CM13/14.1: Linux Kernel will im Sekundentakt auf Internet zugreifen ...

[milli4503]

netd funktioniert praktisch wie ein Proxyserver. Ähnlich wie VPN. Er unterwandert. Diesen Mist haben's gemacht das das System z.B. Freigabeordner usw. leichter findet.

Braucht man nicht wirklich. Muss jeder selber wissen.
DNS Auflösung macht ja dein Anbieter-DNS-Server od. du machst StaticIP in den Netzwerkeinstellung u. nimmst z.B. OpenDNS zur Namensauflösung.

Das siehst du schön, wenn du mal auf einen Terminal " nslookup localhost " machst.

 

[rudolf]

Richtig! Und deswegen sollte man zu allererst diesen netd deaktivieren, oder man kann sich gleich eine Firewall sparen.
In der AFWall+ ist das auch in den Einstellungen möglich.

Ich fürchte du weisst garnicht was netd ist. Es gibt weder eine option in Afwall netd zu deaktivieren, noch mach es irgeneinen Sinn netd zu entfernen wenn das System konzipiert ist damit zu funktionieren.

 

[milli4503]

AFWall+: Einstellungen > Binärdateien > DNS-Proxy > DNS über netd deaktivieren.

22J. System-Netzwerk Admin. MCP, MCSA +M, Novell Linux Admin, HP Storage E; LPI-1 und LPI-2 denn Rest lass ich mal.

Aber wer weiß. Kann ja sein, das du wissender bist. Egal ;-)
[doublepost=1482273113,1482271760][/doublepost]Quelle: F-Droid und AFWall+ – Android ohne Google?! Teil4 • Kuketz IT-Security Blog

Zum Verständnis:

• Seit Android 4.3 werden DNS-Anfragen standardmäßig über den netd Daemon »geschleust«. Dieser netd-(Root)Dienst als Teil unseres Androiden arbeitet ähnlich wie einProxy bzw. Tunnel. Aufgrund dieser »DNS-Tunnelverbindung« kann unsere AFWall+ nicht die entsprechenden DNS-Requests einer App bzw. einer speziellen UID zuordnen. Mithin ist sie auch standardmäßig nicht in der Lage, derartige DNS-Requests zu blocken. Durch gewisse Einstellungen in der AFWall+ könnt ihr dieses (ominöse) Verhalten eures Androiden unterbinden. Hierzu öffnet ihr wiederum im Optionsmenü den Punkt »Einstellungen«. Scrollt in diesem Menü ganz nach unten zum Eintrag »DNS-Proxy«. Dort ändert ihr die Funktion »automatisch« in »DNS über netd deaktivieren«. Durch diese kleine und unscheinbare Funktionsänderung erreicht ihr, dass von nun an alle DNS-Anfragen über die »App« bzw. UID »(Root) – Apps die Root-Rechte benötigen« verschickt werden und somit die AFWall+ die DNS-Anfragen den entsprechenden Apps zuordnen kann. Wollt ihr nach dieser Funktionsänderung weiterhin mit eurem Androiden surfen oder E-Mails empfangen, solltet ihr spätestens jetzt dieser »App« den Zugriff nach »außen« erlauben.Eine weitere, durchaus umständlichere Methode, um die entsprechenden DNS-Anfragen von Apps zu kontrollieren ist, sich das Programm dnsproxy2 zu installieren und mittels dieses Programms die DNS-Anfragen »umzuleiten«.
• Weiterhin tauchen im Zusammenhang mit der Systemkomponente »(Kernel) Linux Kernel« immer wieder Pakete auf, die auf den ersten Blick nicht zuzuordnen sind. Eine genauereAnalyse dieser Verbindungen sorgt allerdings auch hier schnell für Klarheit. Es handelt sich hierbei um »Service-Pakete«, wie TCP-Retransmissions oder den Versuch einen »verwaisten« Port zu schließen. Ihr werdet nämlich feststellen, dass all diese Pakete in unmittelbarer Verbindung mit Apps stehen, denen ihr den Zugriff auf das Internet erlaubt habt.

 

[Cynob]

Hui digitaler Schw*** Vergleich.... *Popcorn raushol*
Ich find diese Vita Vergleiche immer sinnvoll.

Dann lass uns mal was konstruktives machen: Kann man dem netd daemon nicht ein Interface verpassen das man mit ner Java Software auslesen kann? Also sowas wie ne Firewall für netd?

 

[milli4503]

Ich fürchte du weisst garnicht was netd ist. Es gibt weder eine option in Afwall netd zu deaktivieren,

Sorry, aber sowas nervt halt. Gescheid daher reden, aber nicht mal die einfachsten Optionen finden.

@Cynob
Wieso soll man den netd was verpassen. Wird über iptables rules gebockt u. gut is. Dafür ist ja die Option in der AFWall+ da. Vieleicht mag der eine oder andere das noch per Zusatzrule. verfeinern. Geht mit Sicherheit. Warum noch ein Rad erfinden. Man kann auch einen Raumanzug für den Jupiter sich bauen. Aber was würd's bringen. Vorallem wäre es der Aufwand wert.

Kommt auch darauf an wie lange der einzelne User so am Tag vorm Rechner sitzt. Ich muss es nicht haben.

 

[ooo]

Dann lass uns mal was konstruktives machen: Kann man dem netd daemon nicht ein Interface verpassen das man mit ner Java Software auslesen kann? Also sowas wie ne Firewall für netd?

Um etwas Konstruktives zu machen, benötigt man an dieser Stelle kein Java. - Zumindest sollte man sich erst mit Kernel, Services, Binaries und dem Shell-Kram auskennen.

(Edit: Es gibt auch ROM-Köche, die "nur" ROM-Manipulatoren sind - bissi C/C++/Java im Userland, aber vom Kernel wenig bis keine Ahnung haben. - Solche Typen antworten dann eher schleppend auf Kernel-Fragen - oder gar nicht.)
___

Dafür kann man z. B. so etwas gut gebrauchen (auch, wenn seine virtuelle Visitenkarte länger bzw. breiter ist, als die anderer Leute hier ...):

System-Netzwerk Admin. MCP, MCSA +M, Novell Linux Admin, HP Storage E; LPI-1 und LPI-2 denn Rest lass ich mal.

___

Diese Sprüche benötigt man für den Job schon 'mal überhaupt nicht, wenn man "konstruktiv" sein möchte (es sei denn, man hat selbst keinen cauda imposantis):

Hui digitaler Schw*** Vergleich.... *Popcorn raushol*
Ich find diese Vita Vergleiche immer sinnvoll.

___

Und das hier tut es auf jeden Fall:

AFWall+: Einstellungen > Binärdateien > DNS-Proxy > DNS über netd deaktivieren.

___

Und nach diesem ganzen unnützen Gebashe meinerseits noch etwas Lektüre:

"Wiederholungssendung" (Link gibt es hier im Thread bereits)
Android kernel traffic · ukanth/afwall Wiki · GitHub

Und der Code in AFWall+, der die iptables-Rules bastelt (je nachdem, wie die Option zu netd eingestellt ist):
afwall/Api.java at stable · ukanth/afwall · GitHub

(Man könnte eine ROM auch erstmal als clean install / all wipes auf das Device ballern und die Tests starten, dann evtl. immer nur eine App installieren, anstatt das Orakel von Delphi zu befragen ...)

 

[Cynob]

Man könnte meinen du bist der große Bruder von dem - so wie du ihn verteidigst.
Ich finds auch schön das du selbst erkannt hast das du nur dumm rumbashst... was wäre das Forum nur ohne so Leute wie dich?

 

[ooo]

Ja, bin ich (im Geiste). - Und du forderst subterran dümmlich, "konstruktiv" zu sein und demontierst nach gusto parallel eine Person, die 1. weiß, dass es eine Option gibt, 2. wo sie zu finden ist, 3. Zusammenhänge zum Thema schlüssig erklären kann. - High hatting at its best ... Sag ihm doch einfach "danke" für seine Beiträge. - Diese ganze Geschichte hätte man sich sparen können, wenn man sich u. a. mit iptables/ip6tables auskennen würde und Source Code lesen & verstehen könnte ...

Danke, dass du meine Meinung bestätigst.

 

[Sunny]

Es wäre sehr nett von euch wenn ihr diesen bissigen Unterton Weg lassen könntet. Wenn schon diskutiert werden muss dann doch sachlich über das Thema.
Sonst helft ihr hier keinem ausser eurem Ego
LG
Sunny76

 

[ooo]

Richtig. - Wir haben es ja gerade abschließend geklärt.

 

[Cynob]

Na ich schreib hier auch nixmehr dazu - solchen Egomanen welche sich nur aufspielen und links posten muss man ja kein Futter geben.
Ich bin hier raus.