Martian Source

[romudd]

Olá,

Procurei em diversos locais na Internet sobre o "martian source", mensagem que aparece no log de firewalls de vez em quando. Abaixo está um exemplo, é o que está acontecendo na minha rede nesse momento. Reparem no ip 69.69.69.69, tem tudo pra ser obra de algum "engraçadinho"... poderia ser causado por vírus, trojans, etc? Mas o outro é um endereço normal, inclusive dentro da faixa de ips da rede.

Feb 15 07:55:47 scmre kernel: martian source 69.69.69.69 from 192.168.0.22, on dev eth1

Feb 15 07:55:47 scmre kernel: ll header: ff:ff:ff:ff:ff:ff:00:0e:6a:c8:9b:c0:08:06

Feb 15 07:55:41 scmre kernel: martian source 192.168.0.32 from 192.168.0.252, on dev eth1

Feb 15 07:55:41 scmre kernel: ll header: ff:ff:ff:ff:ff:ff:00:11:11:2a:c1:8a:08:06

Não consegui, no entanto, chegar a nenhuma resposta conclusiva. Inclusive os fóruns costumam estar divididos entre duas idéias diferentes:

1) O firewall recebeu em sua interface um pacote com ip (origem) diferente da rede ligada a essa interface.

minha dúvida: o normal não é a máquina assumir que esse pacote pode ter passado por outras redes antes de chegar até ela (e por isso pode ter ip diferente)?

2) Uma estação mandou pacote para um destinatário impossível de rotear.

dúvida: o firewall não costuma simplesmente jogar para o Gateway padrão?

Algum de vocês já passou por essas ocorrências e conseguiu alguma resposta conclusiva sobre o assunto? Ou tem material (teoria) sobre isso?

Obrigado,

Rodrigo.

[pedroh]

eth1 ta na rede interna ou externa?

instala o iplog ai cara, e checa seu /var/log/messages ! ! ! ! ! ! ! !

[romudd]

eth1 é a externa. É estranho, entrei nessa máquina agora pra conferir e é isso mesmo!

E vou pesquisas sobre o iplog, não conheço essa ferramenta.

Valeu.

[pedroh]

é uma ferramenta que loga todas as conexões ou tentativas (bem ou mal sucedidas, mesmo essas estando barradas no firewall local) no arquivo messages...