Re: AC-X L2 i ruch z 10.0.0.0/8, 172.16.0.0/12 i 192.168.0.0/16

W dniu 02.11.2010 21:04, Verox pisze:
> On Tue, 02 Nov 2010 21:02:42 +0100, Sławek Lipowski napisał:
>> Witam,
>>
>> Mam pytanie do uczestników AC-Xa, którzy mają do niego dostęp w L2. Czy
>> obserwujecie docieranie do waszych sieci ruchu z adresami źródłowymi z
>> podsieci 10.0.0.0/8, 172.16.0.0/12 i 192.168.0.0/16?
>>
>> W kierunku naszych serwerów www, właśnie z AC-Xa, z różnych sieci
>> (potwierdzone przez NOC), wygląda na to, że także ze styku z PLIXem
>> (sądząc na podstawie MAC adresu), dociera sporo ruchu z takiej adresacji.
>>
>> Czy to jest norma?
>>
>> Pozdrawiam i z góry dzięki za poświęcony czas. :)
>
> Tnij na wejściu.
>

Jasne, tylko raz, że tego jest naprawdę sporo i generuje to jakieś tam
obciążenie firewalli, dwa, że chciałbym potwierdzić, że nie ma to
żadnego negatywnego wpływu na pozostały ruch.

Trochę sobie tego złapałem do analizy i z tego co na razie widzę,
zdarzają się pakiety z ustawionymi flagami RST i ACK (seq=2 ack=1), ale
generalnie są to pakiety z ustawionymi flagami FIN i ACK (seq=1 ack=1).
Wygląda to więc jak próba zamknięcia połączenia TCP. Jeśli z jakiegoś
powodu po stronie sieci użytkownika odwiedzającego nasze strony ruch ten
nie jest NATowany na prawidłowy IP i jest przez nas porzucany, to
połączenia TCP z naszymi serwerami www mogą nie być zamykane prawidłowo,
co może generować pewne problemy...

-- 
Sławomir Lipowski
http://lipowski.org