VPN bezoek van een Chinees

[bokkow]

Misschien een beetje een rare titel maar het volgende; ik heb met behulp van iVPN een VPN opgezet zodat ik van buiten huis kan verbinden met mijn PC, ik krijg in beeld te zien wanneer iemand daarmee verbind en nu schrok ik wel een beetje toen een onbekende gebruiker zomaar verbinding kon maken!

2015-08-30 16:34:16 CEST Listening for connections...
2015-08-30 17:08:52 CEST Incoming call... Address given to client = 192.168.5.150
Sun Aug 30 17:08:52 2015 : publish_entry SCDSet() failed: Success!
Sun Aug 30 17:08:52 2015 : publish_entry SCDSet() failed: Success!
Sun Aug 30 17:08:52 2015 : publish_entry SCDSet() failed: Success!
Sun Aug 30 17:08:52 2015 : L2TP incoming call in progress from '183.60.48.25'...
Sun Aug 30 17:08:52 2015 : L2TP received SCCRQ
Sun Aug 30 17:08:52 2015 : L2TP sent SCCRP
2015-08-30 17:09:12 CEST --> Client with address = 192.168.5.150 has hungup
2015-08-30 17:09:31 CEST terminating on signal 15

Ik heb mijn VPN server uitgezet en inmiddels shared secret en mijn eigen account aangepast. Het is helemaal raar dat hij zonder een account kon verbinding maken? Er stond bij username: Unknown, en ik werk wel op basis van accounts.

Moet ik me verder zorgen maken? Wat heeft hij aan kunnen richten in die halve minuut?

[Kek]

L2TP is ook naar ouderwets... beter gebruik je openvpn bijvoorbeeld...

[Recursio]

Lukt het je zelf om zonder account een verbinding te maken?

M.a.w., is dit gedrag van je server door jou zelf reproduceerbaar?

Sowieso zou ik me zorgen maken omdat je server zich anders gedraagt dan jij dacht deze geconfigureerd te hebben; je bent dus niet in full control over je eigen box. Geen fijn gevoel.

Kun je het je veroorloven om toegang via VPN even helemaal uit te zetten tot je je voldoende hebt kunnen verdiepen in wat er nu precies gebeurd is? (Kun je bijvoorbeeld log-bestanden vinden?)

Dan heb je ook meer rust om je keuze voor een eventueel alternatief VPN-protocol te heroverwegen.

[ Voor 73% gewijzigd door Recursio op 30-08-2015 17:42 ]

[bokkow]

Dat lukt me zelf ook inderdaad zonder account, en ik moet toegeven dat ik laatst wat laks was toen het instellen niet makkelijk ging en heb toen een relatief simpele shared secret ingesteld(nog wel hoofdletters cijfers en uitroepteken)

Een daadwerkelijke login ziet er zo uit:

2015-08-30 18:09:21 CEST Listening for connections...
2015-08-30 18:14:09 CEST Incoming call... Address given to client = 192.168.5.150
Sun Aug 30 18:14:09 2015 : publish_entry SCDSet() failed: Success!
Sun Aug 30 18:14:09 2015 : publish_entry SCDSet() failed: Success!
Sun Aug 30 18:14:09 2015 : publish_entry SCDSet() failed: Success!
Sun Aug 30 18:14:09 2015 : L2TP incoming call in progress from '<IP ADRES VAN KPN>'...
Sun Aug 30 18:14:09 2015 : L2TP received SCCRQ
Sun Aug 30 18:14:09 2015 : L2TP sent SCCRP
Sun Aug 30 18:14:09 2015 : L2TP received SCCCN
Sun Aug 30 18:14:09 2015 : L2TP received ICRQ
Sun Aug 30 18:14:09 2015 : L2TP sent ICRP
Sun Aug 30 18:14:09 2015 : L2TP received ICCN
Sun Aug 30 18:14:09 2015 : L2TP connection established.
Sun Aug 30 18:14:09 2015 : using link 0
Sun Aug 30 18:14:09 2015 : Using interface ppp0
Sun Aug 30 18:14:09 2015 : Connect: ppp0 <--> socket[34:18]
Sun Aug 30 18:14:09 2015 : sent [LCP ConfReq id=0x1 <asyncmap 0x0> <auth chap MS-v2> <magic 0x23a3c13e> <pcomp> <accomp>]

In de log kan ik verder zien dat deze persoon het nu 11 keer heeft geprobeerd sinds 20-08. En sinds dat ik VPN heb ingesteld is dit de enige ongeautoriseerde verbinding. Is het heel naief gedacht als ik een degelijke lang wachtwoord instel en het daarmee nog eens in de gaten hou?

Ik had juist altijd het idee dat PPPT hopeloos verouderd was en L2TP gangbaar. Ik kan OpenVPN eens inkijken natuurlijk. Bedankt voor de snelle reacties in ieder geval!

[CyBeR]

L2TP is zeer gangbaar indien gebruikt over IPSec.

[luxan]

Kek schreef op zondag 30 augustus 2015 @ 17:32:
L2TP is ook naar ouderwets... beter gebruik je openvpn bijvoorbeeld...

Van die redenatie klopt natuurlijk niks. Een protocol is niet onveilig omdat het oud is. En een nieuw protocol is niet automatisch veiliger. En wat betreft de leeftijd van beide protocollen, OpenVPN bestaad sinds 2001 en L2TP stamt uit 1999, een verschil van 2 jaar. En beide zijn de laatste jaren gewoon doorontwikkeld.

Een beter argument zou zijn geweest "L2TP op zichzelf heeft wat zwaktes. Het is daarom aan te raden L2TP/IPSec te gebruiken of over te stappen op OpenVPN"

[Thralas]

bokkow schreef op zondag 30 augustus 2015 @ 18:31:
Een daadwerkelijke login ziet er zo uit:

Nou, en zonder SCCCN is er volgens mij geen connectie, dus er is niets aan de hand tenzij je vergelijkbare logentries van je Chinese vriend ziet.

Het feit dat willekeurige mensen op je internet facing service proberen in te loggen is niet zo spannend. Als je dat vervelend vindt zou ik de boel firewallen.

[johnkeates]

Dit is vrij normaal. Als jij een service op je WAN kant hebt staan komen er geheid random mensen die even proberen in te loggen. En echt mensen zijn het ook niet, meer geautomatiseerde scanners.

L2TP zou ik niet 'los' gebruiken, maar alleen met IPSec. PPTP gewoon helemaal niet gebruiken.

Als het kan is OpenVPN ook een prima alternatief, of kale IPSec.

[bokkow]

Het gaat inderdaad om L2TP over IPSec. Voor mijn eigen gevoel heb ik nu het shared secret veranderd in iets wat niet te raden valt en vrij complex is en user accounts wat aangescherpt en eveneens complexe wachtwoorden aan gekoppeld.

Ik zal nog eens kijken naar de standaard firewall in het modem of dat een tandje stricter kan worden gezet zonder dat ik daar zelf moeilijkheden mee krijg.

Thralas, bedankt voor de geruststellende reply, zo dacht ik er na het vergelijken met een geslaagde login nu ook over maar het is wel prettig dat iemand het kan bevestigen. En allen bedankt voor het snelle reageren!

[.Maarten]

Is het niet mogelijk om een andere poort te gebruiken? Vaak worden er poortscans gedaan op de standaard poorten. In plaats van alle open poorten op een bepaald adres omdat dat gewoon te lang duurt.

[Fish]

.Maarten schreef op zondag 30 augustus 2015 @ 22:17:
Is het niet mogelijk om een andere poort te gebruiken? Vaak worden er poortscans gedaan op de standaard poorten. In plaats van alle open poorten op een bepaald adres omdat dat gewoon te lang duurt.

Security by obscurity ...

Kwestie van tijd, het verlaagd je kans alleen maar. Beter gebruik je een veilig protocol

[Thralas]

Definieer veiligheid van het protocol?

Ook met L2TP is er niets aan het handje (voor wat betreft Chinese toeristen) als je secret niet in een dictionary voorkomt.

Verder biedt L2TP natuurlijk weinig garanties. Het is een tunneling protocol zonder versleuteling van inhoud; de P in VPN valt te betwisten.

Iha. kun je beter OpenVPN opzetten; met certificaten zijn aanvallen van 'gelukszoekers' onvoorwaardelijk kansloos en als klap op de vuurpijl is je traffic ook nog eens versleuteld en geauthenticeerd...

[CyBeR]

Thralas schreef op zondag 30 augustus 2015 @ 22:45:
Verder biedt L2TP natuurlijk weinig garanties. Het is een tunneling protocol zonder versleuteling van inhoud; de P in VPN valt te betwisten.

L2TP wordt ook niet voor jan lul ingezet in een IPSec tunnel. Kom nou…

Iha. kun je beter OpenVPN opzetten; met certificaten zijn aanvallen van 'gelukszoekers' onvoorwaardelijk kansloos en als klap op de vuurpijl is je traffic ook nog eens versleuteld en geauthenticeerd...

Dat kan met IPSec net zo goed en dan heb je iets wat wél een algemeen geaccepteerde standaard is ipv een of ander hobbyproduct.

[ Voor 34% gewijzigd door CyBeR op 30-08-2015 23:41 ]

[Thralas]

CyBeR schreef op zondag 30 augustus 2015 @ 23:39:
L2TP wordt ook niet voor jan lul ingezet in een IPSec tunnel. Kom nou…

Yup, maar dat had je al aangegeven en dat was voor mijn beschouwing verder irrelevant.

Dat kan met IPSec net zo goed en dan heb je iets wat wél een algemeen geaccepteerde standaard is ipv een of ander hobbyproduct.

Je doet OpenVPN ernstig tekort door het een 'hobbyproduct' te noemen.

Nee, het is niet enterprisey, maar wel een bewezen oplossing die voor thuisgebruik in het algemeen makkelijker en flexibeler in gebruik is dan een IPsec/L2TP stack.

Dat 'een of ander hobbyproduct' bridged wel mooi ethernet aan elkaar, en propageert ook nog eens over het aanzienlijke deel SOHO-routers dat geen raad weet met non-TCP/UDP/ICMP IP payloads.

In het algemeen geldt dat zowel OpenVPN als IPsec/L2TP prima oplossingen zijn. Welke het handigst is hangt maar net van de situatie af. Een site-to-site tunnel met IPsec support in je routers is handig, net als het feit dat je bij de juiste VPS-provider binnen 2 minuten een OpenVPN access server met een vers IP'tje de lucht in trapt.

[nanoChip]

Als je het IP-adres googled dan wordt het e.e.a. duidelijk.
____________________________________________
Anon Aug 28, 2015 no comment VPN IP
Anon Aug 27, 2015 Scan port 1701 (l2tp) Port scan, VPN IP
Anon Aug 22, 2015 no comment VPN IP
Anon Aug 21, 2015 Trying to hack my VPN server. VPN IP
Anon Aug 19, 2015 tried to access the ftp server Hacking
Anon Aug 8, 2015 Tried to connect vpn Hacking
Anon Aug 3, 2015 atgtempts to access the ftp server Hacking
Anon Aug 2, 2015 83.60.48.25 - - [01/Aug/2015 14:59:57] "GET http://www.baidu.com/ HTTP/1.1" 404 - Port scan
____________________________________________

En voor de duidelijkheid, dit ipadres kwam ook voor in mijn logs, gewoon even firewallen