Déconnexions internet, attaque ou défaillance ?

[grome]

Bonjour à tous,

J'ai un petit soucis de connexion Internet et après avoir tout vérifié je me demande si le problème ne vient pas de l'intérieur. Nous sommes déconnecté d'internet plusieurs fois par jour entre 1 et 10 minutes à chaque coupures, parfois plus. Ces coupures n'interviennent que pendant les heures de bureau. Nous sommes passé en OFFRE IP MAX depuis Noël dernier. Les problèmes de connexions sont apparus à cette période. Au début j'ai pensé à un problème sur la ligne. Débit trop élevé, problèmes avec le fax qui partage la ligne etc.... J'ai pensé à un problème electrique qui rendrait le modem instable mais les équipements réseau sont protégés par onduleur.


Dans les logs IDS voilà ce que j'ai en très grand nombre

D'abord beaucoup de

Date: 02/08 07:56:17 Nom: SCAN UPnP service discover attempt
Priorité: 3 Type: Detection of a Network Scan

Ensuite quelques

Date: 02/08 08:20:53 Nom: DNS SPOOF query response with TTL of 1 min. and no authority
Priorité: 2 Type: Potentially Bad Traffic

Et enfin énormement de


Date: 02/08 11:19:01 Nom: (http_inspect) DOUBLE DECODING ATTACK
Priorité: n/a Type: n/a

Date: 02/08 08:50:41 Nom: (http_inspect) OVERSIZE CHUNK ENCODING
Priorité: n/a Type: n/a

Date: 02/08 08:46:50 Nom: (http_inspect) BARE BYTE UNICODE ENCODING
Priorité: n/a Type: n/a


Est ce que d'après vous ceci peut être la cause de nos déconnexions.
J'ai eu de gros soupçons de ce côté là, mais à la vue de ce qui suis, je n'en suis pas sùr.
Voir ce qu'il y a entre le "gone down" et "gone up" .


11:17:13 ipcop PPP has gone up on ppp0
11:17:10 ipcop Dialling INTERPC.
11:17:10 ipcop Starting RED device eth1.
11:16:03 ipcop Dialling INTERPC.
11:16:03 ipcop Starting RED device eth1.
11:14:57 ipcop Dialling INTERPC.
11:14:57 ipcop Starting RED device eth1.
11:13:51 ipcop Dialling INTERPC.
11:13:51 ipcop Starting RED device eth1.
11:12:45 ipcop Dialling INTERPC.
11:12:45 ipcop Starting RED device eth1.
11:11:38 ipcop Dialling INTERPC.
11:11:38 ipcop Starting RED device eth1.
11:10:32 ipcop Dialling INTERPC.
11:10:32 ipcop Starting RED device eth1.
11:09:26 ipcop Dialling INTERPC.
11:09:26 ipcop Starting RED device eth1.
11:09:19 ipcop PPP has gone down on ppp0


Merci d'avance.

grome

[Gesp]

Je suppose que tu as déjà un modem ethernet qui t'epargneras les affres de l'usb.

D'abord, lors des déconnexions, snort émet un certain nombre de messages d'alerte erronés.

Ensuite UPnP étant un protocole insécurisé par nature, je te conseillerais d'avoir une règle drop sur ce port en entrée sortie sur l'interface RED.
De toute façon , il ne sait pas passer le NAT en entrée et on ne fera rien pour qu'il le puisse.

Si la ligne ADSL atteint ses limites, cela signifie beaucoup d'erreur coté ATM, donc des paquets qui sont rejetés niveau ATM, des paquets manquants au niveau IP, ce qui peut expliquer les messages de snort.

Le problème pour se reconnecter en PPPoE est probablement parce que la session précédente n'a pas été correctement refermée (ce qui est toujours le cas en cas de perte brutale de connexion).

Essaye en faisant varier la temporisation avant reconnexion (peut-être l'augmenter) si cela n'améliore pas la reco.

[grome]

Notre fournisseur d'accès doit faire redescendre le débit.
Nous allons bien voir si cela viens de la ligne.

Je ne peut pas trop jouer sur la temporisation car certains services sont accessibles de l'exterieur donc nous avons besoin d'une bonne QoS sur la ligne.

Je donne des nouvelles très prochainement.

[grome]

Bon, notre fournisseur a redescendu le débit. Pas de déconnexion depuis plus de 48 heures ...

Il n'y a pas de déconnexion journalière à ce débit (1024k).

[grome]

après avoir visité les deux liens ci dessous


http://forums.fr.ixus.net/viewtopic.php?p=142719

http://forums.fr.ixus.net/viewtopic.php?t=25517

Je me demande si les problèmes sont liés. Depuis qu'ils ont baissé le débit nous n'avons plus de deconnexions. Nous avons un ipcop avec un modem alcatel (dernier speedtouch). Et une Ip fixe.

Ci dessous une version plus détaillée de mes logs récupérée dans /var/log/message
On voit bien les tentatives faites par le modem pour se reconnecter. Est ce que avec cette version détaillée on peut être sur que si la tentative échoue c'est parce que la session précédente s'est brutalement arretée. La qualité de la ligne est bonne d'après notre fournisseur (distance, bruit ...)

Je me demande aussi ce qu'est cette adresse ip en bas des logs, en rouge.

Feb 8 16:15:00 firewall fcron[10426]: Job [ -f "/var/ipcop/red/active" ] && /usr/local/bin/setddns.pl >/var/log/dynupdate.log 2>&1 started for user root (pid 10429)
Feb 8 16:15:00 firewall fcron[10428]: Job /usr/local/bin/timecheck > /dev/null 2>&1 started for user root (pid 10432)
Feb 8 16:15:00 firewall fcron[10427]: Job /usr/local/bin/makegraphs >/dev/null started for user root (pid 10431)
Feb 8 16:20:00 firewall fcron[10443]: Job [ -f "/var/ipcop/red/active" ] && /usr/local/bin/setddns.pl >/var/log/dynupdate.log 2>&1 started for user root (pid 10446)
Feb 8 16:20:00 firewall fcron[10444]: Job /usr/local/bin/makegraphs >/dev/null started for user root (pid 10447)
Feb 8 16:20:00 firewall fcron[10445]: Job /usr/local/bin/timecheck > /dev/null 2>&1 started for user root (pid 10449)
Feb 8 16:22:43 firewall pppd[9250]: No response to 3 echo-requests
Feb 8 16:22:43 firewall pppd[9250]: Serial link appears to be disconnected.
Feb 8 16:22:43 firewall snort: pcap_loop: recvfrom: Network is down
Feb 8 16:22:43 firewall snort: Final Flow Statistics
Feb 8 16:22:43 firewall snort: Snort exiting
Feb 8 16:22:43 firewall ipcop: PPP has gone down on ppp0
Feb 8 16:22:43 firewall dnsmasq[10491]: started, version 2.17 cachesize 150
Feb 8 16:22:43 firewall dnsmasq[10491]: read /etc/hosts - 2 addresses
Feb 8 16:22:43 firewall dnsmasq[10491]: reading /var/state/dhcp/dhcpd.leases
Feb 8 16:22:43 firewall dnsmasq[10491]: reading /var/ipcop/red/resolv.conf
Feb 8 16:22:43 firewall dnsmasq[10491]: using nameserver 194.xxx.xxx.2#53
Feb 8 16:22:43 firewall dnsmasq[10491]: using nameserver 194.xxx.xxx.1#53
Feb 8 16:22:43 firewall ipsec_setup: Stopping Openswan IPsec...
Feb 8 16:22:43 firewall pluto[9476]: shutting down
Feb 8 16:22:43 firewall pluto[9476]: shutting down interface ipsec0/ppp0 xxx.xxx.xxx.xxx
Feb 8 16:22:43 firewall pluto[9476]: shutting down interface ipsec0/ppp0 xxx.xxx.xxx.xxx
Feb 8 16:22:44 firewall kernel: IPSEC EVENT: KLIPS device ipsec0 shut down.
Feb 8 16:22:44 firewall ipsec_setup: /usr/lib/ipsec/tncfg: Socket ioctl failed on detach -- No such device. Is the virtual device valid? The ipsec module may not be linked into the kernel or loaded as a module.
Feb 8 16:22:44 firewall ipsec_setup: ipsec: Device or resource busy
Feb 8 16:22:44 firewall ipsec_setup: ...Openswan IPsec stopped
Feb 8 16:22:49 firewall pppd[9250]: Connection terminated.
Feb 8 16:22:49 firewall pppd[9250]: Connect time 267.5 minutes.
Feb 8 16:22:49 firewall pppd[9250]: Sent 6687289 bytes, received 50108774 bytes.
Feb 8 16:22:49 firewall pppoe[9252]: read (asyncReadFromPPP): Session 1186: Input/output error
Feb 8 16:22:49 firewall pppoe[9252]: Sent PADT
Feb 8 16:22:49 firewall pppd[9250]: Exit.
Feb 8 16:22:49 firewall red: Connectioncheck: will connect again
Feb 8 16:22:49 firewall ipcop: Starting RED device eth1.
Feb 8 16:22:49 firewall ipcop: Dialling INTERPC.
Feb 8 16:22:49 firewall pppd[10595]: pppd 2.4.2 started by root, uid 0
Feb 8 16:22:49 firewall pppd[10595]: Using interface ppp0
Feb 8 16:22:49 firewall pppd[10595]: Connect: ppp0 <--> /dev/pts/0
Feb 8 16:23:24 firewall pppoe[10597]: Timeout waiting for PADO packets
Feb 8 16:23:24 firewall pppd[10595]: Modem hangup
Feb 8 16:23:24 firewall pppd[10595]: Connection terminated.
Feb 8 16:23:24 firewall pppd[10595]: Exit.
Feb 8 16:23:25 firewall red: Connectioncheck: RED fail to connect
Feb 8 16:23:55 firewall red: Connectioncheck: Restarting 1/10
Feb 8 16:23:56 firewall ipcop: Starting RED device eth1.
Feb 8 16:23:56 firewall ipcop: Dialling INTERPC.
Feb 8 16:23:56 firewall pppd[10662]: pppd 2.4.2 started by root, uid 0
Feb 8 16:23:56 firewall pppd[10662]: Using interface ppp0
Feb 8 16:23:56 firewall pppd[10662]: Connect: ppp0 <--> /dev/pts/0
Feb 8 16:24:31 firewall pppoe[10664]: Timeout waiting for PADO packets
Feb 8 16:24:31 firewall pppd[10662]: Modem hangup
Feb 8 16:24:31 firewall pppd[10662]: Connection terminated.
Feb 8 16:24:31 firewall pppd[10662]: Exit.
Feb 8 16:24:31 firewall red: Connectioncheck: RED fail to connect
Feb 8 16:24:46 firewall dnsmasq[10491]: failed to access /var/ipcop/red/resolv.conf: No such file or directory
Feb 8 16:25:00 firewall fcron[10721]: Job [ -f "/var/ipcop/red/active" ] && /usr/local/bin/setddns.pl >/var/log/dynupdate.log 2>&1 started for user root (pid 10724)
Feb 8 16:25:00 firewall fcron[10722]: Job /usr/local/bin/makegraphs >/dev/null started for user root (pid 10725)
Feb 8 16:25:00 firewall fcron[10721]: Job [ -f "/var/ipcop/red/active" ] && /usr/local/bin/setddns.pl >/var/log/dynupdate.log 2>&1 terminated (exit status: 1)
Feb 8 16:25:00 firewall fcron[10723]: Job /usr/local/bin/timecheck > /dev/null 2>&1 started for user root (pid 10726)
Feb 8 16:25:02 firewall red: Connectioncheck: Restarting 2/10
Feb 8 16:25:02 firewall ipcop: Starting RED device eth1.
Feb 8 16:25:02 firewall ipcop: Dialling INTERPC.
Feb 8 16:25:02 firewall pppd[10741]: pppd 2.4.2 started by root, uid 0
Feb 8 16:25:02 firewall pppd[10741]: Using interface ppp0
Feb 8 16:25:02 firewall pppd[10741]: Connect: ppp0 <--> /dev/pts/0
Feb 8 16:25:37 firewall pppoe[10742]: Timeout waiting for PADO packets
Feb 8 16:25:37 firewall pppd[10741]: Modem hangup
Feb 8 16:25:37 firewall pppd[10741]: Connection terminated.
Feb 8 16:25:37 firewall pppd[10741]: Exit.
Feb 8 16:25:37 firewall red: Connectioncheck: RED fail to connect
Feb 8 16:26:08 firewall red: Connectioncheck: Restarting 3/10
Feb 8 16:26:08 firewall ipcop: Starting RED device eth1.
Feb 8 16:26:08 firewall ipcop: Dialling INTERPC.
Feb 8 16:26:08 firewall pppd[10814]: pppd 2.4.2 started by root, uid 0
Feb 8 16:26:08 firewall pppd[10814]: Using interface ppp0
Feb 8 16:26:08 firewall pppd[10814]: Connect: ppp0 <--> /dev/pts/0
Feb 8 16:26:14 firewall pppoe[10816]: PADS: Service-Name: ''
Feb 8 16:26:14 firewall pppoe[10816]: PPP session is 5383
Feb 8 16:26:16 firewall pppd[10814]: CHAP authentication succeeded
Feb 8 16:26:16 firewall pppd[10814]: local IP address xxx.xxx.xxx.xxx
Feb 8 16:26:16 firewall pppd[10814]: remote IP address 172.20.xxx.xxx
Feb 8 16:26:17 firewall ipcop: PPP has gone up on ppp0

[Gesp]

L'adresse est celle de la passerelle par défaut renvoyée par le serveur qui t'a authentifié.

Avant d'être dégroupé par free, je recevais une adresse la plupart du temps mais quelquefois le serveur de free oubliait cette adresse et pppd m'attribuait 111.112.113.114 par défaut (si je ne me trompe pas ). Cela n'empêchait pas le fonctionnement.

[grome]

L'adresse est celle de la passerelle par défaut renvoyée par le serveur qui t'a authentifié.

Avant d'être dégroupé par free, je recevais une adresse la plupart du temps mais quelquefois le serveur de free oubliait cette adresse et pppd m'attribuait 111.112.113.114 par défaut (si je ne me trompe pas ). Cela n'empêchait pas le fonctionnement.

Merci pour l'info.

Je voudrais préciser deux ou trois petites choses pour nos pb de deconnexion si çà intérèsse quelqu'un.

Lorsque nous étions en 1024/256 la connexion restait active jusqu'a 5 jours. Il n'y a jamais eu de pb de reconnexion. Lorsque nous somme passé en offre IP MAX. Il y avait une deconnexion journalière. IPCOP à toujours réussi à se reconnecter (3 sec environ en moyenne). Par contre sur les autres deconnexions (qui'n'interviennent que pendant les heures de bureau) impossible pour ipcop de se reconnecter tout seul.

Parfois jusqu'à 15 minutes d'attente.

Pas de problèmes depuis que nous sommes redescendu en 1024/256.

Est ce que les cartes réseaux peuvent être en cause ? Ce sont des realtek. Bon je sais je tombe dans la paranoia ...

Dernière info, l'ipcop que nous utilisons est une 1.42 sans patch ni add on...

[Dr Romano]

salut pour ma part j'avais le meme soucis que toi

a savoir un abonnement pro chez Mamadoo en 1024/256 ! au moment des offres alléchantes de cet été on a donc migré vers du 2048/128 et depuis les fetes nous avons pris le débit Max.

alors Dixit FT et Mamadoo tout dépend bien entendu de la longueur de la ligne ... etc etc ...

faire des test sur http://www.degrouptest.com

Je l'ai fait sur 2 services informatique la ou je bosse. Un qui est géré par Ipcop et l autre par un routeur et du Redhat en Proxy.

Bref mon ipcop n a posé aucun probleme et sur l autre service qui n était pourtant qu'a 350 m plus loin que mon service.... ben on est tout juste passer en 3 Mo (-au lieu du 6M voire 7Mo) et des deconnections intempestives.

Apres plusieurs longs et tumultueux appels passées chez Mamadoo... (avez vous testé la connection en passant directement par le modem... ou alors avez vous installé le patch pour Windows XP pour le modem alors qu ils savaient que j'avais un ETHERNET ....)

bref avant hier j'ai fais intervenir un Technicien France TuDéconnes et m a affirmé que dans la zone géographique, vu qu il y avait beucoup d entrerprise et tout et tout (zone industrielle)
il y avait différénts cables téléphoniques différentes normes etc etc ...)
la ligne ne supportait pas la DEBIT MAX alors que tout les Test d éligibilité montraient le contraire !!!!

enfin voila la pour l instant je sais qu ils y bidouillent dessus on verra bien ce que ca donne !!

a plus tard !

[grome]

salut pour ma part j'avais le meme soucis que toi


bref avant hier j'ai fais intervenir un Technicien France TuDé$%#&! et m a affirmé que dans la zone géographique, vu qu il y avait beucoup d entrerprise et tout et tout (zone industrielle)
il y avait différénts cables téléphoniques différentes normes etc etc ...)
la ligne ne supportait pas la DEBIT MAX alors que tout les Test d éligibilité montraient le contraire !!!!

enfin voila la pour l instant je sais qu ils y bidouillent dessus on verra bien ce que ca donne !!

a plus tard !

Cà correspond à mon cas de figure.
Merci pour l'info. En gros nous n'avons pas trop le choix et pas grand chose à dire. C'est quand même dingue d'être sur une zone géographique censé être à la pointe (futuroscope) et de même pas pouvoir bénéficier d'une liaison adsl de qualité.

Je suis moi aussi en éthernet. Je me demande si je vais pas tester avec un aute ipcop à base de carte 3com et redemander à mon FAI de remonter le débit en IPMAX.

[Arpanet]

Salut,

idem pour moi,

Durant 6 mois j'étais chez tiscali en 512/128, un ipcop 1.4.2 avec des addon et un sagem800, pas de prb, une deconnexion toute les 24h, normal.
Depuis 15 jours je suis passé chez le neuf avec leur offre adsl max, et là, j'ai de 5 à 10 déconnexions dans l’après-midi, pas cool, dans certain cas mon IPCOP est planté.
Sans savoir d'où venait le prb j'ai installé ipcop 1.4.4 (pas d'addon) en pensant résoudre le prb, mais malheureusement j'ai toujours le prb.

Le prb vient du modem ADLS ou du DSLAM
Qui est le coupable
Si le prb vient du modem, la solution est simple, je change de modem.
Mais si le prb vient du DSLAM, il reste le changement de l’offre adslMAX par une offre moins ambitieuse. Pas cool comme solution.

Ipcop est-il capable de parer au prb?

[Arpanet]

Ma config :

En frontal : ipcop 1.4.5 (même prb avec la 1.4.4) avec un modem USB, le Sagem800.
En DMZ : SME 6.0.1 en serveur ftp
Connexion neuf adslMax

Sur Ipcop, j’active le transfert de port pour le FTP (20 et 21) sur l’IP de mon serveur FTP. Pas de prb.

Dès qu’un téléchargement commence (à partir d'un client sur Internet), Ipcop redémarre (dans la majorité des cas).
Dans certain cas j’ai le message suivant :

Code: Tout sélectionner

00:35:47 ipcop ERROR: EAGLE-USB ADSL MODEM failed to start

Dans la majorité des cas il n'y a pas de trace dans les journaux d’événement.

Et quand le transfert du port 21 est désactivé, pas de prb, Ipcop fonctionne normalement.


Merci de votre aide.

[grome]

Mon problème a été résolu par une mutation de l'équipement sur le DSLAM.
De plus france telecom est venu dans l'entreprise modifier l'arrivée de la ligne.
Donc pour moi plus de deconnexion.

Nous sommes à 2200 m du central et le bruit sur la ligne est de 34 db
Nous atteignons un petit 4 mb/s.

Salut,

idem pour moi,

Durant 6 mois j'étais chez tiscali en 512/128, un ipcop 1.4.2 avec des addon et un sagem800, pas de prb, une deconnexion toute les 24h, normal.
Depuis 15 jours je suis passé chez le neuf avec leur offre adsl max, et là, j'ai de 5 à 10 déconnexions dans l’après-midi, pas cool, dans certain cas mon IPCOP est planté.
Sans savoir d'où venait le prb j'ai installé ipcop 1.4.4 (pas d'addon) en pensant résoudre le prb, mais malheureusement j'ai toujours le prb.

Le prb vient du modem ADLS ou du DSLAM
Qui est le coupable
Si le prb vient du modem, la solution est simple, je change de modem.
Mais si le prb vient du DSLAM, il reste le changement de l’offre adslMAX par une offre moins ambitieuse. Pas cool comme solution.

Ipcop est-il capable de parer au prb?

[Arpanet]

Merci grome pour le tuyau, j’ai fait une demande à neuf telecom, pour qu’il contrôle ma connexion.

Et pour mon prb de FTP personne n’a d’idée.