Zugriffsversuche über ssh

[Benjo_9945]

Einen einfachen Portscanner gibt es hier:

http://www.dnstools.ch/port-scanner.html

DNS Scanner sagt alles zu. Da werden allerdings auch nur die Standard Ports gescannt

 

[Stationary]

Ich würde da nicht groß drüber nachdenken, noch waren es wohl nur Versuche, aber alle Zugänge nach außen (QC, Portfreigaben) würde ich zumachen und sofort ein VPN hochziehen, sofern möglich.
Was für einen Router verwendest Du?

 

[Benjo_9945]

Ich möchte den von synology als exposed host dranhängen, den hinter die interne Firewall und da dann die Synology und die Geräte dran. So dass der Router gleichzeitig VPN Client und sever ist. Alles was nach außen geht hat dann die IP meiner dedicated IP von surfshark und was rein will über den VPN Server vom Router.

 

[Benjo_9945]

Wie kann ich das Thema schließen?

 

[geimist]

Gar nicht – das ist hier von Userseite nicht möglich.

 

[framp]

Konfiguriere doch sftp/ssh Zugriffe nur mit Key. Dann kannst Du die Zugriffsversuche ignorieren.

 

[Benjo_9945]

OK das schaue ich mir mal an Danke

 

[pr498te]

Hallo, ich hänge mich mal an diesen Thread an!
Seit kurzem registriere ich ungewöhnlich viele Zugriffsversuche auf mein System, deutlich mehr als sonst und immer von unterschiedlichen IP-Adressen. Sie werden alle via SSH geblockt.
Bis jetzt habe ich nicht den Eindruck. dass mein System kompromitiert ist. Allerdings macht mich die Vielzahl der Zugriffsversuche schon ein wenig nervös!

Hat jemand von Euch gleiche Erfahrung gemacht? Wie verhaltet Ihr Euch?

 

[Benares]

Mach deine Ports zu, dann ist Ruhe
Ich verstehe einfach nicht, wieso jeder seine DS ins Internet stellen möchte

 

[metalworker]

Das liegt halt in der Natur der Sache , draußen sind viele Böse geister Unterwegs.

Da helfen nur 2 Dinge.

1. Nichts in Netz stellen ,
oder
2. Wissen was man macht und ordentlich absichern.

 

[Benie]

Konfiguriere doch sftp/ssh Zugriffe nur mit Key. Dann kannst Du die Zugriffsversuche ignorieren.

Hier hat unser Forenmitglied @Tommes doch eine schöne Anleitung gemacht

https://github.com/toafez/Tutorials/blob/main/SynologyNAS/ssh_from_os_to_nas.md

https://m.youtube.com/watch?v=VjoWjX_8E3Q

 

[framp]

Ich persoenlich mag es auch nicht wenn jemand staendig an meiner Tuer ruettelt - auch wenn ich weiss dass nur reinkommt wer einen privaten (ssh)Schuessel hat.
Alternative ist ein VPN zu nutzen. Entweder ein lokal aufgesetzter VPN Server - wo aber weiterhin geruettelt wird - oder einen externen VPN. Dann wird bei dem VPN Provider geruettelt.

 

[Benares]

Besser ist es, wenn erst gar nicht "gerüttelt" wird. Wozu diese blöden Portfreigaben? VPN auf den Router, wenn da schon Bedarf besteht.

 

[framp]

Jupp. Das Problem vom ruetteln ist ja dass man da anfaellig fuer DOS Attacks ist. ...

 

[Benie]

VPN auf den Router

Ich habe auch grundsätzlich von außen alles dicht. Wenn ich mal von Unterwegs zugreife, weil ich aus irgendeinem Grund mal etwas nachlesen möchte und die Info nur auf der DS liegt, dann seit jeher nur über VPN/Wireguard. Und selbst hierfür wird jedesmal Wirguard von Hand aktiviert und danach gleich wieder deaktiviert.
Früher hatte ich nichteinmal das, weil ich seinerzeit keine Ahnung hatte und genau aus diesem Grund völlig darauf verzichtet habe.
Aber mittlerweile muß ja jeder bevor er beim Auto ist schon eingeloggt sein, so scheint es zumindest mir.

 

[framp]

Historisch habe ich noch OpenVPN auf einer Raspberry aktiv. Seitdem Wireguard auch auf der Fritte laeuft ist auch Wireguard aktiv und OpenVPN wird eigentlich nicht mehr genutzt. Als Fallback lasse ich das aber aktiv.

Ich kann nur jedem der eine Fritte hat empfehlen das Wireguard zu konfigurieren und zu nutzen um aufs Heimnetz sicher zuzugreifen. Ich mache das ueber einen DynDNS Service. Ist aber nicht notwendig da AVM den Service ja auch per MyFritz! anbietet.

 

[Benie]

Jip, ich habe das über My Fritz, da ich diesen Zugang zur Fritte schon lange genutzt habe. Mit Wireguard unktioniert alles bestens damit, die EInrichtung war völlig easy.

 

[ebusynsyn]

@framp @Benie

Der vom ISP zwangsweise zu nutzende Router lässt keine VPN Einrichtung zu. Bietet aber einen Bridge-Modus an. Aktuell läuft ein Wireguard-Server auf einem Raspi der an diesem Rouer hängt. Am Router ist zeigt ein Port auf den WG-Server. In der VM der Syno läuft eine NC Instanz die nur über WG-VPN zu erreichen ist. Diese wird von einer Handvoll Leuten benutzt, sollte also erreichbar sein. Synology Drive, Office und einige Docker-Apps sind so natürlich auch via WG verfügbar. Jeweils abgesichert mit guten Passwörter und wo möglich mit 2FA.

Aus einer früheren Installation liegt noch eine Fritz!Box 7590 AX rum. Würde es sicherheitstechnisch Sinn machen, den ISP-Zwangsrouter in den Bridemodus zu versetzen, die Fritte dran zu hängen und Wireguard darauf einzurichten? Weitere Funktionen der Fritte wären lediglich nice2have und benötige ich nicht wirklich.

Einziger Unterschied den ich sehe ist, dass WG via Fritte es zulassen würde, auch den letzten Port - jenen, der auf den WG-Raspi zeigt - auch noch zu schliessen. Dem Gegenüber steht der höhere Stromverbrauch und dass halt so ne Fritte rumsteht. Sicherheit wäre mir aber wichtiger, da ich wirklich alles auf dem NAS habe, was das Leben in über 60 Jahren so hergegeben hat und hoffentlich noch wird.

 

[Benie]

Ich bin da leider was das betrifft nicht so bewandert.
Grundsätzlich denke daß es machbar wäre, aber rein als Vermutung.

 

[geimist]

Der vom ISP zwangsweiser zu nutzende Router lässt keine VPN Einrichtung zu.

Sind diese Zeiten nicht vorbei?