An alle Berteiber von öffentlichen NTP Server

[jahlives]

Scheinbar wird in letzter Zeit vermehrt das NTP Protokoll missbraucht, um DDoS Attacken auf Netzwerke zu fahren: http://www.heise.de/security/meldung/Kommt-Zeit-kommt-DDoS-Angriff-2087846.html
Bertreiber öffentlicher NTP Server sollten ihre Server dahingehend testen, dass ihre NTP Server nicht auf die "monlist" Anfragen antworten

 

[Frogman]

Ich habe mal mit der monlist-Abfrage den ntpd der DS gefragt - der liefert bei mir keine Liste aus. Allerdings habe ich meine ntp.conf auch ein wenig getunt (u.a. auch mit noquery), ich hänge sie mal hier an...

server ptbtime1.ptb.de minpoll 6 maxpoll 10 iburst prefer
server ptbtime2.ptb.de minpoll 6 maxpoll 10 iburst
server ptbtime3.ptb.de minpoll 6 maxpoll 10 iburst
server 127.127.1.0
fudge 127.127.1.0 stratum 12
restrict default noquery notrust nomodify
restrict -6 default noquery notrust nomodify
restrict ptbtime1.ptb.de
restrict ptbtime2.ptb.de
restrict ptbtime3.ptb.de
tos beacon 3600 ceiling 16 cohort 0 floor 1 maxclock 10 maxdist 1.5 minclock 3 mindist 0.001 minsane 1 orphan 16
tinker allan 1500 dispersion 15 freq 0 huffpuff 7200 panic 1000 step 0.128 stepout 900

 

[Frogman]

Synology hat nachgebessert - für DSM4.3-3827 gibt es ein Update 1, wo diese Schwäche behoben wurde (siehe hier).

 

[jahlives]

@Frogman
schön dass Synology nachgebessert hat, aber etwas darf man nicht ausser acht lassen. Nicht nur die Applikation (NTP) wird angegriffen sondern auch das Netz. Wenn man z.B. einen NTP hinter einem Homerouter hat und solch massiven Besuch bekommt, dann sind die NAT/State Tabellen des Routers ratzfatz ausgeschossen. Auch wenn NTP diese Anfragen gar nicht beantwortet. Dann kommt man weder auf den Router noch ins Netz --> selber DOSst
Ich hatte zu Spitzenzeiten gut 20'000 aktive Sessions, mein Router kann absolut max 23'000. Da ging fast nichts mehr obwohl der NTP diese Anfragen nicht beantwortet hat. Für Firewall mit iptables gibt es eine sehr effektive Regel, welche die NTP monlist Pakete direkt verwirft. Leider bringt die Regel auf dem NTP Server selber nicht viel, wenn der hinter einem Router hängt. Diese Regel MUSS auf den Perimeter Router. Zudem hat Synology das nötige u32 Modul nicht mitdabei.
Aber für alle welche iptables auf dem Router haben ist diese Regel die Lösung damit diese Schrottanfragen es schon gar nicht in die NAT/State Tabellen schaffen

-A FORWARD -p 17 -m multiport --ports 123 -m u32 --u32 "0>>22&0x3C@8&0xFF=42" -j DROP

u32 schaut in jedes NTP Paket und verwirft alle welche mit dem Request Code 42 (monlist) reinkommen

 

[Frogman]

Klasse, danke für den Hinweis mit der Regel

 

[jahlives]

Hier mal noch meine Taffic-Stats von meinem Homerouter zur Spitzenzeit. Fairerweise muss ich sagen, dass zu diesem Zeitpunkt mein ntp Server noch auf monlist geantwortet hat Kleiner Hinweis: bei Debian ist noquery default, aber bei Centos nicht. Wie die defaults bei anderen Distris ausschauen, weiss ich aber ned

und das auf einem kleinen Homerouter, hätte Spiegeleier braten können auf dem Teil