[3com router] Oneindige SYN flood

[Verwijderd]

Hallo,

Hier in huis hebben we zo'n 24 computers aan 1 internet verbinding hangen. Al enige tijd ben ik aan het stoeien met een probleempje die mijn 3com office connect (wireless) router geeft. Via de syslog krijg ik 24/7 meldingen binnen (gemiddeld ruim 300 per uur) ongeveer gelijk aan deze:

01-27-2008 19:05:51 Local7.Debug 192.168.2.1 Jan 27 19:05:46 klogd: SYNCFLOODIN=ae1 OUT= MAC=00:0f:cb:fc:b2:ec:00:02:cf:8d:2c:a8:08:00:45:00:00:2c SRC=64.125.152.172 DST=192.168.1.33 LEN=44 TOS=0x00 PREC=0x00 TTL=55 ID=45560 DF PROTO=TCP SPT=60990 DPT=3800 WINDOW=5840 RES=0x00 ACK PSH URGP=0
(elke keer ander src-ip)

Op SYNCFLOOD kan ik niks vinden, op SYNFLOOD wel. Als ik het goed begrijp, is dat een soort DoS aanval die van buitenaf op je netwerk wordt gedaan. Maar afgelopen week ben ik van provider veranderd, en nu heb ik nog steeds hetzelfde probleem! Dus het lijkt erop dat er intern iets niet klopt.

Vandaag wilde ik de software updaten (heb nu versie 1.2.0), maar dat wilde de router zelf niet (verkeerde versie nummer zegt ie). Verder heb ik eea geprobeerd, maar weet niet echt meer waar ik moet zoeken. Ik zit nog te denken aan de volgende dingen, maar vraag me af of het ermee te maken kan hebben:
- Een storend electromagnetisch veld in de buurt van de utp
- Een slecht geaarde utp-kabel

Vermoedelijk als ik de optie 'Enable SPI and Anti-DoS firewall protection' uit zet, ik er geen last meer van hebben, maar kan dit kwaad? De SPI-firewall staat niet voor niks standaard aan lijkt mij. Bovendien is dit natuurlijk niet een solide oplossing voor het probleem.

Kan iemand me een richting wijzen waar ik moet zoeken?
En kan het zijn dat mijn router hierdoor significant langzamer wordt?


Hartelijk dank!

[WouterG]

Ik krijg die melding zodra ik emule opstart. Heel vervelend
Probeer eens soortgelijke programma's even uit te zetten om te kijken wat er dan gebeurd. Duurt wel eventjes voor het helemaal over is dan dus geef het even een uurtje de tijd.

[ Voor 58% gewijzigd door WouterG op 27-01-2008 23:19 ]

[lembregtse]

Zoals Tomcat zei, kan je misschien controleren naar welke IP op je lokaal netwerk bedoeld zijn? Zoals in je example: DST=192.168.1.33 ?
Misschien kan je die PC dan is nakijken op programma's die dit zouden kunnen triggeren zoals hierboven vermeld word!

Zelf heb ik nog nooit last gehad van SYNFLOOD meldingen dus direct kan ik je daar niet mee helpen, veel succes!

[ Voor 18% gewijzigd door lembregtse op 27-01-2008 23:39 ]

[Verwijderd]

Mijn ip's zitten in de 192.168.2.xxx range. 192.168.1.33 is het WAN-ip adres van mijn router, waar het LAN-adres gewoon 192.168.2.1 is.

Verder is het niet makkelijk om hier in het (studenten)huis alle kamers langs te gaan om even alle download programma's uit te zetten. En volgens mij kan ik het ook niet blokken in de router, omdat het via veelgebruikte poorten gaat, toch?

Overigens heb ik nu de SPI firewall uitgezet en krijg ik inderdaad de meldingen niet meer. Maar zoals ik eerder zei lijkt mij dit niet de oplossing.

[ Voor 7% gewijzigd door Verwijderd op 28-01-2008 10:43 ]

[Verwijderd]

*schop*

[leuk_he]

Volgens mij kan windows XP al lang(2005) in de default configuratie tegen een synflood, en krijg je die melding gewoon omdat je veel inkomende connecties hebt door veel gebruikers & p2p verkeer.

IMHO kun je die regel in de 3com dus uitzetten.

[redfox314]

ik denk dat het uitzetten van de SPI firewall geen optie is er zijn nog andere DDoS attacks waartegen je ook niet meer beschermd wordt.

Aan je configuratie te zien lijkt het mij dat er in het huis waar jij woont nog een private network hangt

----internet---
----router (1)---
|----jou router (2)----jou pc(s)
|----andere
|----huisgenoten...


Het lijkt mij bizar dat het mogelijk is dat er syn packets komen van een internet ip naar een private ip.
Dit kan alleen als er een static route in router (1) staat of als er specifiek een port geforward is naar jou IP.
Het probleem ligt hem in elk geval aan de security measures van router(1)

[Orion84]

Of hij heeft gewoon een 255.255.0.0 netwerk op 192.168.0.0 ?

En portforwards zou natuurlijk best kunnen. Via UPnP worden die dingen automatisch aangemaakt, zodra er iemand achter die router een programma start die portforwards nodig heeft en UPnP ondersteunt?

Misschien dus een idee om UPnP uit te zetten?

[ Voor 21% gewijzigd door Orion84 op 31-01-2008 16:29 ]

[redfox314]

Je moet natuurlijk aan de configuratie van router(1) aankunnen...

[Orion84]

Mja, hoe kom je op dat verhaal met 2 routers dan

Edit: ow, wacht, ik heb Verwijderd in "\[3com router] Oneindige SYN flood" ff gemist geloof ik. Sorry

Dan lijkt het er inderdaad op dat er twee routers na elkaar staan.

[ Voor 65% gewijzigd door Orion84 op 31-01-2008 22:01 ]

[redfox314]

Hij zegt dat het WAN ip 192.168.1.33 is.
Hij zegt ook dat hij achter zijn router een 192.168.2.0/24 subnet heeft.
Vermits 192.168.xxx.xxx de private range (non routable) is voor klasse C IP adressen concludeer ik dat er een 2e NAT apparaat op het netwerk moet aanwezig zijn. (Router is hier eigenlijk een misnomer)

192.168.0.0/16 werkt niet. De 192.168.xxx.xxx range is een klasse C range. Die mag niet met subnetmask <255.255.255.0 (ofwel 192.168.0.0/n met 24≤n≤30)

I know confusing.

[ Voor 23% gewijzigd door redfox314 op 31-01-2008 21:07 ]

[Verwijderd]

Eeeh was ik onduidelijk?Het zit zo:

==Internet==
==Modem== (192.168.1.254)
==Router== (WAN-poort: 192.168.1.33* // LAN: 192.168.2.1)
==Andere PC's== (IP: 192.168.2.xxx // SUB: 255.255.255.0)

* Dit zegt de router zelf, ik kan hier niet naartoe surfen, wel pingen. Is dit zo raar dan?


Ik kan overal bij. Verder lijkt mij niet dat dit het probleem is. Kwa forwarding heb ik een paar porten naar een beveiligde computer geforward, maar het lijkt mij niet dat ik daardoor de SYN-berichten krijg.

Twee vragen:
- Graag zet ik de SPI weer aan. UPnP uitzetten zou dat kunnen helpen?
- Zou het kunnen dat door de SPI of UPnP de router langzamer wordt (als er 20 computers op zitten te internetten)? M.A.W. krijg ik relevante snelheidswinst als ik het uitschakel?


Bedankt voor de reacties!


/edit: Universal Plug and Play staat al uit.

[ Voor 5% gewijzigd door Verwijderd op 01-02-2008 23:22 ]

[redfox314]

Dat is wel een heel vreemde configuratie. De modem heeft een private ip. Zou het kunnen dat je modem eigenlijk ook een router is. dwz je kan in die modem misschien ook een firewall activeren.
Welk type is het?

[Verwijderd]

Ah ja dat klopt, ik wist niet dat dat relevant was. Mijn modem heeft inderdaad ook een router functie die niet is uitgeschakeld. In het modem staat de firewall aan, evenals 'Bypass Triangle Route'.

Het is een ZyXEL 2602R.

[Verwijderd]

Ik heb de SPI-firewall weer aangezet, en rkijg dus weer de syn-berichten zoals hierboven beschreven, evenals deze berichten:

02-02-2008 01:01:28 Local7.Debug 192.168.2.1 Feb 2 01:01:27 DoS attacking : [18123]: Detect the SYNCFLOOD attack
02-02-2008 01:01:23 Local7.Debug 192.168.2.1 Feb 2 01:01:22 klogd: To stop GPIO 3 blinking ... successful
02-02-2008 01:01:23 Local7.Debug 192.168.2.1 Feb 2 01:01:22 DoS attacking : [18123]: Detect the port-scanner attack

Deze kreeg ik ook al, hoewel de port-scanner attack mij niet bekend voor komt.

[Borromini]

.

[ Voor 99% gewijzigd door Borromini op 02-02-2008 01:16 . Reden: Er stond geen zever, wel spuit 11 ]

[Verwijderd]

*schp*