Perché Google si sta avvicinando alla mia macchina VPS?

Sto cercando di tenere traccia delle attività di rete sul mio computer con CentOS 7.

Secondo i registri di iptables, sembra che Google (74.125.133.108) si stia avvicinando al mio VPS molte volte.

Vedo che la porta di origine è sempre 993.

Qual è la ragione?

16:22:11 kernel: ipt IN=eth0 OUT= MAC=... SRC=74.125.133.108 DST=... LEN=60 TOS=0x00 PREC=0xA0 TTL=107 ID=4587 PROTO=TCP SPT=993 DPT=47920 WINDOW=62392 RES=0x00 ACK SYN URGP=0
16:22:11 kernel: ipt IN=eth0 OUT= MAC=... SRC=74.125.133.108 DST=... LEN=52 TOS=0x00 PREC=0xA0 TTL=107 ID=4666 PROTO=TCP SPT=993 DPT=47920 WINDOW=248 RES=0x00 ACK URGP=0
16:22:11 kernel: ipt IN=eth0 OUT= MAC=... SRC=74.125.133.108 DST=... LEN=2767 TOS=0x00 PREC=0xA0 TTL=107 ID=4668 PROTO=TCP SPT=993 DPT=47920 WINDOW=248 RES=0x00 ACK PSH URGP=0
16:22:11 kernel: ipt IN=eth0 OUT= MAC=... SRC=74.125.133.108 DST=... LEN=331 TOS=0x00 PREC=0xA0 TTL=107 ID=4704 PROTO=TCP SPT=993 DPT=47920 WINDOW=248 RES=0x00 ACK PSH URGP=0
16:22:11 kernel: ipt IN=eth0 OUT= MAC=... SRC=74.125.133.108 DST=... LEN=150 TOS=0x00 PREC=0xA0 TTL=107 ID=4705 PROTO=TCP SPT=993 DPT=47920 WINDOW=248 RES=0x00 ACK PSH URGP=0
16:22:11 kernel: ipt IN=eth0 OUT= MAC=... SRC=74.125.133.108 DST=... LEN=299 TOS=0x00 PREC=0xA0 TTL=107 ID=4733 PROTO=TCP SPT=993 DPT=47920 WINDOW=248 RES=0x00 ACK PSH URGP=0
16:22:11 kernel: ipt IN=eth0 OUT= MAC=... SRC=74.125.133.108 DST=... LEN=52 TOS=0x00 PREC=0xA0 TTL=107 ID=4771 PROTO=TCP SPT=993 DPT=47920 WINDOW=248 RES=0x00 ACK URGP=0
16:22:11 kernel: ipt IN=eth0 OUT= MAC=... SRC=74.125.133.108 DST=... LEN=354 TOS=0x00 PREC=0xA0 TTL=107 ID=5026 PROTO=TCP SPT=993 DPT=47920 WINDOW=248 RES=0x00 ACK PSH URGP=0
16:22:11 kernel: ipt IN=eth0 OUT= MAC=... SRC=74.125.133.108 DST=... LEN=52 TOS=0x00 PREC=0xA0 TTL=107 ID=5094 PROTO=TCP SPT=993 DPT=47920 WINDOW=248 RES=0x00 ACK URGP=0
16:22:11 kernel: ipt IN=eth0 OUT= MAC=... SRC=74.125.133.108 DST=... LEN=128 TOS=0x00 PREC=0xA0 TTL=107 ID=5116 PROTO=TCP SPT=993 DPT=47920 WINDOW=248 RES=0x00 ACK PSH URGP=0
16:22:12 kernel: ipt IN=eth0 OUT= MAC=... SRC=74.125.133.108 DST=... LEN=52 TOS=0x00 PREC=0xA0 TTL=107 ID=5187 PROTO=TCP SPT=993 DPT=47920 WINDOW=248 RES=0x00 ACK URGP=0
16:22:12 kernel: ipt IN=eth0 OUT= MAC=... SRC=74.125.133.108 DST=... LEN=124 TOS=0x00 PREC=0xA0 TTL=107 ID=5189 PROTO=TCP SPT=993 DPT=47920 WINDOW=248 RES=0x00 ACK PSH URGP=0
16:22:12 kernel: ipt IN=eth0 OUT= MAC=... SRC=74.125.133.108 DST=... LEN=52 TOS=0x00 PREC=0xA0 TTL=107 ID=5195 PROTO=TCP SPT=993 DPT=47920 WINDOW=248 RES=0x00 ACK URGP=0
16:22:12 kernel: ipt IN=eth0 OUT= MAC=... SRC=74.125.133.108 DST=... LEN=339 TOS=0x00 PREC=0xA0 TTL=107 ID=5213 PROTO=TCP SPT=993 DPT=47920 WINDOW=248 RES=0x00 ACK PSH URGP=0
16:22:12 kernel: ipt IN=eth0 OUT= MAC=... SRC=74.125.133.108 DST=... LEN=119 TOS=0x00 PREC=0xA0 TTL=107 ID=5214 PROTO=TCP SPT=993 DPT=47920 WINDOW=248 RES=0x00 ACK PSH URGP=0
16:22:12 kernel: ipt IN=eth0 OUT= MAC=... SRC=74.125.133.108 DST=... LEN=52 TOS=0x00 PREC=0xA0 TTL=107 ID=5229 PROTO=TCP SPT=993 DPT=47920 WINDOW=248 RES=0x00 ACK URGP=0
16:22:12 kernel: ipt IN=eth0 OUT= MAC=... SRC=74.125.133.108 DST=... LEN=52 TOS=0x00 PREC=0xA0 TTL=107 ID=5257 PROTO=TCP SPT=993 DPT=47920 WINDOW=248 RES=0x00 ACK FIN URGP=0

iptables

— ishahak
fonte

Risposte:

101

Notate il ACK SYNprimo pacchetto nella vostra discarica? Tali flag indicano il secondo stadio dell'handshake TCP a tre vie .

Poiché questo pacchetto proviene da Google, indica che Google non "si avvicina al tuo VPS"; il tuo VPS si sta connettendo a Google sulla porta 993 e Google sta inviando di nuovo un riconoscimento.

Per ulteriori approfondimenti, è possibile utilizzare il iptablescomando per visualizzare i dettagli (inclusi gli ID processo) delle connessioni attualmente attive. È inoltre possibile utilizzare il sottosistema di controllo del kernel per registrare le connessioni in uscita mentre si verificano.

— David
fonte

Grazie per aver risolto questo mistero. Effettivamente ho un processo che scarica email da Google. Un ringraziamento speciale per aver suggerito lo strumento auditctl!

— Ishahak, il

La porta 993 è per il traffico IMAP crittografato.

Gmail ha una funzione in cui può controllare i server IMAP esterni e portare quelle e-mail nella tua casella di posta.

Pertanto, sospetto che il tuo indirizzo IP fosse in precedenza quello del server di posta elettronica di qualcuno, e hanno configurato Gmail per controllare quel server per le loro e-mail. (In alternativa, ma meno probabile, che "qualcuno" sei tu, e ti sei dimenticato di averlo fatto.)

— ceejayoz
fonte

Ciò potrebbe plausibilmente spiegare perché la porta di destinazione sarebbe 993 / tcp, ma nel caso di OP, è la porta di origine . La porta di destinazione è 47920 / tcp.

— un CVn il

@aCVn Il che suggerisce che l'OP potrebbe connettersi a Google, invece del contrario ...

— marcelm

@marcelm Questo è davvero il caso, come indicato dalle ACK SYNbandiere sul primo pacchetto nell'elenco. Ho pubblicato una spiegazione più dettagliata come risposta.

— David,

@marcelm Forse c'è del malware sul server che tenta di inviare spam tramite Gmail in qualche modo.

— Qwertie,

@Qwertie: la maggior parte dei malware che inviano spam andrebbero per le porte SMTP (25/465/587) e non si preoccuperebbero di IMAP.

— Grawity il