☰

ドロップ ボックスが iptables ログで常に高ポートで接続を試み、失敗するのはなぜですか?

tag-icon • tag-icon log iptables
ドロップ ボックスが iptables ログで常に高ポートで接続を試み、失敗するのはなぜですか?

ログにメッセージが継続的に表示されます:

IPTables Packet Dropped: IN=eth1 OUT= MAC=c4:17:fe:65:51:f8:20:76:00:aa:98:78:08:00 
SRC=199.47.216.148 DST=192.168.1.102 LEN=218 TOS=0x00 PREC=0x00 TTL=54 ID=52253 DF  #
PROTO=TCP SPT=80 DPT=60684 WINDOW=31 RES=0x00 ACK PSH URGP=0

やってみたところwhois、ソースIPが199.47.216.148Dropboxと関係していることはわかりました。Dropboxはインストールしていますが、なぜ60684ポートで接続を試み続け、ログを詰まらせるのでしょうか？Dropboxはそれ以外はまったく問題なく動作しています。次のような接続が確立されています。

dropbox   2409          myuser   17u  IPv4 220578      0t0  TCP     127.0.0.1:37255->127.0.0.1:8080 (CLOSE_WAIT)
dropbox   2409          myuser   23u  IPv4 221364      0t0  TCP     127.0.0.1:37273->127.0.0.1:80y80 (CLOSE_WAIT)
dropbox   2409          muser   26u  IPv4 221496      0t0  TCP 127.0.0.1:37279->127.0.0.1:8080 (ESTABLISHED)
dropbox   2409          myuser   27u  IPv4 216008      0t0  TCP 127.0.0.1:37261->127.0.0.1:8080 (CLOSE_WAIT)

privoxy( と もインストールされているdansguardianので、への送信はのみがprivoxy許可され、をリッスンするへのローカル送信はのみが許可され、のに接続するよう強制されることを言及しておくべきかもしれません。つまり、Dropbox も Firefox と同様に の「プロキシ」を介して接続します。これが何らかの関連性を持つかどうかはわかりませんが、念のため。他の標準的な送信はほぼすべて許可されます。)http, httpsport 80dansguardianprivoxy8118firefoxdansguardian127.0.0.1:8080127.0.0.1:8080

私のiptablesルールは、追跡されない限り、すべての着信接続をドロップしてログに記録するように設定されています。

iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

奇妙なことに、Dropbox は他の点では正常に動作しているように見えるため、この着信接続で何が必要かは、かなり小さなものであるはずですが、ログにそれが継続的に表示されるのは煩わしいです。

答え1

これが表示される理由は、1024 未満のポートを開くことができるのは root のみであり、送信接続を必要とするアプリケーションはそれよりも高いポートを開くためです。

非ルートユーザーとして、1025 から 65335 までのポートを開くことができます。

関連情報