J’ai installé UFW sur mon serveur (Buster). Tout les ports sont fermés en entrée par défaut et j’ai ouvert les ports qui me sont utiles. Tout les ports sont ouvert en sortie par défaut.
Aucun problème apparent, mais j’ai de nombreux message dans syslog que je ne comprend pas.
Mon réseau local est en 192.168.0.*
Les messages sont de la forme :
Pour moi les adresses en 228.10.*.* sont des adresses internes, mais je n’utilise pas cette plage d’adressage.
Syslog contient environ 1600 erreur par jour pour le port 45601, mais également environ 800 pour chacun des ports 43101, 44101 et 45101.
Je ne sait pas par où commencer pour trouver pourquoi mon serveur cherche à se connecter sur ces adresses avec ces ports, ni pourquoi UFW les bloque.
Les adresses privées sont 10.0.0.0 - 10.255.255.255, 172.16.0.0 - 172.31.255.255, et 192.168.0.0 - 192.168.255.255
Si tu utilises ces adresses là pour toi et qu’elles ne t’ont pas été attribuées, tu bloques l’accés à une partie du net sur ton réseau.
Tu en as qui essayent d’entrer ? Il y a des trucs en LISTEN sur ces ports ?
Peut être simplement parceque lui non plus ne sait pas ce que c’est ?
Il apparaît normal qu’elle soient reçues à partir du moment où un appareil sur le même réseau Ethernet émet des paquets en multicast. Il faut aussi que le multicast ne soit pas géré par le(s) switch(es) et donc transformé en broadcast, ou alors que le serveur sous Buster utilise IGMP pour indiquer vouloir recevoir ces paquets.
Si l’émetteur des paquets est sûr le même réseau Ethernet, utiliser tcpdump ou wireshark doit pouvoir permettre d’identifier l’adresse MAC de l’expéditeur.
Une fois l’adresse MAC obtenue, vérifier chaque machine du réseau. Ou alors utiliser la FDB (table des adresses MAC vis à vis des ports et VLAN) de l’éventuel switch manageable pour tracer la machine. Ou encore, utiliser nmap pour faire un ping sur chaque machine du réseau et consulter la table ARP de Linux avec la commande ip -4 neigh ls .
Effectivement, la plage d’adresses est Multicast et non Privée, autant pour moi.
L’analyse avec tcpdump m’a permis de comprendre que les paquets était émis par une vieille installation de Funambol que je n’utilise plus depuis de nombreuses années
Après désactivation de ce service, les log ont cessé.
