AnalogX Portmapper "spricht" mit Winfiles.com?

[AlexBausW]

Hallo Alle,

Ich habe bei mir ein kleines Netzwerk (2 Rechner mit Crossover-Kabel verbunden), in dem der zweite Rechner mit Sambar5.2 auf dem ersten Rechner Zugang zum "Internet" hat (E-mail, News, Web und FTP). Um jetzt noch Programme wie VNC vom zweiten Rechner aus mit dem Internet kommunizieren lassen zu können, habe ich AnalogXs Portmapper installiert. Dieser möchte sich aber laut meiner <say what="Jehova">Personal Firewall (Sygate)</say> beim Start immer über Port 80 mit www.winfiles.com verbinden [1].
Daraufhin habe ich Etheral die Kommunikation mitschneiden lassen, um zu erfahren, was der Portmapper wohl alles mitteilen möchte. Leider hat Etheral aber nichts aufgezeichnet, obwohl ich dem Portmapper einmalig die Verbindung erlaubt hatte und im Firewall-Log die "Verbindung" (Kommunikation?) registriert wurde.

Weis irgendjemand etwas über die Mitteilsamkeit von AnalogXs Portmapper? Ist das normal, oder ist das böse[tm]? Was mache ich falsch (ja, ja! Außer eine "Personal Firewall" zu benutzen  ;o)

Gruß Alex

[1] Dort erhält man - zumindest mit dem Browser - einen Redirect auf download.com

[Henk Strobel]

Moin!

<say what="Jehova">Personal Firewall (Sygate)</say>

Was soll denn an einer Personal Firewall so schlecht sein? So lange man nicht versucht, damit seinen Webserver zu schützen... ;-)

Gruß Henk

[Einbecker]

Moin!

Was soll denn an einer Personal Firewall so schlecht sein? So lange man nicht versucht, damit seinen Webserver zu schützen... ;-)

Streiche Webserver, setzte PC.

Viele Gruesse,

Einbecker

[AlexBausW]

Hallo,

Was soll denn an einer Personal Firewall so schlecht sein? So lange man nicht versucht, damit seinen Webserver zu schützen... ;-)

Streiche Webserver, setzte PC.

Man kann aber - zumindest bis zur nächsten Ausführung irgendeines Virus, Wurms oder Trojaners - imho wenigstens die Kommunikation zwischen lokalem Netz (Rechner) und dem Internet regeln bzw. steuern.

And now to something completely different (oder so ähnlich): Vom TCP/IP->DFÜ-Adapter sind die Datei- und Druckerfreigaben "entbunden". Jetzt habe ich mal Etheral ohne Firewall gestartet und anschließend Pmapper (AnalogX Portmapper) ins Internet "einwählen" lassen. Das Log von Etheral zeigt mir wie das Paket-Log der PFW nur eine TCP-Kommunikation zwischen Winfile.com und dem Portmapper (3 Requests und 3 Responses). Leider sind meine TCP-Kenntnisse nicht so gut, als daß ich verstehen würde, was da "gesprochen" wird.
Bei obigem Experiment habe ich aber auch festgestellt, daß mein Windows95c per NetBios seine Anwesenheit laut in die "Welt" broadcasted. Kann bzw. muss ich auch den "Client für Microsoft Netzwerke" (wird der nur in lokalen Netz benötigt?) vom entspechenden Adapter entbinden, oder stört das anderweitige Kommunikationen (ich wollte es ungern ausprobieren, weil mir schon mal eine Eintrag bei Bindungen nach deaktivieren und Neustart aus den Eigenschaften verschwunden ist [deshalb weis ich auch nicht mehr, was es war :(]).

Gruß Alex

[Christian Seiler]

Hallo Alex,

Das Log von Etheral zeigt mir wie das Paket-Log der PFW nur eine TCP-Kommunikation zwischen Winfile.com und dem Portmapper (3 Requests und 3 Responses). Leider sind meine TCP-Kenntnisse nicht so gut, als daß ich verstehen würde, was da "gesprochen" wird.

Wenn es Dir nicht zu sehr gegen Deine Privatspähre geht, könntest Du das Log mal speichern und hochladen, so dass man sichs mal anschauen kann.

Bei obigem Experiment habe ich aber auch festgestellt, daß mein Windows95c per NetBios seine Anwesenheit laut in die "Welt" broadcasted. Kann bzw. muss ich auch den "Client für Microsoft Netzwerke" (wird der nur in lokalen Netz benötigt?) vom entspechenden Adapter entbinden,

Ja, der DFÜ-Adapter darf mit _gar nichts_ (kein Client, kein Dienst) verbunden sein. (es sei denn, Du machst direkte Verbindungen mit Kabel) Die Frage, ob Du eine Bindung einstellen willst, sobald Du alle Bindungen entfernt hast, beantworte einfach mit nein. Nach dem Neustart dürfte das Problem erledigt sein. (Hoffentlich)

Viele Grüße,
Christian

[AlexBausW]

Hallo,

Wenn es Dir nicht zu sehr gegen Deine Privatspähre geht, könntest Du das Log mal speichern und hochladen, so dass man sichs mal anschauen kann.

Ich habe das Logfile nach http://www.dynamic-web-development.de/pub/text/pmapper_packet_log.txt hochgeladen, vorher aber den Passwortdialog zwischen Dial-Up-Adapter und Provider herausgenommen (hätte ich fast übersehen und alles komplett hochgeladen *uff* ;)
Vielen Dank schon mal.

Bei obigem Experiment habe ich aber auch festgestellt, daß mein Windows95c per NetBios seine Anwesenheit laut in die "Welt" broadcasted. Kann bzw. muss ich auch den "Client für Microsoft Netzwerke" (wird der nur in lokalen Netz benötigt?) vom entspechenden Adapter entbinden,

Ja, der DFÜ-Adapter darf mit _gar nichts_ (kein Client, kein Dienst) verbunden sein. (es sei denn, Du machst direkte Verbindungen mit Kabel) Die Frage, ob Du eine Bindung einstellen willst, sobald Du alle Bindungen entfernt hast, beantworte einfach mit nein. Nach dem Neustart dürfte das Problem erledigt sein. (Hoffentlich)

Dann ging aber im lokalen Netz nichts mehr. Sprich, ich konnte mich nicht mehr am Netzwerk anmelden, und somit mich auch mit keinem Rechner bzw. Laufwerk verbinden. Beim Versuch ein Netzlaufwerk anzusprechen, wählte sich der DFÜ-Adapter ins Internet ein. Es gibt allerdings auch noch einen DFÜ-Adapter #2 mit VPN-Unterstützung, bei dem ich ebenfalls die Bindung des "Client für Microsoft Netzwerke" gelöst hatte. Lag es vielleicht daran?

Gruß Alex

[Christian Seiler]

Hallo Alex,

Ich habe das Logfile nach http://www.dynamic-web-development.de/pub/text/pmapper_packet_log.txt hochgeladen,

Da wird am Anfang nach der IP von www.winfiles.com gefragt. Danach wird eine HTTP-Verindung zu denen ihrem Rechner geöffnet. Diese HTTP-Verbindung wird _sofort_ wieder geschlossen, ohne, dass Daten über die Leitung gehen, zumindest so weit ich das sehen kann. Seltsam. Keine Ahnung, was das soll... normalerweise sendet man auch was über eine HTTP-Verbindung, aber da passiert gar nichts derartiges.

Vielleicht sammeln sie so eine Liste von IPs, auf denen dieses Programm läuft? Wäre das einzige, wozu so etwas zu gebrauchen wäre.

vorher aber den Passwortdialog zwischen Dial-Up-Adapter und Provider herausgenommen (hätte ich fast übersehen und alles komplett hochgeladen *uff* ;)

Glück gehabt. ;-)

Dann ging aber im lokalen Netz nichts mehr. Sprich, ich konnte mich nicht mehr am Netzwerk anmelden, und somit mich auch mit keinem Rechner bzw. Laufwerk verbinden. Beim Versuch ein Netzlaufwerk anzusprechen, wählte sich der DFÜ-Adapter ins Internet ein. Es gibt allerdings auch noch einen DFÜ-Adapter #2 mit VPN-Unterstützung, bei dem ich ebenfalls die Bindung des "Client für Microsoft Netzwerke" gelöst hatte. Lag es vielleicht daran?

Keine Ahnung. Ich habe bisher nur Win98-Systeme (ohne DSL) mit folgender Konfiguration betrieben:

Clients/Dienste         Adapter                     Protokolle

+-----------------+     +---------------+
| Client für MS-  |<-+->| Netzwerkkarte |<-+----------+
| Windows Netzw.  |  |  +---------------+  |          |
+-----------------+  |                     |          v
           ^         |                     |     +------------------+
           +--------]|[--------------------'     | TCP/IP           |
           v         |                           +------------------+
+-----------------+  |  +---------------+             ^
| Datei/Drucker-  |  |  | Modem         |<------------'
| freigabe        |<-'  +---------------+
+-----------------+

Bei mir hat das so immer funktioniert...

Viele Grüße,
Christian

[AlexBausW]

Hallo,

Ich habe das Logfile nach http://www.dynamic-web-development.de/pub/text/pmapper_packet_log.txt hochgeladen,

[Verbindung zu winfiles.com ohne Datenübertragung]

Vielleicht sammeln sie so eine Liste von IPs, auf denen dieses Programm läuft? Wäre das einzige, wozu so etwas zu gebrauchen wäre.

Aber zum einem müsste dann ja auf der Gegenseite jemand die Verbindungsversuche protokollieren. Am Port 80 lauscht aber zumindest schon ein HTTP-Server, der Requests nach download.com weiterleitet. Im Logfile des Apachen sollte aber nichts weiter auftauchen, da es ja zu keinem HTTP-Request kommt. Vielleicht arbeitet dort ja auch ein Sniffer, der dann die Verbindung registriert.
Zum anderen wechselt bei Einwahlverbindungen ja jedesmal die IP-Adresse, weshalb imho eine Statistische Auswertung keinen Sinn macht. Bleibt also nur noch, die IP-Adresse zu protokollieren, um während einer Sitzung mit dieser Adresse auf irgendeine Weise zu kommunizieren.
Bleibt nur noch die Frage, mit welchem Dienst. Entweder mit dem Portmapper selber, oder mit einem darüber geleiteten Programm.
Aber vielleicht bin ich auch nur zu paranoid. :)

[...]

Dann ging aber im lokalen Netz nichts mehr. Sprich, ich konnte mich nicht mehr am Netzwerk anmelden, und somit mich auch mit keinem Rechner bzw. Laufwerk verbinden. Beim Versuch ein Netzlaufwerk anzusprechen, wählte sich der DFÜ-Adapter ins Internet ein. Es gibt allerdings auch noch einen DFÜ-Adapter #2 mit VPN-Unterstützung, bei dem ich ebenfalls die Bindung des "Client für Microsoft Netzwerke" gelöst hatte. Lag es vielleicht daran?

Keine Ahnung. Ich habe bisher nur Win98-Systeme (ohne DSL) mit folgender Konfiguration betrieben:

Clients/Dienste         Adapter                     Protokolle

+-----------------+     +---------------+
| Client für MS-  |<-+->| Netzwerkkarte |<-+----------+
| Windows Netzw.  |  |  +---------------+  |          |
+-----------------+  |                     |          v
           ^         |                     |     +------------------+
           +--------]|[--------------------'     | TCP/IP           |
           v         |                           +------------------+
+-----------------+  |  +---------------+             ^
| Datei/Drucker-  |  |  | Modem         |<------------'
| freigabe        |<-'  +---------------+
+-----------------+

Bei mir hat das so immer funktioniert...

Bei mir sind die Netzwerkkarten zweier Rechner per Crossoverkabel verbunden, und der erste Rechner "wählt" sich mit einer zweiten Karte per DSL ins Internet. Ich vermute - nach weitergehender Recherche - es liegt am fehlenden NetBEUI (*ups*sorry*) :)

Gruß Alex

[Christian Seiler]

Hallo Alex,

Aber vielleicht bin ich auch nur zu paranoid. :)

Wie gesagt, das, was ich da geschrieben habe, war nur eine Vermutung. Eine Verbindung, die auf- und gleich wieder abgebaut wird, ist IMHO sinnlos - außer zum IPs sammeln, wofür die IPs allerdings gut sein sollen, wage ich dann auch mal zu bezweifeln. (Du hast ja genug argumente genannt)

Ich vermute - nach weitergehender Recherche - es liegt am fehlenden NetBEUI (*ups*sorry*) :)

NetBEUI brauchst Du im Normalfall nicht. TCP/IP reicht - wenn Du nicht gerade im LAN spielst - vollkommen aus. Ich wüßte nicht, wann ich das letzte Mal NetBEUI installiert habe. NetBIOS läuft nämlich auch über TCP/IP. (da gibt es in den TCP/IP-Einstellungen so ein Häkchen "NetBIOS über TCP/IP aktivieren")

Viele Grüße,
Christian

[Einbecker]

Moin!

Eigentlich wollte ich ja noch Links angeben - so ganz von oben herab wollte ich gar nicht sein - ehrlich! ;)

http://www.stud.tu-ilmenau.de/~traenk/dcsm.htm#Firewall
http://www.iks-jena.de/mitarb/lutz/usenet/Firewall.html#PF

Viele Gruesse,

Einbecker

[AlexBausW]

Hallo,

<say what="Jehova">Personal Firewall (Sygate)</say>

Was soll denn an einer Personal Firewall so schlecht sein? So lange man nicht versucht, damit seinen Webserver zu schützen... ;-)

Zu meiner "Verteidigung": Die PFW von Sygate ist imho gar nicht so  verkehrt, weil man damit für jeden Netzwerkadapter und jedes Programm einzeln bestimmen kann, über welche Ports mit welchen IP-Adressen rein oder raus kommuniziert (gefragt/geantwortet) werden darf.

Zumindest habe ich so den Eindruck, die Dienste, die sonst auf meinem Rechner laufen und zur Entwicklung benötigt werden, einigermaßen von der Außenwelt abgeschnitten zu haben, während andere weiterhin wie gewünscht Netzzugang haben. :) Und ich bekomme Meldung, wenn sich eine - ansonsten gutartige - Anwendung ins Netz verbinden möchte.

Vor fehlerhaften Implementierungen in den diversen Applikationen ist man eh nicht gefeit, so daß ein Bug imho immer jedes Sicherheitskonzept untergraben kann, egal ob er in der Firewall (Hard-/Software) oder einem Dienstprogramm steckt (siehe den IE bis 5.5 als ausführungsfreundliche Skriptengine, die erst schoss und hinterher Fragen stellte [ob überhaupt geschossen werden durfte :(]). (<- der Smily sieht ja dank der schließenden Klammern fast aus wie Homer Simpson. ;))

Gruß Alex

[Henk Strobel]

Hallo,

Bleibt die Frage, was man haben sollte, um sich (bzw. seinen Rechner) als einigermassen gesichert ansehen zu können:

Vernünftige Einstellungen im Browser, einen Virenscanner mit neuen Definitionen und (tataaaaa!) eine Firewall. Sehe ich das etwa falsch, habe ich was vergessen?

Gruß Henk