Jump to content

DNS.EXE tausende connections in TCPView


Der letzte Beitrag zu diesem Thema ist mehr als 180 Tage alt. Bitte erstelle einen neuen Beitrag zu Deiner Anfrage!

Empfohlene Beiträge

Hi,

 

Ich glaube ich hab hier ein problem, habe aber keine Ahnung wie ich es angehen soll. Google hat mir leider nicht Helfen können.

 

Ich habe hier 2x Server 2003 in zwei unterschiedlichen Netzen, 192.168.1.0 und 192.168.0.0

Beide Netz sind über einen OpenBSD Router untereinander erreichbar und können raus ins Internet. Ich hab keinen der Server aufgebaut und leider nicht wirklich viel Ahnung vom Windows DNS Service.

 

Tatsache ist, auf beiden 2003 Servern sehe ich in TCPView tausende Verbindungen.

 

Siehe: Hier

oder Attached Screenshot.

DNS.EXE:PORT <-- (dieser port ändert sich wenn ich den DNS Service restarte)

LocalAddress:PORT <--- geht irgendwo bei Port 46.000 los und geht bis ende der Port-Range.

 

Da ich alles andere als ein Netzwerk oder DNS Experte bin bräuchte dringend ich eure Ratschläge oder ein paar Denkansätze.

 

gruß

Johnny

 

p.s. falls ich weitere Infos posten soll sagt mir einfach welche

post-37036-13567389564705_thumb.jpg

Link zu diesem Kommentar

Mailserver

- nein

 

Dienste

- allerllei default natürlich. Soll ich alle auflisten ? :)

 

Virenschutz

- Panda Security (Server-Client Suite). Auf einem Server alte Version auf anderem neuste. Signaturen auf beiden up to date.

 

Patched

- Clients nur sporadisch, Server nur der eine. Sicherheit wird nicht groß geschrieben. Ich bin NICHT der Verantwortliche und Rede in der Firma auch gegen eine Wand wenn es um Grundregeln der Sicherheit geht.

Edit: Puh.. gerade gesehen das der eine DC noch SP1 hat... *kopfschüttel*.

Was evtl. auch noch wichtig ist, es befinden sich keine 30 Clients in beiden Netzen, aktiv sind so ca. 5-10 am Tag.

 

Bild im initial post als Link hinzugefügt.

Link zu diesem Kommentar
Hi,

 

Ich glaube ich hab hier ein problem, habe aber keine Ahnung wie ich es angehen soll.

 

 

Hallo Johnny,

Ich glaub nicht, dass du ein Problem hast. TCPView zeigt dir keine bestehenden Verbindungen an, die es beim UDP-Protokoll eh nicht gibt, sondern nur noch gecachte Informationen zu DNS-Anfragen, die deine Rechner irgendwann mal bekommen haben.

Die Spalten "remote Address" und "State" sind wahrscheinlich leer.

Problematisch wäre es z.B. , wenn bei State der Eintrag "syn_received" stehen würde. Das wären dann halboffene Verbindungen.

Wenn du es genau wissen willst, wer deine Rechner anfunkt, dann installier dir einen Netzwerkmonitor z.B. Wireshark: Go deep. und leg auf dein Interface unter Capture -> Interfaces ->Options den Capturefilter "udp port 53"

 

cu

blub

Link zu diesem Kommentar

Die Spalten "remote Address" und "State" sind wahrscheinlich leer.

 

Hi,

 

Korrekt, diese Spalten sind leer bzw. remote address ist mit *.* gezeichnet.

 

Allerdings macht mich das trotzdem stutzig, den ich sehe das zum ersten mal. Auf Servern (andere Standorte) sind lediglich 1-10 mal DNS.EXE zu sehen, huh? Und dann auf den zweien hier meherere tausend ?

 

Könnte das problem durch falsch konfigurierte DNS Services / Vertrauenstellungen zwischen den beiden Domänen ausgelöst werden ?

Link zu diesem Kommentar

Hallo,

 

Danke für die Links. Wie ich das sehe nutzt der DNS Service seit dem Security Patch random ports von 49152 bis 65535.

 

Verstehe ich das also richtig das jeder der diesen Patch aufspielt das gleiche in TCPView bzw. netstat sehen wird wie ich oben auf dem Screenshot gezeigt habe ? Nämlich 2500 von DNS.EXE belegte Ports in der genannten range ?

Link zu diesem Kommentar
Der letzte Beitrag zu diesem Thema ist mehr als 180 Tage alt. Bitte erstelle einen neuen Beitrag zu Deiner Anfrage!

Schreibe einen Kommentar

Du kannst jetzt antworten und Dich später registrieren. Falls Du bereits ein Mitglied bist, logge Dich jetzt ein.

Gast
Auf dieses Thema antworten...

×   Du hast formatierten Text eingefügt.   Formatierung jetzt entfernen

  Only 75 emoji are allowed.

×   Dein Link wurde automatisch eingebettet.   Einbetten rückgängig machen und als Link darstellen

×   Dein vorheriger Inhalt wurde wiederhergestellt.   Editor-Fenster leeren

×   Du kannst Bilder nicht direkt einfügen. Lade Bilder hoch oder lade sie von einer URL.

×
×
  • Neu erstellen...