff:ff:ff:ff:ff:ff:00:a0:24:4a:6b:70:08:00 SRC=81.216.250.2 DST=81.216.250.63 LEN=78 TOS=0x00 PREC=0x00 TTL=128 ID=63481 PROTO=UDP SPT=1029 DPT=137 LEN=58 
Aug 28 23:43:47 (none) kernel: ICMP Drop: IN=eth1 OUT= MAC=00:00:1c[:D]5:ab:78:00:09:e8:99[:D]f:3f:08:00 SRC=81.218.63.165 DST=81.216.250.13 LEN=92 TOS=0x00 PREC=0x00 TTL=100 ID=5340 PROTO=ICMP TYPE=8 CODE=0 ID=512 SEQ=35301 
Aug 28 23:43:52 (none) kernel: UDP Drop: IN=eth1 OUT= MAC=ff:ff:ff:ff:ff:ff:00:80:c8:25:61:cc:08:00 SRC=0.0.0.0 DST=255.255.255.255 LEN=328 TOS=0x00 PREC=0x00 TTL=64 ID=61726 PROTO=UDP SPT=68 DPT=67 LEN=308 
Aug 28 23:43:56 (none) kernel: UDP Drop: IN=eth1 OUT= MAC=ff:ff:ff:ff:ff:ff:00:80:c8:25:61:cc:08:00 SRC=0.0.0.0 DST=255.255.255.255 LEN=328 TOS=0x00 PREC=0x00 TTL=64 ID=61982 PROTO=UDP SPT=68 DPT=67 LEN=308 
Aug 28 23:43:59 (none) kernel: ICMP Drop: IN=eth1 OUT= MAC=00:00:1c[:D]5:ab:78:00:09:e8:99[:D]f:3f:08:00 SRC=81.218.106.90 DST=81.216.250.13 LEN=92 TOS=0x00 PREC=0x00 TTL=103 ID=41625 PROTO=ICMP TYPE=8 CODE=0 ID=768 SEQ=49504 
Aug 28 23:44:04 (none) kernel: UDP Drop: IN=eth1 OUT= MAC=ff:ff:ff:ff:ff:ff:00:80:c8:25:61:cc:08:00 SRC=0.0.0.0 DST=255.255.255.255 LEN=328 TOS=0x00 PREC=0x00 TTL=64 ID=62238 PROTO=UDP SPT=68 DPT=67 LEN=308 
Aug 28 23:44:20 (none) kernel: UDP Drop: IN=eth1 OUT= MAC=ff:ff:ff:ff:ff:ff:00:80:c8:25:61:cc:08:00 SRC=0.0.0.0 DST=255.255.255.255 LEN=328 TOS=0x00 PREC=0x00 TTL=64 ID=62494 PROTO=UDP SPT=68 DPT=67 LEN=308 
Aug 28 23:44:31 (none) kernel: ICMP Drop: IN=eth1 OUT= MAC=00:00:1c[:D]5:ab:78:00:09:e8:99[:D]f:3f:08:00 SRC=81.218.191.253 DST=81.216.250.13 LEN=92 TOS=0x00 PREC=0x00 TTL=103 ID=40324 PROTO=ICMP TYPE=8 CODE=0 ID=768 SEQ=47062 
---------------------------------------------------------------------------   


This thread was automatically locked due to age.
Parents
  • 0
    Hi,

    Make a packetfilter-rule:
    From: ANY
    To: xyz_interface__
    Service: xyz
    Action: DROP

    I recommend you to drop all broadcastas ...
    From: ANY
    To: xyz_broadcast__
    Service: Any
    Action: DROP

    ... and port 135 (Sobig.f-Virus) ...
    From: ANY
    To: xyz_interface__
    Service: >Definition for Port 135 (udp and tcp) Problems with reporting)

    HelpingHand  
Reply
  • 0
    Hi,

    Make a packetfilter-rule:
    From: ANY
    To: xyz_interface__
    Service: xyz
    Action: DROP

    I recommend you to drop all broadcastas ...
    From: ANY
    To: xyz_broadcast__
    Service: Any
    Action: DROP

    ... and port 135 (Sobig.f-Virus) ...
    From: ANY
    To: xyz_interface__
    Service: >Definition for Port 135 (udp and tcp) Problems with reporting)

    HelpingHand  
Children
  • 0 in reply to helpinghand
    Thanks for the suggestion

    I  have tried to do a filterrule like
    ANY AllLocalandWorldBroadcast ANY Drop

    and in the ServiceGroup I have added Netbios and all other unwanted broadcast services.
     
    But I still get entries from Netbios, DHCP etc  ?

    In which other should I set the Filter Rules Drops or 
    Allows first ?

    I have tried both, but with same result, entries in the filterlog   
  • 0 in reply to Magnus_Lundberg
    use the boradcast adressse as destination!


    Greetings
    cyclops   
  • 0 in reply to cyclops
    Thanks that was the key  ...

    But I still get som other entries in the logfile perhaps you have some suggestions how to get rid of them.

    Is there any rules how you order your filterrules allows and drops ?
    Is this like an accesslist first hit and so on  ?
    --------------------------------------------------------------------
    2003-Aug 31 20:31:19 host kernel: TCP Drop: IN=eth1 OUT= MAC=00:00:1c[:D]5:ab:78:00:09:e8:99[:D]f:3f:08:00 SRC=213.142.161.142 DST=81.216.250.13 LEN=48 TOS=0x00 PREC=0x00 TTL=110 ID=8841 DF PROTO=TCP SPT=3503 DPT=135 WINDOW=64240 RES=0x00 SYN URGP=0 
    2003-Aug 31 20:31:22 host kernel: TCP Drop: IN=eth1 OUT= MAC=00:00:1c[:D]5:ab:78:00:09:e8:99[:D]f:3f:08:00 SRC=213.142.161.142 DST=81.216.250.13 LEN=48 TOS=0x00 PREC=0x00 TTL=110 ID=9011 DF PROTO=TCP SPT=3503 DPT=135 WINDOW=64240 RES=0x00 SYN URGP=0 
    2003-Aug 31 20:33:16 host kernel: ICMP Drop: IN=eth1 OUT= MAC=00:00:1c[:D]5:ab:78:00:09:e8:99[:D]f:3f:08:00 SRC=81.218.50.59 DST=81.216.250.13 LEN=92 TOS=0x00 PREC=0x00 TTL=102 ID=54054 PROTO=ICMP TYPE=8 CODE=0 ID=512 SEQ=35900 
    2003-Aug 31 20:33:41 host kernel: TCP Drop: IN=eth1 OUT= MAC=00:00:1c[:D]5:ab:78:00:09:e8:99[:D]f:3f:08:00 SRC=81.203.152.208 DST=81.216.250.13 LEN=48 TOS=0x00 PREC=0x00 TTL=101 ID=65016 DF PROTO=TCP SPT=3994 DPT=135 WINDOW=16384 RES=0x00 SYN URGP=0 
    2003-Aug 31 20:33:57 host kernel: ICMP Drop: IN=eth1 OUT= MAC=00:00:1c[:D]5:ab:78:00:09:e8:99[:D]f:3f:08:00 SRC=81.218.200.15 DST=81.216.250.13 LEN=92 TOS=0x00 PREC=0x00 TTL=102 ID=20817 PROTO=ICMP TYPE=8 CODE=0 ID=512 SEQ=64053 
    2003-Aug 31 20:34:07 host kernel: TCP Drop: IN=eth1 OUT= MAC=00:00:1c[:D]5:ab:78:00:09:e8:99[:D]f:3f:08:00 SRC=68.20.38.119 DST=81.216.250.13 LEN=48 TOS=0x00 PREC=0x00 TTL=100 ID=49246 DF PROTO=TCP SPT=3906 DPT=135 WINDOW=65280 RES=0x00 SYN URGP=0 
    2003-Aug 31 20:34:13 host kernel: ICMP Drop: IN=eth1 OUT= MAC=00:00:1c[:D]5:ab:78:00:09:e8:99[:D]f:3f:08:00 SRC=81.218.32.153 DST=81.216.250.13 LEN=92 TOS=0x00 PREC=0x00 TTL=102 ID=41883 PROTO=ICMP TYPE=8 CODE=0 ID=512 SEQ=38285 
    2003-Aug 31 20:34:13 host kernel: ICMP Drop: IN=eth1 OUT= MAC=00:00:1c[:D]5:ab:78:00:09:e8:99[:D]f:3f:08:00 SRC=81.218.17.132 DST=81.216.250.13 LEN=92 TOS=0x00 PREC=0x00 TTL=98 ID=893 PROTO=ICMP TYPE=8 CODE=0 ID=512 SEQ=12510 
    2003-Aug 31 20:34:22 host kernel: UDP Drop: IN=eth1 OUT= MAC=ff:ff:ff:ff:ff:ff:00:a0:24:4a:6b:70:08:00 SRC=81.216.250.2 DST=81.216.250.63 LEN=237 TOS=0x00 PREC=0x00 TTL=128 ID=25691 PROTO=UDP SPT=1024 DPT=138 LEN=217 
    2003-Aug 31 20:35:14 host kernel: ICMP Drop: IN=eth1 OUT= MAC=00:00:1c[:D]5:ab:78:00:09:e8:99[:D]f:3f:08:00 SRC=81.218.168.8 DST=81.216.250.13 LEN=92 TOS=0x00 PREC=0x00 TTL=102 ID=58078 PROTO=ICMP TYPE=8 CODE=0 ID=512 SEQ=5108 
    2003-Aug 31 20:35:14 host kernel: ICMP Drop: IN=eth1 OUT= MAC=00:00:1c[:D]5:ab:78:00:09:e8:99[:D]f:3f:08:00 SRC=81.218.33.65 DST=81.216.250.13 LEN=92 TOS=0x00 PREC=0x00 TTL=102 ID=14905 PROTO=ICMP TYPE=8 CODE=0 ID=512 SEQ=9701 
    2003-Aug 31 20:36:03 host kernel: ICMP Drop: IN=eth1 OUT= MAC=00:00:1c[:D]5:ab:78:00:09:e8:99[:D]f:3f:08:00 SRC=81.218.153.223 DST=81.216.250.13 LEN=92 TOS=0x00 PREC=0x00 TTL=100 ID=11276 PROTO=ICMP TYPE=8 CODE=0 ID=256 SEQ=55034 
    2003-Aug 31 20:36:28 host kernel: ICMP Drop: IN=eth1 OUT= MAC=00:00:1c[:D]5:ab:78:00:09:e8:99[:D]f:3f:08:00 SRC=81.218.201.2 DST=81.216.250.13 LEN=92 TOS=0x00 PREC=0x00 TTL=102 ID=60716 PROTO=ICMP TYPE=8 CODE=0 ID=512 SEQ=14565 
    2003-Aug 31 20:36:59 host kernel: ICMP Drop: IN=eth1 OUT= MAC=00:00:1c[:D]5:ab:78:00:09:e8:99[:D]f:3f:08:00 SRC=81.218.216.101 DST=81.216.250.13 LEN=92 TOS=0x00 PREC=0x00 TTL=103 ID=34992 PROTO=ICMP TYPE=8 CODE=0 ID=512 SEQ=5108 
    2003-Aug 31 20:37:01 host kernel: ICMP Drop: IN=eth1 OUT= MAC=00:00:1c[:D]5:ab:78:00:09:e8:99[:D]f:3f:08:00 SRC=81.218.83.27 DST=81.216.250.13 LEN=92 TOS=0x00 PREC=0x00 TTL=101 ID=33821 PROTO=ICMP TYPE=8 CODE=0 ID=768 SEQ=5108 
      
  • 0 in reply to Magnus_Lundberg
    Magnus,
    directly from the asl online help:

    :: Packet filter processing ::  

    Each rule has a number (No.), representing is priority, where smaller numbers mean higher priority. When matching traffic, rules with higher priority will be evaluated first. When a rule matches a packet, processing is aborted and the action defined in the rule is carried out.
       
  • 0 in reply to cyclops
    I still get unwanted entries in the logfiles is there anyone who have an suggestion how I should solve this ? 

    2003-Sep  1 22:01:28 host kernel: TCP Drop: IN=eth1 OUT= MAC=00:00:1c[:D]5:ab:78:00:09:e8:99[:D]f:3f:08:00 SRC=81.203.115.79 DST=81.216.250.13 LEN=48 TOS=0x00 PREC=0x00 TTL=100 ID=37816 DF PROTO=TCP SPT=2321 DPT=135 WINDOW=16384 RES=0x00 SYN URGP=0 
    2003-Sep  1 22:01:31 host kernel: TCP Drop: IN=eth1 OUT= MAC=00:00:1c[:D]5:ab:78:00:09:e8:99[:D]f:3f:08:00 SRC=81.203.115.79 DST=81.216.250.13 LEN=48 TOS=0x00 PREC=0x00 TTL=100 ID=38043 DF PROTO=TCP SPT=2321 DPT=135 WINDOW=16384 RES=0x00 SYN URGP=0 
    2003-Sep  1 22:01:33 host kernel: ICMP Drop: IN=eth1 OUT= MAC=00:00:1c[:D]5:ab:78:00:09:e8:99[:D]f:3f:08:00 SRC=81.218.221.241 DST=81.216.250.13 LEN=92 TOS=0x00 PREC=0x00 TTL=103 ID=37586 PROTO=ICMP TYPE=8 CODE=0 ID=768 SEQ=5108 
    2003-Sep  1 22:01:37 host kernel: ICMP Drop: IN=eth1 OUT= MAC=00:00:1c[:D]5:ab:78:00:09:e8:99[:D]f:3f:08:00 SRC=81.218.177.79 DST=81.216.250.13 LEN=92 TOS=0x00 PREC=0x00 TTL=103 ID=36303 PROTO=ICMP TYPE=8 CODE=0 ID=512 SEQ=58582 
    2003-Sep  1 22:03:01 host kernel: ICMP Drop: IN=eth1 OUT= MAC=00:00:1c[:D]5:ab:78:00:09:e8:99[:D]f:3f:08:00 SRC=81.218.84.152 DST=81.216.250.13 LEN=92 TOS=0x00 PREC=0x00 TTL=101 ID=24470 PROTO=ICMP TYPE=8 CODE=0 ID=512 SEQ=55510 
    2003-Sep  1 22:03:02 host kernel: ICMP Drop: IN=eth1 OUT= MAC=00:00:1c[:D]5:ab:78:00:09:e8:99[:D]f:3f:08:00 SRC=81.218.169.100 DST=81.216.250.13 LEN=92 TOS=0x00 PREC=0x00 TTL=103 ID=24875 PROTO=ICMP TYPE=8 CODE=0 ID=768 SEQ=29669 
    2003-Sep  1 22:05:24 host kernel: ICMP Drop: IN=eth1 OUT= MAC=00:00:1c[:D]5:ab:78:00:09:e8:99[:D]f:3f:08:00 SRC=81.218.7.80 DST=81.216.250.13 LEN=92 TOS=0x00 PREC=0x00 TTL=97 ID=51007 PROTO=ICMP TYPE=8 CODE=0 ID=512 SEQ=1239 
    2003-Sep  1 22:07:11 host kernel: ICMP Drop: IN=eth1 OUT= MAC=00:00:1c[:D]5:ab:78:00:09:e8:99[:D]f:3f:08:00 SRC=81.218.48.64 DST=81.216.250.13 LEN=92 TOS=0x00 PREC=0x00 TTL=96 ID=9859 PROTO=ICMP TYPE=8 CODE=0 ID=512 SEQ=50390 
    2003-Sep  1 22:07:34 host kernel: ICMP Drop: IN=eth1 OUT= MAC=00:00:1c[:D]5:ab:78:00:09:e8:99[:D]f:3f:08:00 SRC=81.218.203.68 DST=81.216.250.13 LEN=92 TOS=0x00 PREC=0x00 TTL=102 ID=10818 PROTO=ICMP TYPE=8 CODE=0 ID=512 SEQ=5108 
       
  • 0 in reply to Magnus_Lundberg
    Why don't you want these logged may I ask ?

    You could go through and define all this traffic and ask it not to log it but I don't really see the point ?

    What are you trying to achieve ? 
  • 0 in reply to Simon Shaw
    I want to filter ordinary traffic, so I can easier can see the really important traffic.

    Should the firewall log ICMP requests ?
    Is this because I have disabled ICMP forward ?
    What is the recomended solution ?

    Then I have entries like from MS-Blaster that I cant get rid of ??
    I wonder if I can have some other problems in the ASL ....
     
        
  • 0 in reply to Simon Shaw
    Hi Magnus,
    what rule have you made and on wich position have you put it ?
    It should be like :
    any "DST-Port=135" 81.216.250.13 drop   (but is 81.216.250.13 given you via DHCP ?)

    firebear