Ondanks firewall blokkade, toch een poging tot inloggen

[HenkGroen]

@Babylonia,
Ik heb de test gedaan, en met beide firewall rules : Totaal geen enkel verschil   !
Zie ook de bijlagen Check-1 en Check-2, wat in beide test situaties hetzelfde was.

>Verdere uitleg om daar tijd in te steken of het wel of niet voldoet heeft niet zoveel zin.
>Test het gewoon vanavond uit met "Shields Up".  Dat geeft meteen uitsluitsel.
Tja, dan zou ik je toch willen vragen of je mij toch kunt overtuigen van de oude & nieuwe situatie m.b.t.. Singapore
(het is niet rot bedoeld, maar ik probeer het verschil te begrijpen, zoals jij het ziet)

Want dat is dus nog steeds de vraag, die @Briolet ook terecht stelt:
Hoe komt het dat IP-Adres 178.128.87.175 zich aanmeld ?

mbt. Poort 22
Deze staat NIET in mijn router open, alleen gebruik ik poort 8022 voor rsync
(en de DSM combineert op 1 of andere manier de 22 en 8022 samen)
Zie hiervoor bijlage 1-...   t/m 5-....)

Als iemand daar nog een idee over heeft.....

[Briolet]

Ik heb de test gedaan, en met beide firewall rules : Totaal geen enkel verschil   !

Zou er wel moeten zijn. Jou instelling was goed. De voorgestelde volgorde is fout omdat regel 3 daar niets meer doet. Als je eerste Nederland toestaat, dan komt hij er niet meer aan toe om binnen Nederland poorten te blokkeren. Dat is de reden dat is altijd schrijf om eerst de help te lezen. Daar staat het eigenlijk altijd correct uitgelegd. (En pas als het daar niet staat het forum te vragen)

Maar dat staat alles los van het niet blokkeren van jouw gevonden IP. Het lijkt er op dat dat IP misschien in twee databases staat. Dus ook nog in de lijst van Nederland waardoor het mis gaat.

[Babylonia]

Want dat is dus nog steeds de vraag, die @Briolet ook terecht stelt:
Hoe komt het dat IP-Adres 178.128.87.175 zich aanmeld ?

mbt. Poort 22
Deze staat NIET in mijn router open....

Misschien probeert er wel iemand via een omweg vanuit "ransomeware" op je PC je NAS te bereiken??
Daar zijn al zoveel meldingen van binnengekomen.
https://www.synology-forum.nl/firmware-algemeen/synology-geeft-waarschuwing-voor-ransomware-aanval/

[HenkGroen]

Dat lijkt mij sterk, want mijn laptop staat 's-nachts uit, en de fysieke PC gaat maar 1 keer per maand aan.

Buiten dat : 's-nachts om 01:46 uur staat er bij mij geen enkele Windows machine aan.

[HenkGroen]

@Briolet : Conclusie : Mijn oorspronkelijke Firewall settings in DSM waren dus juist.
incl. in de juiste volgorde dus. Begrijp ik het zo goed ?

[Briolet]

Daar was niets mis mee. Ze worden van boven naar beneden afgehandeld totdat er een treffer is.

Ik verdenk dus een fout in de IP database. (Maar bij mij komt hij met Griekenlandt erug en geen Nederland) Die database staat op /usr/share/geoip en /usr/share/??_geoip. Maar dat is in een custom database formaat. Die kun je niet zo uitlezen.

Wat me wel weer opvalt is dat de aanmaak datum 20 maart is bij mij. Ik heb niet de indruk dat DSM de database periodiek update. Ik vind ook geen cronjob entry voor een update actie.

[Babylonia]

Misschien probeert er wel iemand via een omweg vanuit "ransomeware" op je PC je NAS te bereiken??

Dat lijkt mij sterk, want mijn laptop staat 's-nachts uit, en de fysieke PC gaat maar 1 keer per maand aan.

Tja, heel het voorval "is sterk".  (Het is ook een vraag, geen veronderstelling).
Vanuit de extra info die je hebt geplaatst
Poort 22 is niet niet eens geactiveerd in de NAS.  Die poort ook niet doorgestuurd.

Je hebt wel poort 8022 in gebruik als SSH (met port forwarding).  Maar met "Shields Up" niet op die poort getest.
Alleen de eerste 1055 poorten zijn getest.  De meeste poorten die je in gebruik hebt zitten boven de 1055.
Je kunt bij die test ook een zelf samengesteld lijstje aan poorten ingeven waarop wordt getest.
Je zou dat in ieder geval voor alle gebruikte poorten kunnen ingeven en testen.
(Lijstje met poorten gescheiden door een komma).

[HenkGroen]

@Babylonia : Hierboven (Reactie #15) zie je in de Check-2 als de specifieke poort check volgens mij.
Tenzij je nog een andere bedoeld.

[Babylonia]

Nee, dat bedoel ik niet.

Bij "Shieldss Up" heb je slechts getest op de eerste 1055 poorten ----> Bij reactie #15 jou  < eerste plaatje >.
De poorten vanaf 1055 en hoger zijn niet gecheckt.
Dat zou met die standaard check te lang duren als die allemaal getest zouden moeten worden.
(Zo is dat bij de interface van "Shieldss Up" nu eenmaal geregeld.
Dat zou teveel bronnen opeisen van de server, als "tig" gebruikers daarop zouden controleren).

Maar zoals aangehaald kun je wel een specifieke lijst aan poorten opgeven om die te testen:
Bijvoorbeeld met < DIT > als resultaat (als voorbeeld uit een heel andere situatie en andere poortlijst).

[HenkGroen]

Dit staat toch als 2e plaatje bij Reactie 15 (oke, alleen als tekst versie dan)
Hierbij ook de GUI versie

[Babylonia]

OKE, zover was me dat eerdere resultaat niet opgevallen.

Blijft dan nog steeds de vraag hoe een buitenlands IP-adres (ook Griekenland is buiten Nederland),
dan nog steeds in de blocking list kan voorkomen?

Misschien een idee om daaar toch bij Synology Support een ticket in te schieten?
Worden ze mogelijk getriggerd meer vaart te zetten aan die database die ze gebruiken, om die te veranderen naar versie 2 ??
(Als daar het probleem in zou schuilen).

[HenkGroen]

Klopt, dat blijft de grote vraag.

[Briolet]

Probeer zelf eens dat IP in de bloklijst op te zoeken. Eens kijken of daar bij jou ook Griekenland staat. Voor het geval hier verschil in zit door tijdstip van installatie omdat er volgens mij niet (goed) geupdate wordt.

Ik vind het toch vaag hoe Synology het doet. De firma waar zij de database vandaan halen (maxmind) heeft twee versies. Een op landen niveau en een op steden niveau. De versie met steden is wel 100x zo groot. Toch is het die zeer grote database database die in "/usr/share/geoip" staat. Jammer als je er dan niets mee doet.

[HenkGroen]

Ja, ook griekenland.