windows2000 server "schiesst" router ab

[martkla 10]

hallo zusammen,

 

ich hab vor einigen tagen eine neue internetverbindung gekriegt, die über einen cisco-router hergestellt wird. im netzwerk hängen zwei arbeitsplätze und zwei server (windows2000 advanced server) mit active directory und internen ip-adressen (192.168.0.20). hier ist aber wahrscheinlich etwas falsch eingestellt - einer der server baut innerhalb weniger minuten mehrere 1000 verbindungen zum router auf, bis der irgendwann nicht mehr reagiert - dann hilft nur mehr ein neustart des routers.

 

ich hab auf dem server die neuesten servicepacks und updates drauf, hab auch eine ausführliche virenprüfung durchgeführt. das problem besteht aber nach wie vor. einzige lösung derzeit: ich hab das gateway in den netzwerkeinstellungen gelöscht - somit hat der server aber auch keinen zugang zum internet mehr, was natürlich b***d ist.

 

kann mir hier vielleicht jemand weiterhelfen? was könnte ich da falsch eingestellt haben, dass es einfach nicht funktioniert?

 

und eine weitere frage gleich: ziel ist es, diesen server einerseits im lokalen netz zu haben (als fileserver) und gleichzeitig den zugang von "draussen" zu ermöglichen (als webserver). ist es eurer meinung eine gute lösung, zwei netzwerkkarten im server zu betreiben (eine intern 192.168.0.20, eine extern xxx.xxx.xxx.xxx)? oder wäre da eine andere lösung besser?

 

vielen dank. martin.

[Damian 1.397]

Hallo martkla.

 

Die Infos sind noch recht dürftig. Wie hast du die Sache mit den zig-tausend Verbindungen festgestellt? Welcher Art sind die Verbindungen? Auf einen bestimmten Port, eine IP-Adresse, ein bestimmter Dienst usw. Baut der Server die Verbindungen von sich aus auf oder antwortet er auf eine Anforderung?

Fragen über Fragen. :wink2:

 

Zu deiner zweiten Frage: ich würde den Server in eine DMZ (De-Millitarisierte Zone) stellen. Besorg dir mal Infos über dieses Konzept.

 

Damian

[ThaWild 10]

also bzgl punt2 würd ich sagen wenn du ihn privat verwendest kannst du es mit ip/port forwarding lösen.

falls das für ne firma is, dann das konzept meines vorredners ;)

 

greez stefan

[martkla 10]

naja, ich hab mal als übergangslösung die internetverbindugn über einen pc im netzwerk aufgebaut (mit installierter routing-software). dort wurden alle verbundenen pcs angezeigt mit der anzahl an verbindungen. und bei diesem server warens wirklich innerhalb kurzer zeit mehrere 1000.

 

probleme hab ich dann erst gekriegt, als der neue internetzugang da war. wie gesagt hat der router nach etwa ein bis zwei stunden betrieb einfach nicht mehr reagiert. nach einem neustart des routers hats dann wieder geklappt mit der verbindung für erneut ein bis zwei stunden. bei meinem provider hat man mir dann gesagt, dass zum router mehrere tausend nat-sessions aufgebaut werden von einer internet ip-adresse (eben der des servers), und dann wurde mir noch der port 512 genannt.

 

mit diesen informationen sitz ich jetzt hier und weiss nicht wie ich den server nun ins internet krieg ohne den router erneut "abzuschiessen". das ist mein problem.

[MikeBerlin 10]

Das sieht ja fast aus, wie die Katze, die sich in den Schwanz beißt. Also es gibt einen Router und zusätzlich? einen Rechner mit zwei Netzwerkkarten, der als Internetverbindungsserver funktionieren soll? (Router mag ich nicht sagen, da NAT verwendet wird). IP-Forwarding brauchst Du nicht (ist ja kein Router!). Hast Du denn an beiden Netzwerkkarten ein eigenes Subnetz? Wieso zusätzlich einen Rechner zum Internet, wenn es doch einen CISCO-Router gibt? Wenn auf dem Server Internet-Dienste laufen sollen, muss man am Router (Ist der auch DHCP?) ein Port-Forwarding konfigurieren, so dass alle Anfragen auf einen Port automatisch an den Server mit dem Dienst weitergeleitet werden. Hoffe, das Problem etwas eingegrenzt zu haben. Gruß Michael

[martkla 10]

es ist so: über den pc mit der routersoftware bin ich einige zeit ins internet gegangen, solang ich auf die neue leitung gewartet hab. da ist mir das schon damals aufgefallen, dass einer der beiden server so viele verbindungen aufbaut.

 

der zugang läuft jetzt aber ausschliesslich über den cisco router (192.168.0.1, 255.255.255.0). wie gesagt: einer der server baut innerhalb einiger minuten über 20000 verbindungen zum router auf (so wie damals schon zum pc mit routersoftware). laut auskunft meines providers sind das unnötige nat-sessions, und der port ist 512 (wenn ich das richtig verstanden hab). ich versuch jetzt herauszufinden, wo das was falsch eingestellt ist ...

[Damian 1.397]

Woher hat dein ISP eigentlich die Infos, das es NAT-Sessions auf Port 512 sind? :shock:

 

Mal davon abgesehen, sowas wie NAT-Sessions gibt es eigentlich gar nicht. NAT bedeutet, die Datenpakete werden umadressiert. So ein CISCO-Router ist kein Web- oder Terminalserver, auf dem man eine Sitzung/Session eröffnet. Er adressiert Pakete um und leitet sie gemäß seiner Routingtabelle weiter.

 

Und die Portnummer sieht auch merkwürdig aus:

 

exec 512/tcp remote process execution;

# authentication performed using

# passwords and UNIX login names

comsat 512/udp

biff 512/udp used by mail system to notify users

# of new mail received; currently

# receives messages only from

# processes on the same machine

 

Check nochmal diesen Server durch, ob nicht irgendwelche Trojaner oder amoklaufende Dienste ihr Unwesen treiben. Und schau mal in der CISCO-Doku nach, ob der Router auf diesem Port 512 einen Dienst anbietet. Vielleicht SNMP oder dergleichen. So einen Router lahm zu legen gelingt eigentlich nur, wenn auf dem System eine bekannte Schwachstelle ausgenutzt wird.

 

Damian

[martkla 10]

naja, die haben sich irgendwie in den router eingewählt und das da rausgefunden. frag mich nicht wie. aber die haben mir auf jeden fall vollkommen richtig die ip adresse des servers gesagt, und dass der unheimlich viele verbindungen aufbaut (wusste ich ja schon vorher von dem pc mit der routersoftware). eine empfehlung des providers war dann, allen rechnern im netzwerk "externe" ip-adressen zu geben, weil ich dann kein nat mehr brauche, wenn ich das richtig verstanden hab. nur wirklich schlau werd ich daraus leider nicht.

 

ich schau jetzt aber nochmal, ob ich einen trojaner oder ähnliches find. hab ich zwar schon gemacht und auch die neuesten patches und servicepacks eingespielt, aber vielleicht hab ich da echt was übersehen.

 

dankeschön jedenfalls an alle. martin.

[Damian 1.397]

Original geschrieben von martkla

...naja, die haben sich irgendwie in den router eingewählt und das da rausgefunden...

Die haben WAS??? :shock: :shock: :shock:

 

martkla, trenn' die Verbindung zum ISP und check erstmal gründlich dein Netzwerk durch.

 

Wenn dein ISP sich auf deinen CISCO-Router einloggen kann, dann kann das auch jeder Hansel aus dem Internet. Konfiguriere erst einmal deinen CISCO-Router auf maximale Sicherheit. Also Firewall aktivieren und administrative Zugriffe nur aus dem INTERNEN Netz zulassen. Zugriffe aus dem Internet ins interne Netz erst einmal komplett sperren, freigeben kannst du sie immer noch.

 

Welchen Router setzt du ein? Besitzt du zum ISP eine Wählverbindung oder eine Standleitung?

 

Damian

 

[edit]

Beschreibe mal den Aufbau deines Netzes.

[/edit]