Pagina's: [1] 2 3

Auteur Topic: IP adressen geblokkeerd, aanval van buiten  (gelezen 5443 keer)

Offline Sylvester

  • MVP
  • *
  • Bedankjes
  • -Gegeven: 117
  • -Ontvangen: 106
  • Berichten: 1.809
IP adressen geblokkeerd, aanval van buiten
« Gepost op: 05 februari 2021, 06:54:56 »
Dit is al heel lang geleden, deze nacht werden er verschillende IP adressen geblokkeerd uit alle hoeken van de wereld. Griekenland, Frankrijk, Taiwan enz...
Allemaal rond hetzelfde uur en op verschillende NAS'en en via SSH, blijkbaar stond dat nog op.

Nog iemand last van gehad?

Het vreemde is dat al die IP adressen niet  (op ééntje na) automatisch in de geblokkeerde lijst zijn terechtgekomen, ondanks dat het zo ingesteld is.

51467-0
DS1517+, DS1522+ en 2 x DS716+II
en Mac gebruiker... en Windows allergie ...

Offline bussie

  • Bedankjes
  • -Gegeven: 5
  • -Ontvangen: 10
  • Berichten: 134
Re: IP adressen geblokkeerd, aanval van buiten
« Reactie #1 Gepost op: 05 februari 2021, 07:45:51 »
Geen last van hier.

Dat niet alle IP's niet in blokkeer lijst komen zal m.i. moeten komen dat ze niet aan de voorwaarde van 10 keer inloggen binnen 5 minuten voldoen. Moet je kunnen nagaan in het logboek.

Ik heb dit krapper staan, 3 keer binnen 5 minuten.

  • Mijn Synology: DS215j
  • HDD's: 2X WD30EFRX
  • Extra's: DSM 6.2.4-25556-8
Groet,

Bussie

Geïnstalleerde pakketten:
Antivirus Essential
Audio Station
Download Station
Hyper Backup
Log Center
Media Server
Opslag Analyser
Cloud Sync


Overige hardware:
UPS APC BX700U-GR - 700VA
6 externe SSD's / HD's

Offline Sylvester

  • MVP
  • *
  • Bedankjes
  • -Gegeven: 117
  • -Ontvangen: 106
  • Berichten: 1.809
Re: IP adressen geblokkeerd, aanval van buiten
« Reactie #2 Gepost op: 05 februari 2021, 08:07:42 »
Ik heb nochtans een mail van de NAS gekregen, anders wist ik het niet. Dus ik neem toch aan dat de NAS gezien heeft dat hij over zijn ingestelde limiet is gegaan. Het gaat over een stuk of 4 IP's en er staat dus maar 1.
DS1517+, DS1522+ en 2 x DS716+II
en Mac gebruiker... en Windows allergie ...

Offline HenkGroen

  • MVP
  • *
  • Bedankjes
  • -Gegeven: 45
  • -Ontvangen: 26
  • Berichten: 640
Re: IP adressen geblokkeerd, aanval van buiten
« Reactie #3 Gepost op: 05 februari 2021, 09:21:06 »
ik vind die 5min. ook erg kort. Als ze elke 6 min. een poging doen, mag dat dus
Bij mij staat dat als je binnen 6 a 7 dagen 2 keer verkeerd inlogt, je geblocked wordt.
En bij mij staat alleen toegang vanuit NL open, dus ook dat scheelt veel.
Zie bijlage

Dus, als ze om de dag of 2 dagen een poging zouden doen, liggen ze er alsnog uit.

Ik krijg heel soms een melding vanuit NL, maar dat is zelden.
(en ze worden ook nooit meer opgeheven, dus die IP-Adressen blijven altijd geblocked)

Offline Briolet

  • Global Moderator
  • MVP
  • *
  • Bedankjes
  • -Gegeven: 181
  • -Ontvangen: 2697
  • Berichten: 16.686
Re: IP adressen geblokkeerd, aanval van buiten
« Reactie #4 Gepost op: 05 februari 2021, 09:32:38 »
Citaat van: HenkGroen op 05 februari 2021, 09:21:06
ik vind die 5min. ook erg kort. Als ze elke 6 min. een poging doen, mag dat dus

Klopt. En er zijn zeker aanvallers die het eens per half uur proberen. (Zie ik in mijn log). Maar aan de goede kant: Als ze het slechts eens per 30 minuten proberen hebben ze wel heel weinig pogingen per jaar. Het belangrijkste is dat ze niet duizenden pogingen per seconde kunnen doen. Wat zou kunnen als je helemaal geen limiet instelt.
  • Mijn Synology: DS415+
  • HDD's: 3x 3TB in SHR
  • Extra's: DS212J, RT1900ac

Offline DSGebruiker

  • MVP
  • *
  • Bedankjes
  • -Gegeven: 5
  • -Ontvangen: 119
  • Berichten: 770
Re: IP adressen geblokkeerd, aanval van buiten
« Reactie #5 Gepost op: 05 februari 2021, 09:51:31 »
Ik heb hier altijd een redelijk constant niveau van SSH-probes op dagelijkse basis.
Ook de source-IP's zijn dikwijls terug te vinden als je over langere termijn kijkt.
Voor alle duidelijkheid ;  mijn NAS staat niet rechtstreeks op Internet.



Offline Robert Koopman

  • Global Moderator
  • MVP
  • *
  • Bedankjes
  • -Gegeven: 275
  • -Ontvangen: 1805
  • Berichten: 10.997
    • http://www.dwvbb.nl
Re: IP adressen geblokkeerd, aanval van buiten
« Reactie #6 Gepost op: 05 februari 2021, 09:57:09 »
Ik blok met één foute poging per 100 minuten.
Mijn gebruikers gebruiken allen een password manager dus fout inloggen is vrijwel altijd iemand die er niets te zoeken heeft.
En dan zie je toch nog pogingen voorbij komen van ip adressen die telkens eentje hoger zijn dan het vorige ip adres.
Gaat vaak in blokjes van 10 adressen.
RS812+ : 3*WD60EFPX 6.2.4-25556 Update 7 SHR
RS814+ : 3*WD30EFRX 7.1.1-42962 Update 6 Btrfs

Offline ufosyno

  • MVP
  • *
  • Bedankjes
  • -Gegeven: 15
  • -Ontvangen: 71
  • Berichten: 488
Re: IP adressen geblokkeerd, aanval van buiten
« Reactie #7 Gepost op: 05 februari 2021, 13:41:08 »
Ik sta op 2 pogingen binnen 30 minuten en dan voor altijd geblokt...

Maar ja, als je SSH - zeker op de standaardpoort - open hebt staan, dan is dat binnen een half uur over de hele wereld bekend (er lopen continue poortscans en als die dat poortje vinden is het prijs) en dan is een strooppot voor vliegen er niks bij.
  • Mijn Synology: ds720+
  • HDD's: 2 x WD40EFRX-68N32N0
  • Extra's: 6 gb RAM
Ik noem mijzelf een ervaren amateur, anderen noemen mij leuk gek, weer anderen.... ach, laat maar

Offline Sylvester

  • MVP
  • *
  • Bedankjes
  • -Gegeven: 117
  • -Ontvangen: 106
  • Berichten: 1.809
Re: IP adressen geblokkeerd, aanval van buiten
« Reactie #8 Gepost op: 05 februari 2021, 16:00:56 »
Ik heb de oorzaak al gevonden, ik heb per ongeluk poort 22 open gezet.
De reden is dat ik (nog steeds) aan het zoeken ben wat er mis is met de netwerk backup van Hyper Backup (backup van Nas naar Nas - extern)
Omdat die nog steeds hapert naar mijn NAS toe, heb ik (buiten 6281 die al open stond)
 22 en 873 ook open gezet.
Ik had ergens gevonden dat die nodig waren voor Hyper Backup als je extern naar een andere NAS gaat.
Maar volgens mij hapert hij nog steeds.

Wat de IP adressen betreft, het is toch opmerkelijk dat ik een mail heb gekregen:
Via het IP-adres [101.108.49.49] zijn 10 mislukte aanmeldingspogingen voor aanmelding bij SSH uitgevoerd vanaf RWKDS binnen een tijdsduur van 5 minuten en is geblokeerd om Fri Feb  5 04:26:49 2021.

Zo heb ik een 4-tal IP adressen zien passeren en toch staat er maar één in de geblokkeerde lijst.

DS1517+, DS1522+ en 2 x DS716+II
en Mac gebruiker... en Windows allergie ...

Offline GerardR

  • MVP
  • *
  • Bedankjes
  • -Gegeven: 54
  • -Ontvangen: 65
  • Berichten: 496
Re: IP adressen geblokkeerd, aanval van buiten
« Reactie #9 Gepost op: 05 februari 2021, 16:03:58 »
Ik heb destijds het advies van @Babylonia gevolgd voor het instellen van de firewall.
firewall instellen
Geeft veel rust.
Daarnaast voeg ik regelmatig IP adressen toe aan de blokkeringslijst vanaf dit adres
Zie: Geblokkeerde IP adressen

Offline Sylvester

  • MVP
  • *
  • Bedankjes
  • -Gegeven: 117
  • -Ontvangen: 106
  • Berichten: 1.809
Re: IP adressen geblokkeerd, aanval van buiten
« Reactie #10 Gepost op: 05 februari 2021, 16:06:50 »
Oei, dat moet ik eens doorspitten. Ik ben niet zo'n specialist op gebied van routers en zo...

Ik stel wel vast dat de IP adressen in mijn andere NAS (die elders staat) wél in de blocklist gekomen zijn.
Nochtans staan alle instellingen identiek.

>edit: ok lichte verwarring met de emails. Door het feit dat ik CMS gebruik, zijn de mails verwarrend en lijkt het alsof die e-mail adressen allemaal mijn NAS zijn gepasseerd, maar in feite zijn het meldingen van de andere NAS via CMS naar  mijn NAS. De lijst klopt, daar zijn ze allemaal geblokkeerd. Sorry ::)
DS1517+, DS1522+ en 2 x DS716+II
en Mac gebruiker... en Windows allergie ...

Offline Birdy

  • Global Moderator
  • MVP
  • *
  • Bedankjes
  • -Gegeven: 1417
  • -Ontvangen: 8137
  • Berichten: 44.501
    • Truebase
Re: IP adressen geblokkeerd, aanval van buiten
« Reactie #11 Gepost op: 05 februari 2021, 16:40:07 »
Ik heb er niet zo'n last van:



Krijg ook nooit meldingen, sinds half 2019.


CS406      DSM 2.0-0731    DS508      DSM 4.0-2265      DS411+II  DSM 6.2.4-25556-8   DS115J    DSM 7.1.1-42962-7   DS918+    DSM 6.2.4-25556-8
DS107+     DSM 3.1-1639    DS411slim  DSM 6.2.4-25556   DS213J    DSM 6.2.4-25556-7   DS1515+   DSM 6.2.4-25556-8   DS220+    DSM 7.2.2-72806-3
DS107+     DSM 3.1-1639    DS111      DSM 5.2-5967-9    DS413J    DSM 6.2.3-25426-2   DS716+II  DSM 7.2.2-72806-3   RT2600ac  SRM 1.3.1-9346-13
BeeDrive   1TB             BeeStation BSM 1.2-65586                                                                 MR2200ac  SRM 1.3.1-9346-13

Offline Babylonia

  • MVP
  • *
  • Bedankjes
  • -Gegeven: 957
  • -Ontvangen: 1527
  • Berichten: 8.139
Re: IP adressen geblokkeerd, aanval van buiten
« Reactie #12 Gepost op: 05 februari 2021, 16:49:33 »
Doorgaans heb ik ook nergens last van.
Toevallig wel enkele weken terug, maar had te maken dat Synology support in Taiwan in mijn router via SSH iets wilde doen.
Had per vergissing toen even poort 22 voor "alle" landen open gezet. Tja, dan heb je in een mum van tijd die vliegen op de stroop.

Citaat van: Sylvester op 05 februari 2021, 16:06:50
Oei, dat moet ik eens doorspitten. Ik ben niet zo'n specialist op gebied van routers en zo...

Omdat de firewall van de Synology router vergelijke raakvlakken heeft met die in de NAS gebruikt,
kun je met de aangegeven uitleg/adviezen daarmee prima ook de firewall van de NAS instellen.

DS213j   2x 6TB WD Ultrastar     -  DSM 6.2  -  glasvezel 1 Gbps  (Odido) ZyXEL EX5601 + RT1900ac (AP) + Apple Airport Express (bridge)
DS415+  4x 4TB HGST Deskstar  -  DSM 6.2  -  glasvezel 100/100  (KPN) + 2x "SupeWifi" + RT6600ax + RT2600ac + MR2200ac  -  NVDIA Shield TV Pro
DS920+  4x 4TB WD Red Plus     -  DSM 6.2         +         DS420j   4x 4TB WD Red Plus   -  DSM 7.2.2
             Ervaring met routers van  DrayTek, Fritzbox, TP-Link  -  switches Netgear, ZyXEL  -  Access Points TP-Link, Grandstream.....

Offline Briolet

  • Global Moderator
  • MVP
  • *
  • Bedankjes
  • -Gegeven: 181
  • -Ontvangen: 2697
  • Berichten: 16.686
Re: IP adressen geblokkeerd, aanval van buiten
« Reactie #13 Gepost op: 05 februari 2021, 16:52:15 »
Sommigen zijn echter heel hardnekkig als ze geblocked zijn. De volgende heeft zeker 10.000 pogingen gedaan bij de mailserver:

Code: [Selecteer]
2021-01-24T09:11:49+01:00 GedeeldeData postfix/smtpd[11205]: connect from unknown[87.246.7.226]
2021-01-24T09:12:00+01:00 GedeeldeData postfix/smtpd[11205]: warning: unknown[87.246.7.226]: SASL LOGIN authentication failed: authentication failure
2021-01-24T09:12:00+01:00 GedeeldeData postfix/smtpd[11205]: disconnect from unknown[87.246.7.226] ehlo=1 auth=0/1 rset=1 quit=1 commands=3/4
2021-01-24T09:42:00+01:00 GedeeldeData postfix/smtpd[4846]: connect from unknown[87.246.7.226]
2021-01-24T09:42:09+01:00 GedeeldeData postfix/smtpd[4846]: warning: unknown[87.246.7.226]: SASL LOGIN authentication failed: authentication failure
2021-01-24T09:42:10+01:00 GedeeldeData postfix/smtpd[4846]: disconnect from unknown[87.246.7.226] ehlo=1 auth=0/1 rset=1 quit=1 commands=3/4
2021-01-24T09:42:46+01:00 GedeeldeData postfix/smtpd[4846]: connect from unknown[87.246.7.226]
2021-01-24T09:42:56+01:00 GedeeldeData postfix/smtpd[4846]: warning: unknown[87.246.7.226]: SASL LOGIN authentication failed: authentication failure
2021-01-24T09:42:56+01:00 GedeeldeData postfix/smtpd[4846]: disconnect from unknown[87.246.7.226] ehlo=1 auth=0/1 rset=1 quit=1 commands=3/4
2021-01-24T09:43:30+01:00 GedeeldeData postfix/smtpd[4846]: connect from unknown[87.246.7.226]
2021-01-24T09:43:40+01:00 GedeeldeData postfix/smtpd[4846]: warning: unknown[87.246.7.226]: SASL LOGIN authentication failed: authentication failure
2021-01-24T09:43:40+01:00 GedeeldeData postfix/smtpd[4846]: disconnect from unknown[87.246.7.226] ehlo=1 auth=0/1 rset=1 quit=1 commands=3/4
2021-01-24T09:44:14+01:00 GedeeldeData postfix/smtpd[4846]: connect from unknown[87.246.7.226]
2021-01-24T09:44:23+01:00 GedeeldeData postfix/smtpd[4846]: warning: unknown[87.246.7.226]: SASL LOGIN authentication failed: authentication failure
2021-01-24T09:44:24+01:00 GedeeldeData postfix/smtpd[4846]: disconnect from unknown[87.246.7.226] ehlo=1 auth=0/1 rset=1 quit=1 commands=3/4
2021-01-24T09:44:59+01:00 GedeeldeData postfix/smtpd[4846]: connect from unknown[87.246.7.226]
2021-01-24T09:45:08+01:00 GedeeldeData postfix/smtpd[4846]: warning: unknown[87.246.7.226]: SASL LOGIN authentication failed: authentication failure
2021-01-24T09:45:08+01:00 GedeeldeData postfix/smtpd[4846]: disconnect from unknown[87.246.7.226] ehlo=1 auth=0/1 rset=1 quit=1 commands=3/4
2021-01-24T09:45:42+01:00 GedeeldeData postfix/smtpd[4846]: connect from unknown[87.246.7.226]
2021-01-24T09:45:42+01:00 GedeeldeData postfix/smtpd[4846]: disconnect from unknown[87.246.7.226] commands=0/0
2021-01-24T09:46:25+01:00 GedeeldeData postfix/smtpd[4846]: connect from unknown[87.246.7.226]
2021-01-24T09:46:25+01:00 GedeeldeData postfix/smtpd[4846]: disconnect from unknown[87.246.7.226] commands=0/0
2021-01-24T09:47:08+01:00 GedeeldeData postfix/smtpd[4846]: connect from unknown[87.246.7.226]
2021-01-24T09:47:08+01:00 GedeeldeData postfix/smtpd[4846]: disconnect from unknown[87.246.7.226] commands=0/0
2021-01-24T09:47:51+01:00 GedeeldeData postfix/smtpd[4846]: connect from unknown[87.246.7.226]
2021-01-24T09:47:51+01:00 GedeeldeData postfix/smtpd[4846]: disconnect from unknown[87.246.7.226] commands=0/0
2021-01-24T09:48:34+01:00 GedeeldeData postfix/smtpd[4846]: connect from unknown[87.246.7.226]
2021-01-24T09:48:34+01:00 GedeeldeData postfix/smtpd[4846]: disconnect from unknown[87.246.7.226] commands=0/0
2021-01-24T09:49:18+01:00 GedeeldeData postfix/smtpd[4846]: connect from unknown[87.246.7.226]
2021-01-24T09:49:18+01:00 GedeeldeData postfix/smtpd[4846]: disconnect from unknown[87.246.7.226] commands=0/0
2021-01-24T09:50:01+01:00 GedeeldeData postfix/smtpd[4846]: connect from unknown[87.246.7.226]
2021-01-24T09:50:01+01:00 GedeeldeData postfix/smtpd[4846]: disconnect from unknown[87.246.7.226] commands=0/0
2021-01-24T09:50:45+01:00 GedeeldeData postfix/smtpd[4846]: connect from unknown[87.246.7.226]
2021-01-24T09:50:45+01:00 GedeeldeData postfix/smtpd[4846]: disconnect from unknown[87.246.7.226] commands=0/0
2021-01-24T09:51:28+01:00 GedeeldeData postfix/smtpd[4846]: connect from unknown[87.246.7.226]
2021-01-24T09:51:28+01:00 GedeeldeData postfix/smtpd[4846]: disconnect from unknown[87.246.7.226] commands=0/0
2021-01-24T09:52:12+01:00 GedeeldeData postfix/smtpd[4846]: connect from unknown[87.246.7.226]
2021-01-24T09:52:12+01:00 GedeeldeData postfix/smtpd[4846]: disconnect from unknown[87.246.7.226] commands=0/0
2021-01-24T09:52:56+01:00 GedeeldeData postfix/smtpd[13983]: connect from unknown[87.246.7.226]
enz.......

Na 6 mislukte pogingen is hij geblokkeerd, maar hij blijft het nog steeds elke minuut proberen sinds 24 januari. Hij kan dan wel niets meer, maar dit soort acties frustreert wel het zoeken van relevante info in mijn maillog.
En blijkbaar heeft het gebruikte script niet in de gaten dat ze geblocked zijn.

Wat dat betreft is het jammer dat je niet automatisch iets kunt blokkeren in de firewall. Soms zet ik zo'n reeks adressen met de hand in de firewall om van dat gespam in mijn log af te zijn.
  • Mijn Synology: DS415+
  • HDD's: 3x 3TB in SHR
  • Extra's: DS212J, RT1900ac

Offline Sylvester

  • MVP
  • *
  • Bedankjes
  • -Gegeven: 117
  • -Ontvangen: 106
  • Berichten: 1.809
Re: IP adressen geblokkeerd, aanval van buiten
« Reactie #14 Gepost op: 05 februari 2021, 17:12:32 »
Citaat van: Babylonia op 05 februari 2021, 16:49:33

Omdat de firewall van de Synology router vergelijke raakvlakken heeft met die in de NAS gebruikt,
kun je met de aangegeven uitleg/adviezen daarmee prima ook de firewall van de NAS instellen.

Ik heb een Asus router, maar er zullen zeker wel raakvlakken zijn.
DS1517+, DS1522+ en 2 x DS716+II
en Mac gebruiker... en Windows allergie ...
Pagina's: [1] 2 3
 

IP adres geblokkeerd, maar geen IP adres in lijst geblokkeerde IP's

Gestart door SylvesterBoard Synology DSM algemeen

 Reacties: 13
Gelezen: 3786 		Laatste bericht 30 oktober 2016, 17:47:47
door Sylvester
VPN verbinding buiten LAN

Gestart door tjaBoard VPN Server

 Reacties: 16
Gelezen: 5979 		Laatste bericht 28 juni 2015, 17:57:48
door tja
SABNZBD niet bereikbaar "van buiten" portforward 8080

Gestart door supermario76Board SABnzbd (usenet)

 Reacties: 0
Gelezen: 962 		Laatste bericht 27 december 2022, 17:50:27
door supermario76
video afspelen buiten eigen netwerk

Gestart door sunnyonezBoard DDNS / Quick Connect / EZ-Internet / Portforwarding

 Reacties: 176
Gelezen: 40766 		Laatste bericht 28 maart 2016, 18:46:56
door mchp92
Bepaalde poster geblokkeerd?

Gestart door rvvBoard Spotweb

 Reacties: 13
Gelezen: 5494 		Laatste bericht 04 oktober 2018, 21:06:12
door Marzzz