DSM 6.x und darunter Anmeldung trotz IP-Sperre

[niklas]

Hallo zusammen,

Es ist heute schon das 2. mal, das mit AutoBlock eine IP gesperrt wurde, diese es aber laut Protokoll es noch einmal versuchen konnte.



Eingestellt ist, das nach 2 Versuchen die IP gesperrt wird.

Grüße

 

[DustFireSky]

Und für wie lange wird diese gesperrt? Zwischen dem ersten Blocken und dem erneuten durchkommen liegen 14 Minuten. Bist du auch sicher, dass du auch eingestellt hast, diese wirklich dauerhaft, und auch ohne Aufhebung der Sperre, zu blocken?

 

[niklas]

Gesperrt für immer. (Bis zum händischen entfernen)
Komisch ist, da die IP ja schon in der Sperrliste drinnen steht, war dann noch ein Versuch möglich.
Das war alles um 11.01 Uhr.
beim erstem Mal heute war es eine Ip, auch 45.82.153.xx. die wurde auch gesperrt, dennoch danach noch eine Anmeldung möglich (genau wie im Bild).

Grüße

 

[peterhoffmann]

14 Minuten

Nur 14 Sekunden.
Eventuell dauert es länger als 14 Sekunden bis der Block im System angekommen ist.

@niklas
Gab es nach diesen 14 Sekunden noch einen weiteren Versuch?

beim erstem Mal heute war es eine Ip, auch 45.82.153.xx. die wurde auch gesperrt, dennoch danach noch eine Anmeldung möglich (genau wie im Bild).

Wie groß war da der Zeitabstand?

Gesperrt für immer. (Bis zum händischen entfernen)

Das macht keinen Sinn. Je nach Intensität wird damit die Blockliste nämlich ultralang.
Ein "Ende" sollte immer da sein, damit die Blockliste sich selber bereinigen kann. Der Zeitraum kann natürlich etwas größer sein.

 

[DustFireSky]

Das ist jetzt peinlich. Ja, 14 Sekunden! Oh man.

 

[niklas]

War laut Protokoll schon öfters 3x möglich.




@peterhoffmann: Die Liste ist derweil noch überschaubar.

 

[peterhoffmann]

Die Zeitabstände sind überall jeweils nur wenige Sekunden. Ich nehme an, dass das Blocken ein paar Sekunden länger dauert und daher der dritte Versuch noch mal durchschlüpft.

 

[BigBugHmb]

Blocke auch dauerhaft.
und zwar schon beim ERSTEN Fehlversuch...
(Sichere Netzwerke allerdings auf der Freigabe-Liste)

In 10 Monaten knapp 700 Einträge, ... ABER... man merkt auch deutlich das es mittlerweile ruhiger wird. Scheinen also "die Richtigen" im Topf zu sein.

Hab auch mal mit wenigen Tagen bis 3 Monaten angefangen, dann aber gemerkt, das teilweise die gleichen IPs immer wiederkamen und sogar mit Tricks versuchen diesen Schutz-Mechanismus auszuhebeln. (Sie finden durch Versuche die Zeitspanne bis zur Entsperrung heraus und durch weitere Versuche wissen sie dann in welchen Abständen sie ihre Versuche ablaufen lassen können OHNE gesperrt zu werden.)

Aber nun wird es ruhiger... (behalte das aber weiterhin im Auge...)

P.S.: EINE IP hat es vor ein paar Tagen sogar in meine Router-Firewall geschafft...: (87.246.7.34) Die geht im Internet gerade den ganzen eMail-Servern auf den Sack mit mehreren Scans pro Minute und bei Email-Ports blockt die NAS offensichtlich nicht, obwohl schon in der Liste...

 

[niklas]

Ich habe dann in der Nasen-Firewall die Länder gesperrt die am häufigsten waren (Vietnam, Russland, Ägypten,..) und beobachtet und Länder erweitert.
Es sind bei mir immer die gleichen Anmeldenamen mit Versuchen aus immer anderen Ländern.
Was ich komisch finde sind die Anmeldenamen, die 2 sind immer gleich und haben überhaupt nichts mit verwendete Namen zu tun.



Grüße

 

[Aevin]

Noch einfacher, einfach "nur" Deutschland zulassen. Sollte man in den Urlaub ins Ausland fahren/fliegen, vorher das Land in die Ausnahmeliste packen und hinterher wieder entfernen. Habe seit dem völlig Ruhe.

Natürlich sollte man auch gewisse Ports in der Fritzbox von außerhalb durch andere Nummern ersetzten... z.B FTP niemals Port 21 von außen freimachen... usw... klar VPN ist noch besser, aber nicht für alles zu gebrauchen, falls jemand diesen Einwand bringen wollte...

 

[BigBugHmb]

Ich habe dann in der Nasen-Firewall die Länder gesperrt die am häufigsten waren (Vietnam, Russland, Ägypten,..) und beobachtet und Länder erweitert.
Es sind bei mir immer die gleichen Anmeldenamen mit Versuchen aus immer anderen Ländern.
Was ich komisch finde sind die Anmeldenamen, die 2 sind immer gleich und haben überhaupt nichts mit verwendete Namen zu tun…

Ja, auch die "Angreifer" nutzen oft wechselnde VPN Endpunkte…
Mit welchen Namen sie es versuchen ist irrelevant, solange die NAS nicht verrät, wenn ein Name richtig erraten wurde und nur das PW falsch ist. Da reagiert die NAS zumindest gut. Ärgern tut mich nur, das IP Sperren nicht Systemweit wirken. Wie z.B. bei eMail scheinbar nicht.

 

[niklas]

@ Aevin: Das betrifft den Mailserver, da will ich das Länder technisch nicht zu viel einschränken.

@BigHugHmb: Meinst du für den Email Empfang von einer gesperrten IP?

 

[BigBugHmb]

Jupp...! Es kommen immer mal wieder Versuche auf eMail, von IPs die definitiv im Filter sind... (Oft auch nur erkennbar im ausführlichem "Daily Report" - > im Anhang)
Ich musste deshalb bei extremen IPs auch auf den Router als Filter ausweichen, dann war Ruhe. Ist aber wieder Handarbeit nötig...
Ein anderes damit verknüpftes Problem ist, das Einbruchsversuche über den Versuch verbreitete Bugs auszunutzen, nicht zu einem Eintrag in den Filter führt. Auch hier muss man ggf. (bei regelmäßiger Wiederholung von der gleichen IP) manuell nachhelfen...

 

[niklas]

Ja, das wäre super wenn das automatisch ginge, oder man das im IP Filter der syno einfach auf den Mail Empfang erweitern kann.

 

[BigBugHmb]

Es wäre auch super, wenn der IP-Filter einen zusätzlichen Automatismus hätte, der die Frage nach der Länge der IP-Blockade automatisiert...
Denn dynamisch vergebene IPs dauerhaft zu blocken ist genauso dämlich, wie feste IPs schon nach xx Tagen wieder zu entfernen. Es gibt also derzeit keine generell gute/richtige Einstellmöglichkeit für den Umgang mit den IPs im Filter.
Ich hatte Synology dazu auch schon einen leicht umzusetzenden Vorschlag gemacht, ist aber bisher (noch?) nicht umgesetzt... :-(

 

[niklas]

Geblockt wird nach einer falschen Anmeldung und dauerhaft seit da vor kurzem eine "Welle" Anmeldeversuche aus aller Welt kam.
Die Block-Liste hat schon paar Einträge, aber die wird ja hoffentlich nicht einmal melden "bin voll"....
Und seit den Blocken aus gewissen Ländern ist das auch schon um einiges weniger geworden.

 

[BigBugHmb]

Hier auch, hilft bei Angreifern aus Deutschland oder deutschen VPN-Endpunkten(!) nur leider gar nichts... ;-)
...und spätestens bei deutschen VPN-End(Ausgangs)punkten, ist dann wieder die ganze Welt am Drücker... :-(