Frage zu Logwatch Einträgen

  • Hallo,

    ich habe in meinen Logwatch einträgen 3 Punkte, die ich nicht so richtig zuordnen kann.

    Kann mir hier jemand grob sagen, was die bedeuten?

    1 Time(s): TCP: request_sock_TCP: Possible SYN flooding on port xy. Sending cookies. Check SNMP counters


    Das hier scheint wohl von Docker zu sein, aber was und warum wurde das gemacht?

    Kernel

    1 Time(s): IPv6: ADDRCONF(NETDEV_CHANGE): veth441xxa2e6: link becomes ready
    1 Time(s): device veth3643dxx0 left promiscuous mode
    1 Time(s): device veth441a2exx6 entered promiscuous mode
    3 Time(s): docker0: port 2(veth36xxx43d90) entered disabled state
    3 Time(s): docker0: port 2(veth441axx2e6) entered blocking state
    2 Time(s): docker0: port 2(veth441a2xxe6) entered disabled state
    2 Time(s): docker0: port 2(veth441axx2e6) entered forwarding state
    1 Time(s): eth0: renamed from vetha9xxcc991
    1 Time(s): veth8838xxe6f: renamed from eth0

    1 Time(s): IPv6: ADDRCONF(NETDEV_CHANGE): vethf3543xxx: link becomes ready

    3 Time(s): br-59f0e3exxx: port 1(vethd5cd3xx) entered disabled state

    3 Time(s): br-59f0e3exxxx: port 1(vethf3543xxe) entered blocking state

    2 Time(s): br-59f0e3exxxx: port 1(vethf354xxe) entered disabled state

    2 Time(s): br-59f0e3exxxx: port 1(vethf354xxe) entered forwarding state

    1 Time(s): device vethd5cdxxx left promiscuous mode

    1 Time(s): device vethf354xxx entered promiscuous mode

    1 Time(s): eth0: renamed from veth1dbfbxx

    1 Time(s): veth7eeebxx: renamed from eth0


    Danke & viele Grüße

  • Zitat

    1 Time(s): eth0: renamed from vetha9xxcc991

    1 Time(s): veth7eeebxx: renamed from eth0

    Ich vermute mal du hast `net.ifnames=0` oder ähnliches gesetzt in grub. https://www.freedesktop.org/wiki/Software/…InterfaceNames/


    Das ist völlig normal wenn der Docker Daemon / Container gestartet / gestoppt werden.

    Code
    1 Time(s): TCP: request_sock_TCP: Possible SYN flooding on port xy. Sending cookies. Check SNMP counters

    Bitte mal die Ausgabe von

    Code
    sysctl net.ipv4.tcp_syncookies

    posten.

  • Ich vermute mal du hast `net.ifnames=0` oder ähnliches gesetzt in grub. https://www.freedesktop.org/wiki/Software/…InterfaceNames/

    Ich hab gar nix gesetzt. In welcher Datei muss ich nachsehen? Ist das jetzt gut oder schlecht?

    Code
    1 Time(s): TCP: request_sock_TCP: Possible SYN flooding on port xy. Sending cookies. Check SNMP counters

    Bitte mal die Ausgabe von

    Code
    sysctl net.ipv4.tcp_syncookies

    posten.

    Hier die Ausgabe:

    net.ipv4.tcp_syncookies = 1

  • Ich hab gar nix gesetzt. In welcher Datei muss ich nachsehen? Ist das jetzt gut oder schlecht?

    Ob das gut oder schlecht ist, mag Geschmackssache sein. Ich bevorzuge dieses Schema ;)

    Da ich leider aus den bisherigen Angaben nicht die Distribution erkenne, verlinke ich mal den SystemD: Artikel: https://www.freedesktop.org/wiki/Software/…%2F99%2Ddefault.


    Hier die Ausgabe:

    net.ipv4.tcp_syncookies = 1

    Und das erklärt deine Logzeile. Das Systeme hat ein Flooding von SYN Paketen erkannt und reagiert entsrpechend:

    1. https://de.wikipedia.org/wiki/SYN-Cookies

    2. https://blog.dubbelboer.com/2012/04/09/syn-cookies.html

  • Stammt das System aus den Netcup Template? Wurde das System danach modifiziert / konfiguriert? Die Syncookies sind dann vermutlich entweder in:

    1. /etc/sysctl.conf

    2. /etc/sysctl.d/*

    konfiguriert.

    Ich habe derzeit kein System aus den Netcup Templates am laufen. Folgende 2 Dinge würde ich zuerst prüfen bzgl des Netzwerk Interface:

    1. Existiert /etc/systemd/network/99-default.link?

    2. grep -nr "net.ifnames" /etc/default/grub liefert Ergebnisse?