IP sperren?

[Boink]

Hallo,
ich habe ein Problem mit einem Server (Server IP ist gleich Servername = 66.54.78.14). Dieser schickt mir bei einer Datei unter z.T. Hunderten von Namen jeweils 6 Bytes, hält dann die Leitung auf "Übertragen" und sonst nichts mehr. Auch verhindert er so scheinbar das fertigstellen von den einzelnen Chunks.
Bei allen Clients die dies tun ist die ServerIp und der Clienttyp (Old MlDonkey v.025) gleich.
Das Problem tritt zum Glück nur bei einem einzigen File auf, der Rest vom Muli läuft weiterhin normal.

Ich würde jetzt natürlich diesen Störenfried aus dem Share entfernen. Habe auch schon alles nach Anleitung (soweit ich es verstanden habe) gemacht - nur es ändert sich nichts. Habe sogar schon einmal den Download komplett neu gestartet, aber kein Erfolg.

Könnte mir jemand vielleicht mal genau schreiben wie man so eine Ip filtert - oder wie man sich sonst vor solchen Störaktionen schützen kann.

MfG Boink

[Slive]

Genau das gleiche Problem habe ich auch.
Habe jetzt diese Zeile:
066.054.078.014 - 066.054.078.014 , 000 , Von Slive

in mein ipfilter eingefügt. Mal schauen ob es geht.

Grüsse


EDIT:

Scheit nicht zu funktionieren. Mein Esel meldet zwar "Ignored Ip 66.54.78.14" doch es ändert sich nichts.
- 30 aktive Downloads an einem File. Doch keiner sendet was.
- Alle ml-donkey und alle die gleiche Server-ip 66.54.78.14
- im Verbose erscheint nur noch diese Meldung:
22.07.2004 18:22:21: File "******.avi" has already been written from 311480352 to 311480353, 2 bytes, part 32-32
22.07.2004 18:22:21: File "******.avi" has already been written from 574136350 to 574136351, 2 bytes, part 59-59
und das 10 Mal in der Sec.

ich hoffe es gibt bald eine Lösung.

[Boink]

Vielen Dank für die schnelle Reaktion,
bei mir funktioniert es aber leider auch nicht. Habe sogar die Datei nochmal gestartet. Hat nichts gebracht.

Hat noch jemand eine Idee?

[Rumpelzuck]

wenn ihr diese Server IP filtert, bedeutet das nur, daß euer Muli keine neuen Quellen mehr von diesem Server abfragt.

Die fehlerhaften Quellen kriegt ihr aber auch über den Quellentausch von anderen Mulis, die diese defekten Quellen kennen. Diese defekten Quellen müßtet ihr filtern, nicht den Server, der macht kein Upload zu euch.

Sind diese defekten Quellen alle vom Typ MLDonkey? So ein Fall hat ich neulich auch mal.

Das Filtern dieser defekten Quellen lohnt sich auch nur wenn die feste IPs haben. Es gibt Mods (z.B. MFCK), die auch die IPs von Quellen anzeigen. Die so identifizierten Störer kann man dann wie oben von Slive beschrieben in die IPFilter.dat eintragen.

Ciao
Rumpelzuck

[Slive]

Ja es sind alle MlDonkeys. Sie habean alle änlich Namen (darkman, darkman443, darkman33 usw.) und alle die gleiche Server ip. Die Ips deiser Clients kann ich leider nicht sehen. Das komischste ist ja, dass sie alle nur ein File "verseuchen".

[Boink]

Hallo,
habe heute morgen gleich mal den Tip von Rumpelzuck ausprobiert. Bis jetzt mit ERFOLG!

Habe Folgendes in die ipfilter.dat eingetragen:

038.113.196.000 - 038.113.196.255 , 000 , OldMlDonkey
038.115.004.000 - 038.115.004.255 , 000 , OldMlDonkey
038.117.006.000 - 038.117.006.255 , 000 , OldMlDonkey
038.118.151.000 - 038.118.161.255 , 000 , OldMlDonkey
038.119.036.000 - 038.119.076.255 , 000 , OldMlDonkey
065.019.175.000 - 065.019.175.255 , 000 , OldMlDonkey
066.054.072.000 - 066.054.072.255 , 000 , OldMlDonkey

Kann natürlich sein, daß die ihre IPs immer wieder ändern, mal sehen...

Jetzt noch zwei Fragen:
1. Sollte ich meine kaputte Datei löschen (hatte die ganze Nacht nur Fehlermeldungen wegen defekter Dateiteile), oder werden die kaputten jetzt automatisch durch gute ersetzt?
2. Wie groß sollte ein IP-Bereich sein, wenn man ihn sperrt? Wäre es z.B. sinnvoll in meinem Fall den ganzen Bereich 038.11x.xxx.xxx zu sperren? Würde ja ne Menge Schreibarbeit sparen, und auch noch gegen kleine Adressänderungen schützen.


MfG Boink

[nado]

Zitat von Slive

Ja es sind alle MlDonkeys. Sie habean alle änlich Namen (darkman, darkman443, darkman33 usw.) und alle die gleiche Server ip. Die Ips deiser Clients kann ich leider nicht sehen. Das komischste ist ja, dass sie alle nur ein File "verseuchen".

Derzeit werden gezielt Downloads mit modifizierten oder gefakten Mldonkeys verseucht. Das 38er Netz gehört zu Psinet, von denen in der Vergangenheit auch schon gezielt Kazaa-Downloads verseucht wurden.
In der neuesten Serverversion von Lugdunum wird das 38er Netz ausgesperrt, ausserdem wird auch ipfilter.dat unterstützt.
Ausser Sperrlisten zu verwenden kann man da wenig machen.

[Rumpelzuck]

@Boink,

die Datei brauchst du nicht neu anzufangen wenn der Muli von den korrekten Quellen weiter downloadet. Defekte Dateiteile sollten normalerweiser automatisch verworfen und nicht abgespeichert werden.

Die Größe des zu sperrenden IP Bereichs hängt halt davon ab, welche Adressen den Störern/Fakern zur Verfügung stehen. Sicher wird Psinet nicht alle seine Adressen dafür brauchen, aber welche nun genau kriegt man nur durch Beobachtung raus.
Oder man filtert mit der groben Kelle einfach den ganzen Bereich großzügig drumherum mit weg. Das hat aber dann auch den unangenehmen Nebeneffekt, daß man sich evt. auch von einigen guten Quellen trennt.

In diesen Fall liefert www.arin.net für z.B. die IP 38.113.196.1 den Eigentümer Psinet bzw. für 38.112.0.0 - 38.119.255.255 die Firma Cogent Communications. Wenn du also großzügig filtern willst, dann nimm den ganzen Bereich und schau mal ab und zu in die IPFilter Statistik von deinem Muli wieviel davon greift.

Aber das großzügige Filtern hat auch Knackpunkte wie z.B folgendes:
Neulich ist das IP Netz des Providers eines Kumpels, der immer gut Upload in unserer Gruppe macht, mit auf die "offizielle" IPFilter Liste gekommen, keiner kann so ganz nachvollziehen warum. Der Kumpel hat einen Server mit fester IP von dem Provider und nachdem wir unsere IPFilter entsprechend bereinigt hatten klappts wieder gut.

Ich halte es mit dem Grundsatz nur das Nötigste zu filtern, gerade für solche Stör-Uploader wie in diesen Fall ist die IP Filterei im Muli gedacht. Gegen das Scannen, wer nun was anbietet oder nachfragt und damit evt. gegen Gesetze verstößt, hilft das IP filtern gar nichts. Das macht man ganz unauffällig von stinknormal aussehenden Clients mit dynamischen IPs.

Ciao
Rumpelzuck

[Boink]

@Rumpelzuck

War zwar schon fast alle Störer los (hatte den letzten Bereich noch etwas erweitert: 066.054.072.000 - 066.054.073.255 , 000 , OldMlDonkey), aber nach dem Wechsel auf meine alte Mod hatte ich dann doch noch wieder ein paar drin. Tja, gute Quellenfindung kann auch mal Nachteile bringen .
Habe daraufhin den ganzen von Dir genannten Bereich gefiltert, und das ganze über nacht laufen lassen, und siehe da: keine Störer mehr!!! Ich glaube das war's.

Vielen Dank für Deine Hilfe.

MfG Boink

[Slive]

Habe den Bereich von (38.112.0.0 - 38.119.255.255), wie von Rumpelzuck vorgeschlagen, in mein Ipfilter eingetragen. Trotzdem hatte ich noch 3 der genannten Mldonkeys. Naja, immer noch besser als 30. Ich würde gerne wissen wie ich die Ips der drei Mlpenner herausfinden könnte um sie zu filtern. Es muss doch ein tool geben, welches aus dem Client-Hash, die Ip rausliest. Ah Denkfehler: Der Hash bleibt ja immer gleich, auch wenn sich die Ip ändert.

Habe das File abgebrochen. "Diese Schlacht haben SIE vielleicht gewonnen, aber......"

[Rumpelzuck]

@Slive,

trag doch doch auch noch den 65er und 66er Bereich wie von Boink beschrieben mit ein. Damit klappt ja bei ihm die Filterung aller schlechten Quellen.
Wir geben die Schlacht doch nicht so einfach verloren

Ciao
Rumpelzuck

[Boink]

Hallo,
noch eine kleine Berichtigung. Habe mich bei meinem letzten Eintrag vertippt.

Richtig heißt es: 066.054.072.000 - 066.054.083.255 , 000 , OldMlDonkey

Das kommt davon,wenn man zu Zeiten schreibt, wo man eigentlich schlafen sollte .

Ansonsten ist bis jetzt immer noch alles bestens. Hab die Datei schon zu 82% fertig. Alles wird gut!!!

@ Slive
Nicht aufgeben. Einfach nochmal laden. Jetzt gehts doch...

MfG Boink

[Slive]

Ihr habt recht, man(n) sollte so schnell nicht aufgeben.
So, habe nun den Bereich von dir Boink, auch noch in den filter geschmissen. Es ist immer schade, so viele ips zu sperren. Nur lässt sich das leider nicht vermeiden.

Schein gut zu laufen. Danke für die Tips an euch beide.

Grüsse Slive


Edit: Leider muss ich meinen Beitrag editieren. Es ist wieder diese "MlSeuche" aufgetaucht.

[Boink]

@Slive

Habe mal meine ermittelten IPs in die Suchseite von Rumpelzuck (coole Seite - Danke für den Link) eingegeben und folgendes herausbekommen:

66.54.64.0 - 66.54.111.255 NHI-Networks
65.19.175.128 - 65.19.175.255 Hurricane Electric (NHI-Networks)

Es fehlt also nur noch eine kleine Erweiterung im 66er Bereich, dann bist Du wohl alle MLDonkeys los. Ich bin mir deswegen ziemlich sicher, weil ich auf der Suche nach der Fa. NHI-Networks auf einen englischsprachigen Boardeintrag vom 15.Juli gestoßen bin, der genau mit diesen drei Adressbereichen bei sich für Ruhe gesorgt hat.

Ich habe wohl nur etwas Glück gehabt, mein Download wurde heute ohne weiter Störung fertig .

Also, nicht unterkriegen lassen.

MfG Boink

[MadMac]

Eine aktuelle ipfilter.dat und guarding.p2p mit enthaltenem fake MLdonkey 0.25 Filter gibt es hier: http://www.openmedia.info
Regelmaessiges Update.

038.115.000.000-038.119.255.255,000, fake mldonkey
063.241.036.000-063.241.036.255,000, fake mldonkey
062.241.036.000-062.241.036.255,000, fake mldonkey
066.036.240.000-066.036.255.255,000, fake mldonkey
066.054.073.000-066.054.255.255,000, fake mldonkey
066.117.000.000-066.117.255.255,000, fake mldonkey
194.165.000.000-194.165.255.255,000, fake mldonkey
209.133.042.000-209.133.042.255,000, fake mldonkey
38.113.196.0 - 38.113.196.255 , 100 , mldonkey 2-byte corruptions (Performance Systems Inc.)
38.115.4.0 - 38.115.4.255 , 100 , mldonkey 2-byte corruptions (Performance Systems Inc.)
38.117.6.0 - 38.117.6.255 , 100 , mldonkey 2-byte corruptions (Performance Systems Inc.)
209.133.42.0 - 209.133.42.255 , 100 , mldonkey 2-byte corruptions (Abovenet Inc. NY)
66.54.72.0 - 66.54.72.255 , 100 , mldonkey 2-byte corruptions (NHI Networks, LA)
66.54.77.0 - 66.54.77.255 , 100 , mldonkey 2-byte corruptions (Abovenet Inc. NY)
66.36.243.0 - 66.36.243.255 , 100 , mldonkey 2-byte corruptions (HopOne Int. Corp, DC)
207.234.185.0 - 207.234.185.255 , 100 , mldonkey 2-byte corruptions (CyberGate, Inc. FL)