Warum ist dies ganz normal, wie kommt man auf die Dyn oder wie werden die gesucht?
Im Grunde ganz einfach... Ich vergleich das mal mit einem Einbruch in ein Haus - 2 Varianten:
a) Uns ist egal, in welches Haus wir einbrechen, nur "einfach" sollte es doch bitte sein, also suchen wir uns ein Haus (IP) mit offenes Fenster (Port) im Erdgeschoss irgendwo auf einer bestimmten Strasse (IP-Bereich).
Übersetzt: Wir suchen uns eine anfällige z.B. Apache-Version. Danach scannen wir einen bestimmten IP-Bereich (z.B. 80.90.x.x) nach HTTP-Ports (80) ab und filtern diese nach der angreifbaren Apache-Versionsnummer.
b) Wir haben ein "festes" Ziel und wollen "irgendwie" dort rein. Strasse bzw. Haus (IP) steht also fest, nun suchen wir ein offenes Fenster (Port) egal in welcher Etage.
Übersetzt: IP oder Hostname ist klar, wir suchen die gesamte IP von oben nach unten ("alle" Ports) ab, damit wir irgendwas offenes finden, wozu es ggf. einen entsprechenden Exploit gibt.
Was da bei Dir aufläuft ist Variante "a". Das sind gross angelegte automatisierte Vorgänge. Bei mir auf der Firewall werden wöchentlich hunderttausende von Paketen verworfen. Ebenso gibt es zahllose Einbruchs-/Loginversuche. Der Punkt dabei ist allerdings, dass es weniger wild ist, als es sich anhört... Angenommen diese automatisierten Scans finden z.B. einen offenen Port mit Anmeldemöglichkeit, werden i.d.R. Standard-Logins ausprobiert, wie z.B.: admin/admin, admin/password, admin/123456, usw. Da es beim DSM die "automatische Blockierung" gibt (fail2ban unter Linux), ist da sowieso nach kürzester Zeit Schluss.
Habe nochmal nachgesehen, die Anfragen kommen immer aus dem selben IP-Pool 185.189.112.xxx also nur extern.
Allerdings können diese automatisierten Geschichten auch zwischendurch mal eigenen Host wechseln, da meist immer ein paar Hosts mehr dahinter stecken (wie Du bei Dir schon festgestellt hast, kommen die Anfragen öfters gerne mal aus einem bestimmten Netz). Das liegt dann meist daran, dass der Anbieter dort irgendwo Sicherheitslücken auf den Hosts hat, welche dann eben aktiv ausgenutzt und die Systeme übernommen werden (da war dann so ein "Strassen"-Scan recht erfolgreich
). Alles in allem aber "ganz normal" und daher kein Grund zur Sorge. Nur vernünftige Passwörter sollte man haben
Was Du allerdings noch tun könntest: Schau nach, zu welchen
Netzen die besagten IP-Adressen gehören und wie gross diese Netze sind. Sind es z.B. irgendwelche russischen Provider (o.ä.) ist eigentlich relativ sicher, dass Du (oder ein Freund/Kunde/wieauchimmer) nicht davon auf Dein Gerät zugreifen wird. Somit kannst Du das komplette Netz auch in der Firewall der Syno sperren.
