icmp-port-unreachable erzeugen (solved) (Allgemeines zu Perl)

[thread]21222[/thread]

icmp-port-unreachable erzeugen [solved]

Tags: perl5 Similar Threads

Readers: 7

Articles: hide open all | hide show old branches

+14 replies
guest Nobody

2021-08-19 14:20

Hallo,
ich habe ein Script das in Ergänzung zu Fail2Ban, bestimmte IPs blockiert.
Gerade überlege ich ob es machbar sein kann mit Perl ein "icmp-port-unreachable" (also wie in Fail2Ban) an den Client zu senden.

Hat da jemand einen kleinen Hinweis?
Last edited: 2021-08-19 14:37:26 +0200 (CEST)
- styx-cc
  
  2021-08-19 14:50
  
  User since
  2006-05-20
  533 articles
  BenutzerIn
  
  Hi!
  
  ~~Fail2Ban sendet nichts an den Clienten~~ sondern erstellt Firewallregeln auf deinem Server, basierend auf f2b-Konfigurationsdateien - ~~das icmp-port-unreachable kommt von der Anwendung mit der du die Verbindung testest (vermtl. ping).~~
  
  Und natürlich kannst du auch selber dynamisch Firewallregeln mit deinem Perlscript erzeugen.
  
  Edit: Mein Irrtum, du kannst sehr wohlbei f2b die ICMP-Nachricht beinflussen - icmp-port-unreachable ist wohl nur default.
  
  Ich hab wohl etwas vorschnell geantwortet und den Kern des Problems falsch verstanden.
  Last edited: 2021-08-19 15:00:19 +0200 (CEST)
  Pörl.
- GwenDragon
  
  2021-08-19 15:01
  
  User since
  2005-01-17
  14835 articles
  Admin1
  
  Wie Fail2Ban blockiert, ist doch als Blocktype in /etc/fail2ban/action.d/iptables-common.conf definiert.
  Oder du definierst explizit blocktype=.... in einer als parameter von %(banaction)s.
  Last edited: 2021-08-19 15:24:05 +0200 (CEST)
  die Drachin Gwen
  
  Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
- Linuxer
  
  2021-08-19 15:04
  
  User since
  2006-01-27
  3891 articles
  HausmeisterIn
  
  Nach meinem Verständnis:
  
  Fail2Ban definiert nach seinen Kriterien entsprechende Firewall-Regeln, die dann z.B. unter Linux mit iptables aktiviert werden.
  
  Darin kann dann auch definiert werden, was mit abgelehnten Verbindungsanfragen passieren sollen (stumm wegwerfen, Reset schicken, icmp-port-unreachble etc.).
  
  Man kann auch mit einem Perl-Skript Regeln für iptables definieren und diese dann eintragen lassen.
  Siehe dazu die Doku vom iptables (ich gehe davon aus, dass das Perl Skript z.B. das iptables Binary aufruft, um Regeln zu definieren):
  
  https://ipset.netfilter.org/iptables-extensions.man.html
  ...
  REJECT (IPv6-specific)
  This is used to send back an error packet in response to the matched packet: otherwise it is equivalent to DROP so it is a terminating TARGET, ending rule traversal. This target is only valid in the INPUT, FORWARD and OUTPUT chains, and user-defined chains which are only called from those chains. The following option controls the nature of the error packet returned:
  --reject-with type
  The type given can be icmp6-no-route, no-route, icmp6-adm-prohibited, adm-prohibited, icmp6-addr-unreachable, addr-unreach, or icmp6-port-unreachable, which return the appropriate ICMPv6 error message (icmp6-port-unreachable is the default). Finally, the option tcp-reset can be used on rules which only match the TCP protocol: this causes a TCP RST packet to be sent back. This is mainly useful for blocking ident (113/tcp) probes which frequently occur when sending mail to broken mail hosts (which won't accept your mail otherwise). tcp-reset can only be used with kernel versions 2.6.14 or later.
  
  REJECT (IPv4-specific)
  This is used to send back an error packet in response to the matched packet: otherwise it is equivalent to DROP so it is a terminating TARGET, ending rule traversal. This target is only valid in the INPUT, FORWARD and OUTPUT chains, and user-defined chains which are only called from those chains. The following option controls the nature of the error packet returned:
  --reject-with type
  The type given can be icmp-net-unreachable, icmp-host-unreachable, icmp-port-unreachable, icmp-proto-unreachable, icmp-net-prohibited, icmp-host-prohibited, or icmp-admin-prohibited (*), which return the appropriate ICMP error message (icmp-port-unreachable is the default). The option tcp-reset can be used on rules which only match the TCP protocol: this causes a TCP RST packet to be sent back. This is mainly useful for blocking ident (113/tcp) probes which frequently occur when sending mail to broken mail hosts (which won't accept your mail otherwise).
  (*) Using icmp-admin-prohibited with kernels that do not support it will result in a plain DROP instead of REJECT
  
  meine Beiträge: I.d.R. alle Angaben ohne Gewähr und auf Linux abgestimmt!
  Die Sprache heisst Perl, nicht PERL. - Bitte Crossposts als solche kenntlich machen!
- +10 replies
- GwenDragon
  
  2021-08-19 15:38
  
  User since
  2005-01-17
  14835 articles
  Admin1
  
  Guest Nobody
  (….) ob es machbar sein kann mit Perl ein "icmp-port-unreachable" (also wie in Fail2Ban) an den Client zu senden.
  Der Kernel sorgt normalerweise dafür, das erwünschte Datagramm raus zu senden.
  Und soweit ich weiß, kannst du kein externes Skript dafür nehmen, das wie ein Server dann horcht/filtert und bei der richtigen IP zuschlägt.
  
  Was hast du denn genau für Vorstellungen, was das Skript tun soll?
  die Drachin Gwen
  
  Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
  - +9 replies
  - guest Nobody
    
    2021-08-20 12:47
    
    Also zunächst einmal, herzlichen Dank für die rege Beteiligung an diesem Thread.
    
    Was nun mein Thema anbelangt, so habe ich mich offensichtlich nicht präzise ausgedrückt; es geht mir nicht um die jails und actions in Fail2Ban und/oder IPtables.
    Ich möchte vielmehr den Befehl bzw. die Funktion die von IPtables verwendet wird um eine IP zu blocken, mit Perl nachbauen.
    Last edited: 2021-08-20 14:40:47 +0200 (CEST)
    - +8 replies
    - GwenDragon
      
      2021-08-20 15:47
      
      User since
      2005-01-17
      14835 articles
      Admin1
      
      Was genau sind die Anforderungen?
      Bedeutet das folgendes: Skript soll an einem/vielen Ports horchen und bei bestimmter IP ein ICMP unreachable an den Client senden?
      
      Beschreib’s doch bitte mal genauer.
      die Drachin Gwen
      
      Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
      - +7 replies
      - guest Nobody
        
        2021-08-21 12:12
        
        2021-08-20T13:47:20 GwenDragon
        Skript soll an einem/vielen Ports horchen? Nein
        bei bestimmter IP ein ICMP unreachable an den Client senden? Ja
        
        Also wird von mir 'nur' eine Lösung für die Erzeugung des ICMP unreachable gesucht.
        Last edited: 2021-08-21 13:22:33 +0200 (CEST)
        
        +6 replies
        
        Linuxer
        
        2021-08-22 13:03
        
        User since
        2006-01-27
        3891 articles
        HausmeisterIn
        
        Ohne Bezug auf einkommende Verbindungen kann ein Perl-Skript keine darauf bezogenen ICMP-Port-Unreachable erzeugen.
        Das wird im Linux-Kernel abgearbeitet.
        
        Einfluß darauf kann mit IPtables genommen werden.
        
        Fazit: Meiner Meinung nach ist das von Dir gewünschte so nicht möglich.
        meine Beiträge: I.d.R. alle Angaben ohne Gewähr und auf Linux abgestimmt!
        Die Sprache heisst Perl, nicht PERL. - Bitte Crossposts als solche kenntlich machen!
        
        +5 replies
        
        guest Nobody
        
        2021-08-22 14:03
        
        2021-08-22T11:03:15 Linuxer
        Ohne Bezug auf einkommende Verbindungen kann ein Perl-Skript keine darauf bezogenen ICMP-Port-Unreachable erzeugen.
        Das wird im Linux-Kernel abgearbeitet.
        
        Das ist sicherlich richtig; allerdings habe ich die IP der einkommenden Verbindung und kann diese IP also übergeben - wenn ich die Systemfunktion/den Systembefehl für die Erzeugung von ICMP-Port-Unreachable denn hätte.
        Last edited: 2021-08-22 15:31:55 +0200 (CEST)
        
        +4 replies
        
        Linuxer
        
        2021-08-22 20:58
        
        User since
        2006-01-27
        3891 articles
        HausmeisterIn
        
        Nein, selbst wenn Du die IP hast, kann - meiner Meinung nach - Dein Perl-Skript da nichts sinnvolles ausrichten.
        
        Damit ein "icmp-port-unreachable" Sinn ergibt, müssen verschiedene Informationen des ankommenden Paketes vorhanden sein. Das braucht mehr als nur die IP-Adresse. Der Kernel hat alle diese Informationen vorliegen. Daher definiert z.B. fail2ban die Regeln über iptables, damit die gewünschte Aktion vom Kernel ausgeführt wird.
        Z.B. Regel: Wenn ein Paket von IP X zum Port Y ankommt, weise es ab mit einem "icmp port unreachable". Wenn jetzt ein Paket ankommt, auf das die Beschreibung passt, entnimmt der Kernel notwendige Infos aus diesem Paket und generiert damit die "icmp-port-unreachable" Meldung.
        
        Wenn Dein Perl-Skript die IP hat und wenn es damit ein icmp-port-unreachable generieren würde, hätte es keinen Bezug zum originalen Paket, weil eben weitere Informationen fehlen. Damit wäre solch ein icmp-Paket für den Absender sinnfrei (weil es keiner Verbindung bzw. keinem Verbindungsaufbau zuzuordnen ist) und damit unbedeutend und zu verwerfen.
        
        Dann muss ein solches Paket in engem zeitlichen Abstand zum ankommenden Paket generiert werden. Wie bekommt das Perl-Skript etwas davon mit, wann ein Paket ankommt, auf das ein icmp Paket generiert werden soll.
        
        Damit Dein Perl-Skript selber einen Bezug herstellen kann, müsste es selber auf den zu überwachenden Ports lauschen. Und dann eben anhand von zu definierenden Parametern (z.B. Absender-IP) entsprechende Aktionen auslösen.
        
        Z.B. Gültige IP == Weiterreichen an die eigentliche Applikation (die dann auf einem anderen Port oder einer anderen IP lauschen muss) oder ungültige IP == icmp-port-unreachable zurücksenden. Dafür müsstest Du Dir die Socket-Programmierung mit Perl anschauen. Inwieweit das von mir beschriebene überhaupt machbar ist, weiß ich nicht.
        Im Prinzip müsstest Du also eine Proxy-Funktionalität in Perl nachbilden, in der Du die entsprechende Logik nachbildest.
        
        Meine Meinung:
        
        ich erkenne keinen Sinn in der gewünschten Aktion und vermute einen Denkfehler in Deinem Konzept.
        Da Du nicht näher darauf eingehst und auch die Nachfrage nach genauerer Erläuterung ignoriert hast, muss das wohl so bestehen bleiben.
        Ich könnte es mir maximal als Übungsaufgabe vorstellen; aber dann wäre der Denkfehler immer noch vorhanden.
        Ich würde das nicht produktiv einsetzen, sondern auf etablierte Lösungen zurückgreifen und dann eher diese mit Perl steuern (Kernel und iptables, für Proxy-Dienste eher squid oder apache). Muss man halt schauen, was die jeweils leisten und ob die gewünschte Funktion damit machbar wäre.
        fail2ban zeigt da meiner Meinung nach schon den korrekteren Ansatz.
        Ansonsten schaue Dir den Themenkomplex Socket-Programmierung mit Perl an; siehe IO::Socket
        Vielleicht hilft auch ein zu installierendes Perl Modul bei Deinem Vorhaben: Net::RawIP
        
        Viele Glück und Erfolg.
        
        Linuxer
        meine Beiträge: I.d.R. alle Angaben ohne Gewähr und auf Linux abgestimmt!
        Die Sprache heisst Perl, nicht PERL. - Bitte Crossposts als solche kenntlich machen!
        
        +3 replies
        
        guest Nobody
        
        2021-08-22 22:56
        
        ICMP überträgt ja lediglich Statusinformationen und Fehlermeldungen der Protokolle IP, TCP und UDP.
        Mehr erwarte ich auch nicht.
        
        Beispiel: Host A sendet einen Request an Host B, Host B antwortet darauf mit einem Reply.
        Der ICMP-Type 3 (Destination Unreachable) wird versendet, wenn ein Datagramm nicht zugestellt werden kann.
        Mit dem Linuxkernel hat das also wohl wirklich nichts zu tun - oder täusche ich mich da?
        
        Es stellt sich mir also die Frage:
        wie überrede ich ICMP dazu, eine von mir erzeugte Fehlermeldung (hier also Code 3) als Replay auf den Request des Clients zu senden.
        Last edited: 2021-08-23 09:09:10 +0200 (CEST)
        
        +2 replies
        
        Linuxer
        
        2021-08-23 09:14
        
        User since
        2006-01-27
        3891 articles
        HausmeisterIn
        
        1. Nochmal: Ein sinnvolles ICMP Port Unreachable benötigt Informationen des originalen Pakets; siehe RFC 792 . Nur eine IP Adresse reicht da nicht.
        
        2. Nochmal: Ein ICMP Port Unreachable muss in einem kleinem Zeitfenster als Antwort auf ein ankommendes Paket verschickt werden. Wie erfährt Dein Skript von ankommenden Paketen zeitnah?
        
        3. Es wird der Netzwerk-Stack des Kernels verwendet. Er ist somit durchaus beteiligt. Er verwaltet die Ports und reicht Pakete an die Applikationen weiter, die auf bestimmten Ports lauschen. Auch die Aktionen, was passieren soll, wenn ein Port nicht erreichbar ist, werden normalerweise vom Kernel verwaltet.
        
        4. ICMP ist ein Protokoll. Da gibt es nichts zu überreden.
        
        5. Die Möglichkeiten aus meiner Sicht habe ich Dir genannt.
        Last edited: 2021-08-23 10:33:58 +0200 (CEST)
        meine Beiträge: I.d.R. alle Angaben ohne Gewähr und auf Linux abgestimmt!
        Die Sprache heisst Perl, nicht PERL. - Bitte Crossposts als solche kenntlich machen!
        
        guest Nobody
        
        2021-08-23 11:31
        
        Abschließend bedanke ich mich herzlich für die Mühe die sich hier alle mit mir gegeben haben und wünsche weiterhin viel Erfolgt mit dem Forum.
        Last edited: 2021-08-23 12:02:52 +0200 (CEST)

View all threads created 2021-08-19 14:20.