Software om dataverkeer NAS (packages/gebruikers) te monitoren

[J-J]

Dag allen,

Ik loop nu al voor de 2de maal tegen de download limiet van mijn provider aan, waardoor ik overdag op smalband kom.

Ik heb dit begin vorige maand opgemerkt en toen besloten mijn netwerkverkeer te monitoren op mijn router (Netgear R7000 met DD-WRT) a.d.h.v. YAMon.

Blijkt dat mijn DS op sommige momenten extreem veel download, zoals op 27/09 (839,9GB), 28/09 (639,5GB)


Het rare is ook dat ik nog maar slechts +/-400GB ruimte over heb, dus waar is dan al die data naartoe?
M’n upload is niet extreem, dus denk niet dat ik gehackt ben...

Is er software beschikbaar voor de DS die mij toestaat om te kijken welk programma/toepassing/user zoveel data verbruikt?

Groetjes,

J-J

[Bealeo]

Bijna 840GB op 1 dag is best wel extreem 

Wat heb je zoal draaien op je NAS? Je gebruikt geen torrents/usenet tools op je NAS?  En Cloudstation met meerdere versies toevallig?
Misschien heb je hier wat aan: https://tylermade.net/2017/01/02/enable-usage-history-on-your-synology-nas-to-monitor-performance/

[J-J]

Is inderdaad “redelijk extreem”.
Draai op mijn DS Transmission en Sabnzbd.
Transmission wordt echter maar af en toe gebruikt door CouchPotato of als ik manueel is download. Maar moest er ongewild torrentverkeer zijn zou dit toch in mijn upload te zien moeten zijn en niet in mijn download... Zeer raar...

Cloudstation gebruik ik niet. Wel heb ik een docker met Kodi Headless draaien, maar los van thumbnails zou die niets anders moeten downloaden...

Moest iemand toegang hebben buiten mijn wil, zou ik dit in de upload moeten zien en niet in de download, toch?

[Birdy]

Moest iemand toegang hebben buiten mijn wil, zou ik dit in de upload moeten zien en niet in de download, toch?

Hoeft niet natuurlijk, misschien dat die persoon het leuk vond om iets te downloaden ?

Kijk eens in het Log Center of je logins kunt vinden op 27-28 Sep met vreemde IP's of tijdstippen.

Het rare is ook dat ik nog maar slechts +/-400GB ruimte over heb, dus waar is dan al die data naartoe?

Wat je nog maar over hebt zegt me niet veel maar, je merkte dus wel dat er in die 2 dagen zo'n 1.4TB verbruikt is. 

[Bealeo]

Zet de usage monitor maar aan dan kan je over een tijdje de resultaten daarvan vergelijken met YAMon.
Verder zou ik de log bestanden van je DS eens goed uitspitten om te kijken of je iets "vreemds" kan ontdekken.

Offtopic: Opvallend dat er nu nog datalimieten gehanteerd worden door ISP's in België. Is niet meer van deze tijd! 

[Briolet]

Je kunt "DarkStat" installeren. Die logt het verkeer per IP adres. Dan zie je in elk geval van welke adressen die download komt en via welke poorten.

[J-J]

Hoeft niet natuurlijk, misschien dat die persoon het leuk vond om iets te downloaden ?

Kijk eens in het Log Center of je logins kunt vinden op 27-28 Sep  met vreemde IP's of tijdstippen.

Zo had ik het nog niet bekeken Ik heb de logbestand toegevoegd aan deze post. Ik zie toch niets verdachts...

Zet de usage monitor maar aan dan kan je over een tijdje de resultaten daarvan vergelijken met YAMon.
Verder zou ik de log bestanden van je DS eens goed uitspitten om te kijken of je iets "vreemds" kan ontdekken.

Offtopic: Opvallend dat er nu nog datalimieten gehanteerd worden door ISP's in België. Is niet meer van deze tijd! 

Ik vind Usage Monitor niet terug. Kan het zijn dat het package anders heet?
Ik zie niets in mijn logs (zie bijlage)

In België heb je inderdaad nog datalimieten. In mijn abonnement zit echter geen datalimiet, maar "Fair Use Policy". Omdat ik nu over de +750GB overdag zit. Ben ik overdag (12u-00u) op smallband gezet. 's Nachts (00u-12u) surf ik aan volle snelheid en telt data niet mee.

Je kunt "DarkStat" installeren. Die logt het verkeer per IP adres. Dan zie je in elk geval van welke adressen die download komt en via welke poorten.

Heb Darkstat geïnstalleerd. Ik ben benieuwd.
Dit is reeds een overzicht van mijn Hosts:

Hoe geraak ik er nu achter welke niet van mij zijn? Ik zie verschillende externe IP adressen, die niet de mijne zijn, of zijn dat hosts die met de DS connecteren?

[Birdy]

Ik vind Usage Monitor niet terug. Kan het zijn dat het package anders heet?

Broncontrole, in het Hoofdmenu, zie ook DSM Help.

[Bealeo]

Ik vind Usage Monitor niet terug. Kan het zijn dat het package anders heet?

Zie de link die ik eerder gaf: https://tylermade.net/2017/01/02/enable-usage-history-on-your-synology-nas-to-monitor-performance/

Ik zie niets in mijn logs (zie bijlage)

Uhm, de log bestanden zo (nu kan iedereen jou publieke IP adres zien) online zetten is niet verstandig. Zeker niet omdat je blijkbaar de standaard synology poorten (5000) gebruikt om in te loggen op DSM bijvoorbeeld.
Mijn advies: verwijder ze zsm of verwijder/wijzig alle gevoelige info zoals je e-mailadres & de IP adressen voordat je ze online zet! 

Hoe geraak ik er nu achter welke niet van mij zijn? Ik zie verschillende externe IP adressen, die niet de mijne zijn, of zijn dat hosts die met de DS connecteren?

Door te googlen om achter te komen wat al die domeinen precies zijn.
Wat mij bijvoorbeeld als eerste opvalt is vdsl.77.79.224.236.atman.pl
Een bedrijf in Polen die internet diensten levert. Neem je daar diensten af?

[Briolet]

Hoe geraak ik er nu achter welke niet van mij zijn? Ik zie verschillende externe IP adressen, die niet de mijne zijn, of zijn dat hosts die met de DS connecteren?

Links staan de IP adressen die met de nas verbinden. De kop IN/OUT is t.o.v. het IP adres. Als dat een adres is, anders dan dat van je nas, betekent een OUT iets wat bij je nas binnenkomt. Als je op de OUT titel klikt, wordt die kolom op grootte gesorteerd.
Als je alle OUT's optelt van de niet-nas adressen komt dit precies overeen met de IN van het IP van je nas. (De eerste regel in jouw layout)

Als je het IP adres links dubbelklikt, krijg je nog meer info. b.v. via welke poorten het loopt. Als dat b.v. torent of ftp poorten zijn, ben je een verdere aanwijzing van wat er gebeurt.

De kolom Hostname geeft bij mij soms lege velden. Als ik een page refresch doe, haalt hij vaak meer hostnamen op.

[J-J]

Ok heb Resource Monitor ingesteld. Wait and see...

@Briolet : Thanks voor de uitleg!

Uhm, de log bestanden zo (nu kan iedereen jou publieke IP adres zien) online zetten is niet verstandig. Zeker niet omdat je blijkbaar de standaard synology poorten (5000) gebruikt om in te loggen op DSM bijvoorbeeld.
Mijn advies: verwijder ze zsm of verwijder/wijzig alle gevoelige info zoals je e-mailadres & de IP adressen voordat je ze online zet! 

Oops, had de verkeerde file geüpload. Zo dadelijk even de stekker paar minuten uit modem van mijn ISP, zodat ik een nieuw IP adres krijg.

Door te googlen om achter te komen wat al die domeinen precies zijn.
Wat mij bijvoorbeeld als eerste opvalt is vdsl.77.79.224.236.atman.pl
Een bedrijf in Polen die internet diensten levert. Neem je daar diensten af?

Hmm, op het eerste zicht niet, zal ik eens moeten nakijken...

[Briolet]

Schrik niet van de namen die in je log opduiken. Als je aan het internet hangt probeert iedereen te verbinden. b.v. indexeerders als je http(s) paginas aanbied.

Zelfs geblokkeerde IP's zie je in het log want de nas weet pas na het eerste datablok dat het een geblokkeerd IP betreft. Er komen iets van 40 bytes binnen, maar de nas reageert er verder niet op. Het wordt wel gelogd.

[J-J]

Thanks. Het zijn inderdaad heel wat IP's!

Heb voor de zekerheid toch mijn poorten aangepast.
Ga Resource Monitor en DarkStat en hun ding laten doen en dan deze week ergens alle gegevens eens analyseren.

Bedankt voor de hulp alvast. Ik hou jullie verder op de hoogte.

J-J