Xs4all sluit netwerk af

[jeremysmit]

Beste leden,

Een vraag omtrent internet blokkade ter bescherming van een klant.

Op mijn werk gebruikt mijn directeur thuis Xs4all als provider.
Thuis heeft hij een Nas systeem(synology) en een Asus router RT-N66U(ter vervanging van de modem)
Nu is het zo dat hij veel in China zit, en thuis bij zijn Nas moet.

Het volgende is het afgelopen maand nu 2 keer voor gekomen:
Xs4all heeft al 2 keer internet geblokkeerd, omdat er mogelijk een gevaar voor de klant zou kunnen optreden, dat ze vatbaar zou zijn voor een reflected Ddos attack.
Om de klant attent van het gevaar te maken sloten zij het internet af.

We moeten UPNP uitzetten en poort 1900 UDP blokkeren, en dan pas zouden ze internet er weer op zetten.

Nu had ik het volgende gedaan:
Upnp uitgezet, firewall + DOS protection aangezet. en poort 1900 UDP in de blacklist toegevoegd.

Maar hierdoor kunnen ze totaal niet meer bij de nas.

Weet iemand een oplossing zodat ze als nog bij de nas kunnen komen.
En mag Xs4all dit zomaar uitvoeren?

MVG
Jeremy

[Paul]

jeremysmit schreef op dinsdag 16 juni 2015 @ 08:47:
En mag Xs4all dit zomaar uitvoeren?

Het staat ieder bedrijf vrij om voorwaarden te verbinden aan het aanbieden van hun diensten; een van de voorwaarden die XS4All stelt is dat je geen gevaar bent voor anderen.

Welke diensten wil je van de NAS aanbieden aan de hele wereld? Je zult moeten zorgen dat je die poorten forward, want zonder UPnP kan je NAS dat niet zelf instellen op de router en zul je het handmatig moeten doen.

[jeremysmit]

Xs4all doet een port scanning en zien dat poort 1900 openstaat.
en om ons attent te maken en dat wij de poort moeten blokkeren gooien ze ons van het internet af.
Een gevaar voor hun is er niet zeggen ze, ze zeggen puur dat ze het doen voor ons

[Freee!!]

jeremysmit schreef op dinsdag 16 juni 2015 @ 09:18:
Xs4all doet een port scanning en zien dat poort 1900 openstaat.
en om ons attent te maken en dat wij de poort moeten blokkeren gooien ze ons van het internet af.
Een gevaar voor hun is er niet zeggen ze, ze zeggen puur dat ze het doen voor ons

In dat geval terugmelden dat die poort bewust is opengezet voor een specifieke toepassing en gebruiker (en dat die intern beveiligd is). Je kunt te ver gaan met service.

[ Voor 3% gewijzigd door Freee!! op 16-06-2015 09:24 ]

[jeremysmit]

Ik denk dat ik circa zo 5 tot 7 uur met ze aan de telefoon heb gehangen om dat in hun kop te stampen. maar ze snappen er echt helemaal niets van

[lier]

Weet iemand een oplossing zodat ze als nog bij de nas kunnen komen.

VPN server draaien op de NAS, lijkt mij de meest veilige optie.

En waarom poort 1900??

Microsoft SSDP Enables discovery of UPnP devices

[ Voor 23% gewijzigd door lier op 16-06-2015 09:27 ]

[jeremysmit]

Het probleem is dat we meer dan 10 vpn verbindingen dan moeten gaan opzetten, dat gaat de router niet leuk vinden.
Is er miss niet een soort workarround te maken?

[Anoniem: 432173]

lier schreef op dinsdag 16 juni 2015 @ 09:25:
[...]

VPN server draaien op de NAS, lijkt mij de meest veilige optie.

Was ook mijn eerste idee, ook veel eenvoudiger te beveiligen lijkt me

[gasemans]

jeremysmit schreef op dinsdag 16 juni 2015 @ 09:29:
Het probleem is dat we meer dan 10 vpn verbindingen dan moeten gaan opzetten, dat gaat de router niet leuk vinden.
Is er miss niet een soort workarround te maken?

Hoezo gaat de modem dat niet leuk vinden?
is dat getest? en misschien is het dan verstandig om die te vervangen door een modem die dat wel netjes ondersteund?

Heb het idee dat er nu gebruik gemaakt wordt van een standaard XS4All abo.
en niet een zakelijk abo?
Misschien een idee om daar eens naar te kijken?

[ Voor 15% gewijzigd door gasemans op 16-06-2015 09:33 ]

[jeremysmit]

Maar als ik trouwens de wet netneutraliteit door spitst, mag een internet provider niet het internet afsluiten, zelfs bij ontoelaatbaar internet gedrag. en daar zijn we al helemaal niet mee bezig

[Bigs]

Het is niet echt aan te raden om poort 1900 zomaar open te zetten naar de wereld. Waarvoor heb je die nodig?

[Jaap-Jan]

Netneutraliteit zegt dat je verschillende typen verkeer niet anders mag behandelen, niets meer, niets minder. Dat wil dus niet zeggen dat je een klant niet mag afsluiten.

En zoals Bigs ook al zegt: het is gewoon geen goed idee om die poort bereikbaar te maken voor iedereen. Het enige wat je beschermt is een wachtwoord die door middel van een MITM- aanval onderschept kan worden. Zet een VPN op om veilig bestandsdeling aan te kunnen bieden. Zie ook: http://security.stackexchange.com/questions/12772

[ Voor 6% gewijzigd door Jaap-Jan op 16-06-2015 09:39 ]

[Tazzios]

Je kan ook zelf de benodigde poorten open zetten in de router i.p.v. UPNP te gebruiken.

https://www.synology.com/nl-nl/knowledgebase/faq/299
Poort 1900 wordt gebruikt door: Audio Station,Media Server en Video Station. Zijn die echt nodig?

Edit:
Waarom zou hij 10 VPN verbindingen nodig hebben? Gaat hij met 10 apparaten tegelijk vanuit China werken of zijn er meerdere personen?

[ Voor 22% gewijzigd door Tazzios op 16-06-2015 09:47 ]

[aZuL2001]

jeremysmit schreef op dinsdag 16 juni 2015 @ 09:25:
Ik denk dat ik circa zo 5 tot 7 uur met ze aan de telefoon heb gehangen om dat in hun kop te stampen. maar ze snappen er echt helemaal niets van

Tuurlijk.

En hoe lang lever jij al internet aan hoeveel klanten ook al weer?


Als de NAS door upnp uit te zetten en poort 1900 udp te blocken niet meer bereikbaar is dan vraag ik me af of zijn werknemer wel weet waar hij mee bezig is.

[jdsm]

Om de NAS van buitenaf bereikbaar te maken zou het forwarden van de web interface poort (standaard TCP 5000 of 5001 voor HTTPS) naar de NAS voldoende moeten zijn. Ik heb op diezelfde manier mijn Synology ook van buitenaf bereikbaar gemaakt. Firewall op de NAS zelf filtert dan nog verbindingen die niet vanaf mijn remote IP adressen komen, werkt prima.

[Paul]

Ik snap dat je verbolgen bent dat het nu is afgesloten, maar het is wel de kans om het gewoon goed aan te pakken. Het internet staat vol met onveilige meuk en XS4All is goed bezig hun stukje internet beter te beveiligen. Nu klaag je, maar als straks de concurrent alle bedrijfsgeheimen heeft piept men wel anders...


Waarom 10 VPN's? Zijn er zoveel gebruikers van die NAS? En waarom zou je router 10 VPN's niet leuk vinden? Je NAS kan ze ook gewoon termineren, dan heb je op je router niet meer nodig dan een port forward van UDP/1194 naar je NAS.

Ook hoeft niet alles achter een VPN, als je bijvoorbeeld OwnCloud of zo gebruikt, dat gaat over SSL, dat kan met een port forward op TCP/443.

[virtualite]

jdsm schreef op dinsdag 16 juni 2015 @ 10:06:
Om de NAS van buitenaf bereikbaar te maken zou het forwarden van de web interface poort (standaard TCP 5000 of 5001 voor HTTPS) naar de NAS voldoende moeten zijn. Ik heb op diezelfde manier mijn Synology ook van buitenaf bereikbaar gemaakt. Firewall op de NAS zelf filtert dan nog verbindingen die niet vanaf mijn remote IP adressen komen, werkt prima.

Precies dit.

[Hammetje]

jdsm schreef op dinsdag 16 juni 2015 @ 10:06:
Om de NAS van buitenaf bereikbaar te maken zou het forwarden van de web interface poort (standaard TCP 5000 of 5001 voor HTTPS) naar de NAS voldoende moeten zijn. Ik heb op diezelfde manier mijn Synology ook van buitenaf bereikbaar gemaakt. Firewall op de NAS zelf filtert dan nog verbindingen die niet vanaf mijn remote IP adressen komen, werkt prima.

Dit dus.

Synology NAS een statisch IP geven en in de ASUS router de porten 5000 (en eventueel 5001) forwarden naar dat Statische adres. Eventueel ook met port 21 doen indien je FTP gebruikt om bij de NAS te komen.

[Orion84]

Die interfaces publiek openzetten naar je NAS is niet echt een heel veilig advies (zeker een onbeveiligd protocol als FTP niet). Is iedereen de SynoLocker malware al weer vergeten?

Gewoon netjes een VPN server op de router of op de NAS gebruiken. Op de router heeft de voorkeur. Ik heb zelf de AC66U en met de Merlin firmware heb ik daar een OpenVPN server op, maar ik weet niet precies wat de originele firmware te bieden heeft op dat vlak. Synology heeft in elk geval een VPN Server package met OpenVPN support.

[ Voor 14% gewijzigd door Orion84 op 16-06-2015 11:35 ]

[jdsm]

Orion84 schreef op dinsdag 16 juni 2015 @ 11:34:
Die interfaces publiek openzetten naar je NAS is niet echt een heel veilig advies (zeker een onbeveiligd protocol als FTP niet). Is iedereen de SynoLocker malware al weer vergeten?

Als je de firewall op je Synology goed instelt komen er ook geen ongewenste zaken binnen. Ik heb het zo ingesteld dat alleen IP adressen die ik gebruik buiten de deur uberhaupt verbinding met de NAS kunnen maken. Draait gewoon iptables op die firmware, dus alles wat vanaf andere IP's komt krijgt gewoon netjes een DROP/REJECT van de kernel bij het pogen tot verbinden.

Het doemscenario dat je schetst is dus niet per definitie het geval. Dat neemt verder niet weg dat een VPN instellen ook gewoon een goed idee is

[donny007]

- Welke poorten staan er nu nog open op de router naar de NAS?

- Welk protocol/programma wordt er gebruikt om de NAS op afstand te benaderen?

Edit: De RT-N66U heeft overigens een VPN-server functie, dat is een oneindig betere oplossing dan de NAS delen met het internet.

[ Voor 31% gewijzigd door donny007 op 16-06-2015 12:27 ]

[Orion84]

jdsm schreef op dinsdag 16 juni 2015 @ 12:14:
[...]


Als je de firewall op je Synology goed instelt komen er ook geen ongewenste zaken binnen. Ik heb het zo ingesteld dat alleen IP adressen die ik gebruik buiten de deur uberhaupt verbinding met de NAS kunnen maken. Draait gewoon iptables op die firmware, dus alles wat vanaf andere IP's komt krijgt gewoon netjes een DROP/REJECT van de kernel bij het pogen tot verbinden.

Het doemscenario dat je schetst is dus niet per definitie het geval. Dat neemt verder niet weg dat een VPN instellen ook gewoon een goed idee is

Natuurlijk zijn er nog andere maatregelen te treffen om het toch op een wat veiliger manier open te zetten, maar dat zie ik niemand er bij zeggen die hier suggesties geeft om maar gewoon 5000 en 21 naar buiten open te gooien.

En specifieke IPs toestaan is in dit geval wat lastig aangezien de gebruiker waar de topicstarter het over heeft regelmatig in het buitenland zit.

[luxan]

jdsm schreef op dinsdag 16 juni 2015 @ 12:14:
[...]


Als je de firewall op je Synology goed instelt komen er ook geen ongewenste zaken binnen. Ik heb het zo ingesteld dat alleen IP adressen die ik gebruik buiten de deur uberhaupt verbinding met de NAS kunnen maken. Draait gewoon iptables op die firmware, dus alles wat vanaf andere IP's komt krijgt gewoon netjes een DROP/REJECT van de kernel bij het pogen tot verbinden.

Het doemscenario dat je schetst is dus niet per definitie het geval. Dat neemt verder niet weg dat een VPN instellen ook gewoon een goed idee is

Weet je zeker dat het een goed idee is om je wachtwoorden als plain text het internet op te gooien door HTTP (poort 5000) open te zetten? En doomscenario's zijn idd niet per definitie het geval. Doomscenario's schetsen wat er gebeurt als het fout gaat. In jou geval is een doomscenario een hacker die verbonden is met hetzelfde WiFi netwerk en die dat netwerk aan het afluisteren is op het moment dat je remote inlogt op je NAS via HTTP. Hoeftie niet eens de SSL encryptie te breken. Om nog maar te zwijgen over eventueel gehackte systemen tussen jou en je NAS in.

Hoe je het ook wend of keert, het is gewoon niet handig om via unencrypted protocollen verbinding te maken met services in je thuisnetwerk over een onbeveiligde verbinding. Gebruik een VPN. En indien dit niet mogelijk is, toch minimaan SSL encryptie.

[Bosman93]

Als je een Synolgy QuickConnect ID aanmaakt, kun je gewoon bij je NAS zonder ook maar iets in te hoeven stellen qua ip adressen of portforwarding.

[ Voor 19% gewijzigd door Bosman93 op 16-06-2015 17:26 ]

[Panzer_V]

Ik zou idd zoals Bosman93 adviseert een Synology QuickConnect ID aanmaken. Daarmee kan je van buitenaf bij je NAS komen. Geef je NAS wel een fixed IP in je router/ NAS software zelf.

Daarnaast zou je een VPN omgeving kunnen overwegen die op je Synology NAS draait. Hiervoor moeten een aantal poorten geforeward worden. Voor een L2TP/IPSEC connectie moet je onderstaande poorten forewarden (is niet altijd even makkelijk te vinden namelijk).

IPV4:
UDP 1701; 4500; 500

IPV6:
UDP 1701; 4500; 500

Zelf gebruik ik de Fritzbox en heb hierbij geen enkele poort naar het internet voor moeten openzetten! Gewoon forewarden is dus genoeg.

Succes er mee!

[ Voor 11% gewijzigd door Panzer_V op 16-06-2015 17:32 ]

[Orion84]

Panzer_V schreef op dinsdag 16 juni 2015 @ 17:30:
Zelf gebruik ik de Fritzbox en heb hierbij geen enkele poort naar het internet voor moeten openzetten! Gewoon forewarden is dus genoeg.

Je beseft dat die twee dingen hetzelfde zijn in deze context?

[Panzer_V]

Orion84 schreef op dinsdag 16 juni 2015 @ 17:38:
[...]

Je beseft dat die twee dingen hetzelfde zijn in deze context?

Touché! Ik bedoelde te zeggen dat ik buiten die 3 geforewarde poorten niets extra heb hoeven open zetten.

[donny007]

De router van TS heeft een ingebouwde VPN-server, daar hoeven geen poorten voor open.

[bas-r]

Interessanter is de vraag waarom de beste man bij zijn NAS moet?
Gaat het om bestanden waar hij bij moet kunnen? Is een synhronisatie met een cloud dienst dan niet handiger?

Voor de Synology's bestaat er o.a. een Google Drive sync tool: alles bij de hand wat op je NAS staat, zonder gefriemel met remote toegang.

[KillerAce_NL]

Ik denk dat Jeremy niet meer gaat reageren. Zijn post toont zijn onkunde om zijn werkgever goed van dienst te zijn.
Lekker upnp openzetten voor buiten, dan ook nog ever een consumentenlijn tje en dan klagen dat het zakelijk belangrijk is.....

[WhiteDog]

KillerAce_NL schreef op dinsdag 16 juni 2015 @ 18:04:
Ik denk dat Jeremy niet meer gaat reageren. Zijn post toont zijn onkunde om zijn werkgever goed van dienst te zijn.
Lekker upnp openzetten voor buiten, dan ook nog ever een consumentenlijn tje en dan klagen dat het zakelijk belangrijk is.....

Maar hoe gaat dat ook vaak met dat soort figuren... Baas heeft vast gezegd "het heeft altijd al zo gewerkt" en "ik hoef helemaal niets te wijzigen op mijn mijn toestel".

Jeremy zal met een goede uitleg én oplossing moeten komen

[Vesper64]

KillerAce_NL schreef op dinsdag 16 juni 2015 @ 18:04:
Lekker upnp openzetten voor buiten, dan ook nog ever een consumentenlijn tje en dan klagen dat het zakelijk belangrijk is.....

Helaas doet xs4all dit ook voor zakelijke lijnen.

[anboni]

Waarom is dat "helaas"? Ik verwacht dat xs4all voornamelijk in het kleinzakelijke segment actief is, waar overwegend weinig tot geen kennis aanwezig is. Niks mis mee om die klanten tegen zichzelf te beschermen. Daarbij vermoed ik dat dit soort bescherming best wel uitgeschakeld kan worden op het moment dat de klant laat blijken dat hij weet waar hij mee bezig is (wat in het geval van TS niet echt het geval lijkt).

[nescafe]

Zie ook deze post: https://www.security.nl/p...chuwt+voor+UPnP+op+router

In dit geval verplicht XS4ALL de klant zelf poort 1900/UDP te blokkeren. Beter had men dit in de poortbeveiliging opgenomen en geadviseerd deze te activeren. Dan had TS gewoon intern UPnP kunnen blijven gebruiken en was er geen verhoogd risico geweest (niet hoger dan 'gewoon' UPnP).

https://www.xs4all.nl/vei...id-techniek-en-gedrag.htm

[boolean]

Wat een geneuzel allemaal hier. Het disablen van UPnP is helemaal niet nodig. Je moet er alleen voor zorgen dat UPnP calls enkel vanuit het LAN worden geaccepteerd. In het geval van jeremysmit staat echter UDP poort 1900 open naar de buitenwereld (WAN). Laat dit nu toevallig de poort zijn waar UPnP naar luistert.

Dus UPnP enablen, poort 1900 dichtzetten en ervoor zorgen dat er geen applicaties zijn die poort 1900 alsnog middels UPnP open zetten zodra ze worden gestart en klaar is Kees.

Zelf gebruik ik OpenSSH i.c.m. Cygwin64 op Windows Server 2012 R2 om VPN over SSH te kunnen realiseren, waarvoor ik enkel poort 443 open heb staan. Dit kan ik je ook adviseren.

EDIT: Ik lees nu de reactie van nescafe pas. Hij zegt eigenlijk hetzelfde.

[ Voor 5% gewijzigd door boolean op 23-06-2015 22:49 ]