Internet vaak plat door DDOS. Hoe nieuw IP? Ziggo

[Floris112]

Mijn vraag
Ik host een Teamspeak en Minecraft server maar er is nu iemand die het leuk vindt mijn verbinding steeds plat te gooien. Dit is niet alleen irritant maar ook nog eens vervelend omdat ik vanuit huis werk en zo mijn werk niet kan doen. Wat kan ik doen om een nieuw IP te krijgen en de DDOS te stoppen?

Relevante software en hardware die ik gebruik
Ik heb een Ziggo Technicolor 7210 modem/router

Wat ik al gevonden of geprobeerd heb
- Technicolor 7210 er 2 uur uithalen met de hoop dat er een nieuw IP wordt toegewezen als ie zich weer meld bij het Ziggo netwerk. (niet geholpen)
- Ziggo gebeld of ze me kunnen helpen aan een nieuw IP; ze zeggen dat ze dat niet kunnen maar dat betwijfel ik ten zeerste.

Ik heb ondertussen alle fora en artikelen op internet doorgespit naar een oplossing maar kom er niet uit. Kunnen jullie mij verder helpen?

[ISaFeeliN]

Je zult pas een nieuw IP krijgen als Ziggo daarvoor de tijd rijp acht, of op verzoek. Maar ik denk niet dat ze dat zomaar doen zullen.Een ander IP is ook maar tijdelijk effectief, ze vinden je wel weer. En je provider zal steeds minder geneigd zijn om je de helpen, want hun netwerk wordt aangevallen (waar ook andere klanten last van kunnen hebben) en je vervuilt hun IP space. Je zou de DDoS moeten stoppen, maar ik snap dat dat lastig kan zijn. Is ie op te sporen? Wat is het voor een type attack?

[SampleUser]

[quote]Ik host een Teamspeak en Minecraft server maar er is nu iemand die het leuk vindt mijn verbinding steeds plat te gooien.[quote]
Even een paar dingen: als anderen last ondervinden van een DDoS aanval kan Ziggo jou aansprakelijk stellen, en dat zullen ze doen ook.
Als 1 IP jouw aanvalt dan is het een DoS aanval en dan kan een VPS een optie zijn, hun firewall blokkeert automatisch het IP.

[zwolly68]

Floris112 schreef op vrijdag 29 januari 2016 @ 22:37:
Mijn vraag Wat kan ik doen om een nieuw IP te krijgen........?

Ik dacht dat als je wifispots uit of aanzet dat dan je ip-adres ook verandert.

[Kabouterplop01]

Hoe weet je dat het een DDoS is, dat is de hamvraag!
Als je dat zeker weet moet je Ziggo bellen. Vragen of ze mee kunnen helpen met aangifte doen.

[Floris112]

Ik heb helaas niet de technische kennis om precies te zien welke IP adressen pingen. Het is geen grootschalige DDOS aanval maar gewoon een paar "stoere" jongens die via VPN en hun eigen IP zitten te pingen.

@zwolly68: Die ga ik even proberen! (helaas is het IP hetzelfde)

Verder stop ik ook met het hosten van een servertje als ik eenmaal een nieuw IP heb.

[stormfly]

Dhcp lease is 7 dagen bij ziggo dus je moet 8 dagen je modem uitzetten

[Bozevkwa]

Misschien een optie: eigen router aanschaffen en je Ziggo modem/router is passthrough laten zetten. Bij mij is/was het zo dat een nieuwe (eigen) router een nieuw IP adres gaf.

[Mmore]

- Ziggo gebeld of ze me kunnen helpen aan een nieuw IP; ze zeggen dat ze dat niet kunnen maar dat betwijfel ik ten zeerste.

Dat kunnen de 'gewone' eerstelijns mensen die je spreekt zeker niet. Een achterliggende afdeling zal het ongetwijfeld wel kunnen, maar het lijkt me niet dat ze dit moeten doen omdat jij diensten host op hun netwerk en daarmee problemen ondervind. Ik raad je aan om te doen wat Bozevkwa zegt, maar voor je dit doet om eerst je diensten elders te hosten. Servers kosten niks meer tegenwoordig en al helemaal niet vergeleken met de kosten die je oploopt als je niet kan werken omdat je verbinding plat ligt.

[lier]

Andere manier om een nieuw IP adres te krijgen is door (eventueel speciaal voor de twee services die je host) een VPN verbinding in te zetten. Dan heeft vooral de VPN hoster er last van. Mooie oplossing voor de korte termijn.

Daarnaast... als je weet van welk IP adres de DDOS (weet je zeker dat dat het is) afkomstig is, dan kan je bij zijn ISP een klacht indienen.

[Luca]

Hmm, vriend van me zat in dezelfde situatie en heeft ook meerdere malen gevraagd via email, twitter en de telefoon of ze hem een ander IP konden geven. Hij had toen een tijd lang meerdere malen per met een ddos te maken aangezien hij elke dag uren lang aan het streamen was op Twitch . Ze blijven volhouden dat ze er weinig aan kunnen doen. Ja, of je router een week uit doen. Geen optie natuurlijk.

Een VPN is dan een optie.

[ToFast]

In bridge zetten en een eigen gekozen router erachter zetten en alles laten afhandelen.

[MineTurtle]

Ik heb zelf dit probleem ook gehad, ik heb het opgelost door een simpele VPS te huren en daar teamspeak + bungeecord op te zetten. Sindsdien geen problemen meer met ddossertjes. Bij bijvoorbeeld OVH krijg je gratis ddos bescherming op je VPS, alleen moet je die firewall wel zelf even handmatig aanzetten in de control panel van je VPS.
Als je je IP veranderd kunnen ze dat toch weer achterhalen zolang je iedereen laat verbinden met jou IP adres thuis...

[ Voor 10% gewijzigd door MineTurtle op 30-01-2016 15:43 ]

[G4H]

Dit heeft bij mij altijd gewerkt (ook Ziggo):
- Modem uit, voor 10 minuutjes
- MAC veranderen van de router die aan 't modem is gekoppeld
- Router uit
- Modem aan totdat deze helemaal is opgestart
- Router aan, dit is nu een 'nieuw' apparaat
- Nieuw IP (ja, ook extern)

Geen idee of het nu nog steeds werkt.

[ToFast]

G4H schreef op zaterdag 30 januari 2016 @ 15:25:
Dit heeft bij mij altijd gewerkt (ook Ziggo):
- Modem uit, voor 10 minuutjes
- MAC veranderen van de router die aan 't modem is gekoppeld
- Router uit
- Modem aan totdat deze helemaal is opgestart
- Router aan, dit is nu een 'nieuw' apparaat
- Nieuw IP (ja, ook extern)

Geen idee of het nu nog steeds werkt.

Dat zal ook werken, echter heeft TS een modemrouter met wifi in-een.

[RedDashGuy]

Floris112 schreef op zaterdag 30 januari 2016 @ 13:09:
Ik heb helaas niet de technische kennis om precies te zien welke IP adressen pingen. Het is geen grootschalige DDOS aanval maar gewoon een paar "stoere" jongens die via VPN en hun eigen IP zitten te pingen.

Als zij je netwerk echt alleen plat leggen door te pingen kun je vgm in de firewall van je modem/router aangeven dat deze ping requests moet blokkeren. Zou dat niet helpen?

[thof]

RedDashGuy schreef op zaterdag 30 januari 2016 @ 15:45:
[...]


Als zij je netwerk echt alleen plat leggen door te pingen kun je vgm in de firewall van je modem/router aangeven dat deze ping requests moet blokkeren. Zou dat niet helpen?

In principe is de verbinding tussen ISP (Ziggo) en jouw modem de bottleneck omdat die de laagste linkspeed heeft (max 200mbit?). Intern is tegenwoordig vaak gigabit. Als je dan pas in of na je modem gaat filteren is het al te laat, het verkeer gaat dan al door de bottleneck.

[downtime]

thof schreef op zaterdag 30 januari 2016 @ 15:49:
[...]


In principe is de verbinding tussen ISP (Ziggo) en jouw modem de bottleneck omdat die de laagste linkspeed heeft (max 200mbit?). Intern is tegenwoordig vaak gigabit. Als je dan pas in of na je modem gaat filteren is het al te laat, het verkeer gaat dan al door de bottleneck.

De bottleneck is meestal de upload. Door de pings te blokkeren, waardoor je ook niet meer reageert, zou je veel minder upload verkeer moeten genereren. Misschien is dat al voldoende.

[_Dune_]

G4H schreef op zaterdag 30 januari 2016 @ 15:25:
Dit heeft bij mij altijd gewerkt (ook Ziggo):
- Modem uit, voor 10 minuutjes
- MAC veranderen van de router die aan 't modem is gekoppeld
- Router uit
- Modem aan totdat deze helemaal is opgestart
- Router aan, dit is nu een 'nieuw' apparaat
- Nieuw IP (ja, ook extern)

Geen idee of het nu nog steeds werkt.

Ik mag toch hopen, dat je hier niet het MAC-adres bedoelt, deze mag je namelijk nooit zomaar wijzigen aangezien deze uniek moet zijn voor het netwerk en eigenlijk de gehele wereld. Erg slecht advies, als je dit inderdaad bedoeld. Misschien bedoel je de hostname?

[ToFast]

_Dune_ schreef op zaterdag 30 januari 2016 @ 18:42:
[...]
Ik mag toch hopen, dat je hier niet het MAC-adres bedoelt, deze mag je namelijk nooit zomaar wijzigen aangezien deze uniek moet zijn voor het netwerk en eigenlijk de gehele wereld. Erg slecht advies, als je dit inderdaad bedoeld. Misschien bedoel je de hostname?

Wat gebeurd er eigenlijk als je een MAC adres cloned van een ander (soort) apparaat, zoals de bluetooth mac van je telefoon bijvoorbeeld? Ik kan me niet voorstellen dat er geen enkel dubbel mac-adres op de wereld bestaat op al die miljarden apparaten.

[Erkel]

ToFast schreef op zaterdag 30 januari 2016 @ 18:52:
[...]

Wat gebeurd er eigenlijk als je een MAC adres cloned van een ander (soort) apparaat, zoals de bluetooth mac van je telefoon bijvoorbeeld? Ik kan me niet voorstellen dat er geen enkel dubbel mac-adres op de wereld bestaat op al die miljarden apparaten.

Dat zal je nog wel tegen vallen, er zijn potientieel 281,474,976,710,656 unieke mogelijkheden (niet bruikbare adressen daargelaten).

Bron

[ Voor 7% gewijzigd door Erkel op 30-01-2016 18:56 ]

[ToFast]

Erkel schreef op zaterdag 30 januari 2016 @ 18:55:
[...]
Dat zal je nog wel tegen vallen, er zijn potientieel 281,474,976,710,656 unieke mogelijkheden (niet bruikbare adressen daargelaten).

Bron

Dat begrijp ik, maar alle fabrikanten van apparaten met een of meerdere mac-adressen zullen heus geen lijst hebben welke allemaal al uitgegeven zijn door andere fabrikanten, behalve intern. Dat maakt de kans op dubbele adressen een stuk hoger. Bovendien denk ik dat heel veel apparaten echt niet via een (goede) random mac-adres lijst een adres verkrijgen (eerder een vaste lijst met oplopende adressen op nummering of alfabet)

[Boudewijn]

Jongens, een paar mensen die ICMP requests doen naar een breedbandmodem... is dat een DDoS? Volgens mij is hier heel wat anders aan de hand. Als het een bootertje is ligt het anders, maar dat lees ik nergens.
Zeker als je geen meting hebt of technische duiding denk ik dat je daar maar eens mee moet beginnen.

Anders komt die teamspeak server zo weer op op een ander ip en wordt dat ook geDoSed, als er al sprake is van een DDoS.

[ Voor 8% gewijzigd door Boudewijn op 30-01-2016 19:02 ]

[Onbekend]

_Dune_ schreef op zaterdag 30 januari 2016 @ 18:42:
[...]


Ik mag toch hopen, dat je hier niet het MAC-adres bedoelt, deze mag je namelijk nooit zomaar wijzigen aangezien deze uniek moet zijn voor het netwerk en eigenlijk de gehele wereld. Erg slecht advies, als je dit inderdaad bedoeld. Misschien bedoel je de hostname?

Het mac-adres is inderdaad het adres wat je moet veranderen. Je moet dat wel natuurlijk doen naar een mac-adres dat nooit kan worden gebruikt, of juist van een apparaat dat defect is geraakt.

Zoek eens op internet lijsten de company_id-gedeeltes van de mac-adressen die zijn uitgegeven. (Dit zijn dus de eerste 6 tekens van het mac-adres.) Als je dus een reeks gebruikt die niet is uitgeven, zou dat geen probleem moeten zijn.

[pacificocean]

ToFast schreef op zaterdag 30 januari 2016 @ 19:00:
[...]

Dat begrijp ik, maar alle fabrikanten van apparaten met een of meerdere mac-adressen zullen heus geen lijst hebben welke allemaal al uitgegeven zijn door andere fabrikanten, behalve intern. Dat maakt de kans op dubbele adressen een stuk hoger. Bovendien denk ik dat heel veel apparaten echt niet via een (goede) random mac-adres lijst een adres verkrijgen (eerder een vaste lijst met oplopende adressen op nummering of alfabet)

In principe dient elk apparaat een uniek MAC-adres te hebben en mogen er geen twee dezelfde zijn in een netwerk. Dit wordt bereikt door aan elke fabrikant van netwerkapparatuur een verschillend bereik van adressen toe te kennen. De fabrikanten mogen elk adres maar eenmaal gebruiken. Aan de eerste 24 bits van een MAC-adres (de Organizational Unique Identifier (OUI)) kan de fabrikant van de apparatuur worden afgeleid.[1]
Wikipedia: MAC-adres

[Hakulaku]

_Dune_ schreef op zaterdag 30 januari 2016 @ 18:42:
[...]


Ik mag toch hopen, dat je hier niet het MAC-adres bedoelt, deze mag je namelijk nooit zomaar wijzigen aangezien deze uniek moet zijn voor het netwerk en eigenlijk de gehele wereld. Erg slecht advies, als je dit inderdaad bedoeld. Misschien bedoel je de hostname?

Hoezo was dit een slecht advies? Opzich is er niks verkeerds mee zolang de aanmerking erbij was geplaatst dat dit het beste een MAC adres kan zijn van een apparaat al in het bezit van deze persoon. Veel routers/modems geven de mogelijkheid om dit automatisch te doen (ik geloof zelfs de Ubee die Ziggo levert) en dus het MAC adres te clonen van een PC/Tablet/Telefoon. Hoe groot is de kans dan dat nou net dat apparaat direct aan het internet wordt gehangen? Als de TS dan na 2 maanden het MAC adres terugzet is er daarnaast ook geen probleem meer.

Daarnaast veroorzaakt een dubbel MAC-adres in de huidige internet infrastructuur ook geen problemen meer, je modem krijgt enkel geen IP toegewezen.

Harde woorden aan G4H, terwijl die in mijn ogen onterecht zijn.

[ Voor 11% gewijzigd door Hakulaku op 30-01-2016 19:21 ]

[LongBowNL]

Een DoS/DDoS aanval is ook nog eens illegaal toch? Ik weet niet hoe veel nut het heeft om ook nog eens aangifte te doen.

[_Dune_]

Hakulaku schreef op zaterdag 30 januari 2016 @ 19:15:
[...]


Hoezo was dit een slecht advies? Opzich is er niks verkeerds mee zolang de aanmerking erbij was geplaatst dat dit het beste een MAC adres kan zijn van een apparaat al in het bezit van deze persoon. Veel routers/modems geven de mogelijkheid om dit automatisch te doen (ik geloof zelfs de Ubee die Ziggo levert) en dus het MAC adres te clonen van een PC/Tablet/Telefoon. Hoe groot is de kans dan dat nou net dat apparaat direct aan het internet wordt gehangen? Als de TS dan na 2 maanden het MAC adres terugzet is er daarnaast ook geen probleem meer.

Daarnaast veroorzaakt een dubbel MAC-adres in de huidige internet infrastructuur ook geen problemen meer, je modem krijgt enkel geen IP toegewezen.

Harde woorden aan G4H, terwijl die in mijn ogen onterecht zijn.

Heb je de overige reacties ook gelezen? Daarnaast geef je zelf al aan dat met dit advies het goed mogelijk is dat TS helemaal geen IP adres meer krijgt. Dan mag hij dus met dit advies weer gaan uitzoeken wat daar weer achter zit.

Voor TS, het lijkt mij verstandiger om contact met jouw provider op te nemen en het issue daar voor te leggen. Mogelijk dat er iets geheel anders aan de hand is.

[downtime]

_Dune_ schreef op zaterdag 30 januari 2016 @ 18:42:
[...]


Ik mag toch hopen, dat je hier niet het MAC-adres bedoelt, deze mag je namelijk nooit zomaar wijzigen aangezien deze uniek moet zijn voor het netwerk en eigenlijk de gehele wereld. Erg slecht advies, als je dit inderdaad bedoeld. Misschien bedoel je de hostname?

Zo slecht is dat advies niet. De kans dat je twee keer hetzelfde MAC-adres in een netwerk hebt is astronomisch klein vooral als je zorgt dat de eerste 6 tekens van de nieuwe MAC iets compleet anders zijn dan van de oude MAC. Aangezien een ISP natuurlijk een boel routers van dezelfde leverancier uitgeeft is de kans op dubbele adressen natuurlijk wel iets groter als je een MAC kiest die veel op de oude MAC lijkt.

Een MAC-adres hoeft niet wereldwijd uniek te zijn. Voorbij de router van je ISP ziet men alleen nog maar je IP-adres.

[NoFearCreations]

Ziggo bellen dat je box kapot is, harde schijf ratelt ofzo, en dat je een andere wilt. Aangeven dat je vrijwel nooit thuis bent, en ze dus geen monteur kunnen sturen. Telefoon miep zal niet mee willen werken, dus naar bedrijfsleider vragen.

[Hakulaku]

_Dune_ schreef op zaterdag 30 januari 2016 @ 19:38:
[...]


Heb je de overige reacties ook gelezen? Daarnaast geef je zelf al aan dat met dit advies het goed mogelijk is dat TS helemaal geen IP adres meer krijgt. Dan mag hij dus met dit advies weer gaan uitzoeken wat daar weer achter zit.

Voor TS, het lijkt mij verstandiger om contact met jouw provider op te nemen en het issue daar voor te leggen. Mogelijk dat er iets geheel anders aan de hand is.

Waar doel je precies op?

Ik ben het met je eens er extra informatie bij had gemogen maar om het advies direct slecht te noemen en daarbij maar een simpele beargumentatie te geven... Ik had meer van een moderator verwacht.

De netste manier is natuurlijk om contact op te nemen met de ISP maar bij spoed, tja dan is je MAC adres veranderen toch de beste oplossing. Daarbij kan je natuurlijk het beste (zoals eerder in dit topic geschreven) het MAC adres van een defecte/niet aangesloten netwerk apparaat gebruiken.

[ Voor 8% gewijzigd door Hakulaku op 30-01-2016 20:17 ]

[Boudewijn]

NoFearCreations schreef op zaterdag 30 januari 2016 @ 20:05:
Ziggo bellen dat je box kapot is, harde schijf ratelt ofzo, en dat je een andere wilt. Aangeven dat je vrijwel nooit thuis bent, en ze dus geen monteur kunnen sturen. Telefoon miep zal niet mee willen werken, dus naar bedrijfsleider vragen.

Dan heb je gefraudeerd, over iemand heen gelopen en nodeloze kosten gemaakt en morgen zou de 'DDoS' weer verder gaan. Laat de Ts eerst nou eens een goede diagnose stellen voor men andere plannen maakt...


Hij geeft immers zelf aan het niet echt te weten.

[ Voor 4% gewijzigd door Boudewijn op 30-01-2016 21:00 ]

[liberque]

Gebruikt Ziggo niet het MAC om je te identificeren op het netwerk en krijg je bij een ander MAC adres niet een soort inlogprocedure? Zo nee - dan kan je het MAC adres gewoon aanpassen en zal de DHCP server je automatisch een ander IP adres toekennen. Zo ja - dan krijg je gewoon een inlogvenster waar die om accountgegevens gaat vragen (die je gewoon zelf kan invullen) of er gebeurt helemaal niets.

Maaaaarr... dat helpt natuurlijk allemaal geen sikkepit. Teamspeak zal als je geen DNS gebruikt toch ergens zijn IP moeten advertisen of je moet het zelf bekend maken: gevolg je bent weer vindbaar voor die klier en die gaat vrolijk door... en dan krijg je een kat en muis spelletje....daar wil je je tijd niet insteken. Dus in plaats van je te verbergen ga je de confrontatie lekker aan...

Hoe? Dat ligt een beetje aan je setup. Draaien die servers op een Windowsbox of Linuxbox? Waar word je mee geflood? Simpele pings? Dan gewoon je firewall opdracht geven om ping requests te negeren. Flood ie je teamspeak server met request.. dan gewoon de max. connecties throttlen. Het lijkt me iig sterk dat het om een distributed dos gaat en in dat geval zijn er legio oplossingen beschikbaar met behulp van een beetje goede firewall. De meest simpele oplossing is bv. (als je op een asynchrone verbinding zit) is gewoon je maximum upload beperken. Laat wat meer over je setup weten dan hoeven we iig niet te raden

[Ben(V)]

Beetje onzin om aan je lan kant een macadress te wijzigen.
Een modem heeft twee macadressen, eentje aan de wan kant en eentje aan de lan kant.
Die aan de lan kant kun je soms wijzigen, die aan de wan kant nooit.

Als je die zou wijzigen zou je geen ipadres van ziggo meer krijgen want op wijkniveau zijn die geregistreerd en alleen geregistreerde mac adressen krijgen en ipadress van de ziggo dhcp server.

Als je van een monteur een nieuw modem krijgt moet hij dat ook altijd doorgeven adres krijg je modem geen ipadres.

[liberque]

Een modem heeft twee macadressen, eentje aan de wan kant en eentje aan de lan kant.
Die aan de kan kant kun je soms wijzigen, die aan de wan kant nooit.

Dat ligt een beetje aan de modem, maar bij Cisco's (toch heel veel gebruikt icm docsis 3.0) is het wan mac adres heel eenvoudig te wijzigen hoor. Enige nadeel wat je krijgt is dat je dan de modem geheel transparant moet laten werken en je alle functionaliteit (wifi / voip etc) van de modem verliest.

Als je van een monteur een nieuw modem krijgt moet hij dat ook altijd doorgeven adres krijg je modem geen ipadres.

Dit kan je zelf ook heel goed doen... er zijn niet voor niets DHZ pakketten. Je registreert de modem gewoon heel simpel via een speciale pagina waar je de klantgegevens invult. Moet je wel even weten welke pagina het is...

..maar nogmaals... het lost niks op.. dus ik raad het veranderen van het MAC niet aan...

[Ben(V)]

Die acivering werkt echt niet zomaar.
Als je het zelf doet duurt het langer dan als een monteur belt.
Gewoon omdat er dan eerst het een en ander gecontroleerd wordt.

Geen idee wat voor Cisco je het over hebt maar bij mijn cisco kunt je het wan macadress echt niet wijzigen.

[downtime]

Ben(V) schreef op zaterdag 30 januari 2016 @ 21:29:
Geen idee wat voor Cisco je het over hebt maar bij mijn cisco kunt je het wan ipadress echt niet wijzigen.

Hij bedoelt dat je de Cisco dan in bridge modus moet laten werken. Dan wordt het MAC-adres van de router erachter gebruikt.

[Ben(V)]

Aha dat snap ik, je wijzigd dan het lan mac adress.
Toch betwijfel ik of het zo werkt.

Ik denk niet dat ziggo het een goed idee vind om willekeurige macadressen op z'n netwerk te hebben.

Het is natuurlijk wel zo dat het een mpls netwerk is en dat alles contained wordt tot een wijkcentrale maar toch, maar als een grapjas het macadress van z'n buurman erin zet, ligt ineens de hele wijk plat.

[ Voor 77% gewijzigd door Ben(V) op 30-01-2016 21:48 ]

[liberque]

Die acivering werkt echt niet zomaar.
Als je het zelf doet duurt het langer dan als een monteur belt.
Gewoon omdat er dan eerst het een en ander gecontroleerd wordt.

Monteurs die naar de kabeloperator bellen om een MAC adres door te geven in zooo eind jaren '90. Die hebben gewoon een webinterface waar de DhZ'ert ook gewoon naar doorverwezen wordt in zijn manual. De DHZ pagina van Zeelandnet bijvoorbeeld (tja ik kom uit Zeeland): https://sps.zeelandnet.nl/dhz/

Aha dat snap ik, je wijzigd dan het lan mac adress.

Nee, je wijzigt dan niet het lan mac.. je GEBRUIKT het lan mac dan als wan mac.

Het is natuurlijk wel zo dat het een mpls netwerk is en dat alles contained wordt tot een wijkcentrale maar toch, maar als een grapjas het macadress van z'n buurman erin zet, ligt ineens de hele wijk plat.

Als er een MAC collission plaats vind dan gaat echt niet de hele wijk plat hoor... in het voorbeeld van je buurman wordt je buurman er hoogstens afgedonderd omdat het gezien wordt als een nieuw request (waarop die zich opnieuw probeert aan te melden en jij er afgedonderd wordt in een infinite loop), krijg jij een foutmelding en kom je er niet op of gaan ze allebei op zwart.. maar de hele wijk: neee... die netwerkjes zijn best wel hufter-proof hoor en in 99.9% van de gevallen wordt jouw aanmelding gewoon geweigerd als het MAC al in gebruik is.

[ Voor 25% gewijzigd door liberque op 30-01-2016 22:35 ]

[Floris112]

Hartelijk bedankt allemaal voor de reacties:

- Ik zal uberhaupt nooit meer een server gaan hosten.

- Ondertussen is het zielige figuur begonnen met echt DDOS aanvallen waardoor het de verbinding er helemaal uit ligt. Ondertussen is dat al 2 uur achter elkaar. Morgenochtend Ziggo maar bellen en zeggen dat mijn internet eruit ligt en dat zijn het maar moeten gaan oplossen.

[lazybones]

Ik kijk er misschien overheen, maar ik zie nergens bewijs dat het om een DDOS aanval gaat. Waarom denk je dat dat het geval is ? Mogelijk heb je gewoon een storing.

[redfoxert]

Floris112 schreef op vrijdag 29 januari 2016 @ 22:37:
Mijn vraag
Wat kan ik doen om een nieuw IP te krijgen en de DDOS te stoppen?

Wellicht niet meer relevant maar: Afgelopen een storing aan mn router gehad waardoor internet er voor minimaal 6 uur uit lag. Heb nu een compleet ander IP gekregen na 6 jaar ofzo een vast IP te hebben gehad.

De 8 dagen die ik hier dus eerder gezien heb gaan niet (altijd) op.

[AW_Bos]

Beste is om niks over een DDOS te zeggen. Laat ze daar zelf maar eens achter komen.
Gewoon de noob spelen aan de klantenservice.

[liberque]

Hartelijk bedankt allemaal voor de reacties:

- Ik zal uberhaupt nooit meer een server gaan hosten.

- Ondertussen is het zielige figuur begonnen met echt DDOS aanvallen waardoor het de verbinding er helemaal uit ligt. Ondertussen is dat al 2 uur achter elkaar. Morgenochtend Ziggo maar bellen en zeggen dat mijn internet eruit ligt en dat zijn het maar moeten gaan oplossen.

Puntje 1 is natuurlijk jezelf gewonnen geven.

Puntje 2 zoals AW_Bos al zegt: niks zeggen over een dDOS, want als Ziggo hier hinder van ondervonden heeft kan jij aansprakelijk gesteld worden. Het draaien van eigen servers op een particuliere verbinden wordt dan wel gedoogd, maar wordt nog steeds niet officieel toegestaan. Hier zijn immers zakelijke abonnementen voor.

Echter wat lazybones ook al zegt: hoe weet jij zo zeker dat het om een dDOS gaat? Distributed aanvallen gebeuren meestal middels een botnet (tientallen - honderden of zelfs duizenden ip's) en is zwaar strafbaar. (economich delict) Wat ik me daarbij afvraag is waarom iemand zo'n moeite gaat nemen om een Teamspeak en//of Minecraft servertje offline te halen. In veel gevallen betreft het dus echt een zielig persoon waar je een aanvaring mee heb gehad in een spel of op je Teamspeak server en dan is dus bij jou wel degelijk bekend wie het is. Doe daar dan gewoon aangifte tegen bij de politie! De kans dat het echt een distributed attack is acht ik nog steeds erg klein: niemand gaat zijn botnet riskeren uit een persoonlijke vendetta. Het is waarschijnlijk gewoon een scriptkiddo of iemand die op IRC zit te lurken en met wat vriendjes jou aan het pesten is.. maar nogmaals in dat geval moet hij bij jou bekend zijn.

[edit]

Nog een kleine tip er vanuitgaand dat je gewoon die servermeuk op een Windows bak hebt draaien is een Ubuntu live CD downloaden en je PC daarmee booten en dan gewoon een nachtje laten draaien. Kijken of er dan nog iets gebeurt. Op deze manier kan je veel scriptkiddo's meestal wel het zwijgen opleggen. Ik heb je al eerder gevraagd wat je setup is, maar daar ga je niet op in dus het blijft gissen.

[ Voor 10% gewijzigd door liberque op 30-01-2016 23:19 ]

[liberque]

redfoxert schreef op zaterdag 30 januari 2016 @ 22:59:
[...]


Wellicht niet meer relevant maar: Afgelopen een storing aan mn router gehad waardoor internet er voor minimaal 6 uur uit lag. Heb nu een compleet ander IP gekregen na 6 jaar ofzo een vast IP te hebben gehad.

De 8 dagen die ik hier dus eerder gezien heb gaan niet (altijd) op.

Er bestaat een TTL (Time to Live) voordat een refresh wordt gedaan op de DHCP servers. Als de TTL 8 dagen is kan het wel eens gebeuren dat na 7 dagen en 18 uur je verbinding er de brui aan geeft... Er is dan nog 6 uur TTL over en zodra die verstreken is geeft de DHCP server het IP adres vrij. Het lijkt dan wellicht dat jij maar 6 uur offline moest zijn voor een nieuw IP, maar feitelijk is dat natuurlijk niet waar. Hoe hoger de TTL van een DHCP-lease - hoe groter de kans dat je jarenlang hetzelfde ip krijgt (tenzij je net de pech heb voor het einde van de TTL een storing te krijgen)

[downtime]

liberque schreef op zaterdag 30 januari 2016 @ 23:28:
Er bestaat een TTL (Time to Live) voordat een refresh wordt gedaan op de DHCP servers. Als de TTL 8 dagen is kan het wel eens gebeuren dat na 7 dagen en 18 uur je verbinding er de brui aan geeft... Er is dan nog 6 uur TTL over en zodra die verstreken is geeft de DHCP server het IP adres vrij. Het lijkt dan wellicht dat jij maar 6 uur offline moest zijn voor een nieuw IP, maar feitelijk is dat natuurlijk niet waar. Hoe hoger de TTL van een DHCP-lease - hoe groter de kans dat je jarenlang hetzelfde ip krijgt (tenzij je net de pech heb voor het einde van de TTL een storing te krijgen)

Als de TTL op een DHCP lease 8 dagen is dan zal de DHCP client al na 50% (4 dagen) proberen om de lease weer te vernieuwen. Hij zou het probleem wat jij beschrijft alleen kunnen hebben als zijn internet er meer dan 4 dagen uit ligt.

[liberque]

Als de TTL op een DHCP lease 8 dagen is dan zal de DHCP client al na 50% (4 dagen) proberen om de lease weer te vernieuwen. Hij zou het probleem wat jij beschrijft alleen kunnen hebben als zijn internet er meer dan 4 dagen uit ligt.

True that, maar als om een of andere reden het niet lukt op 50% van de TTL dan gaat hij het pas weer proberen bij 75% .. dus zijn internet hoeft er niet meer dan 4 dagen uit te liggen... maar net op de renew pogingen offline te zijn... maar je hebt gelijk.. ik schetste het iets te zwartt/wit

[downtime]

liberque schreef op zaterdag 30 januari 2016 @ 23:59:
True that, maar als om een of andere reden het niet lukt op 50% van de TTL dan gaat hij het pas weer proberen bij 75% .. dus zijn internet hoeft er niet meer dan 4 dagen uit te liggen... maar net op de renew pogingen offline te zijn... maar je hebt gelijk.. ik schetste het iets te zwartt/wit

Het is inderdaad denkbaar dat "internet deed het 6 uur niet" in werkelijkheid betekent "DHCP deed het al 4 dagen niet". In theorie kan het 4 dagen duren voordat de eerste klanten problemen krijgen en de helpdesk bellen.

[Floris112]

Update:

- Afspraak gemaakt bij de Politie om aangifte te doen (zal wel weinig uithalen, maar toch)

- Inmiddels weer internet op laptop maar dan 25mbit ipv de normale 120mbit down. Snappen jullie hoe dat kan? Op PC nog helemaal geen internet. Heb alle routers, switches etc. gereset. Hebben jullie hier een verklaring voor? Kun je met een (D)DOS blijvende schade aanbrengen?

- Probeer al de hele ochtend Ziggo te bellen maar ik blijf in een oneindige loop van keuzemenu's hangen.

[redfoxert]

Floris112 schreef op zondag 31 januari 2016 @ 10:01:
Update:
Kun je met een (D)DOS blijvende schade aanbrengen? Nee

Als je via dezelfde verbinding op je laptop wel internet hebt, is dat dan Bedraad of Wireless? Hoe heb je op je pc internet? Bedraag of Wireless?

Wat gebeurt er als je de pc rechtstreeks op je modem aansluit zonder router?

[Boudewijn]

Floris112 schreef op zondag 31 januari 2016 @ 10:01:
Update:

- Afspraak gemaakt bij de Politie om aangifte te doen (zal wel weinig uithalen, maar toch)

Maar hoe ga je nu in hemelsnaam hardmaken dat het een DDoS is? Je zit zo bij oom agent, die het waarschijnlijk ook niet voor 100% snapt, met zelf ook een gebrek aan kennis en wat vage vermoedens.... of we missen hier wat informatie.

Toch?

[Floris112]

redfoxert schreef op zondag 31 januari 2016 @ 10:18:
[...]


Als je via dezelfde verbinding op je laptop wel internet hebt, is dat dan Bedraad of Wireless? Hoe heb je op je pc internet? Bedraag of Wireless?

Wat gebeurt er als je de pc rechtstreeks op je modem aansluit zonder router?

Mijn netwerk ziet er als volgt uit: Ziggo modemrouter Technicolor --> Cisco router waar de DHCP server uit staat --> PC (bedraad) en Chromebook (wireless).

En dan vindt ik het nog steeds vreemd dat de Chromebook zoveel lagere snelheden haalt dan normaal. Normaal 120mbit op 5Ghz en nu maar 25mbit max. Is de aanval dan nog bezig?

[Floris112]

Boudewijn schreef op zondag 31 januari 2016 @ 10:27:
[...]

Maar hoe ga je nu in hemelsnaam hardmaken dat het een DDoS is? Je zit zo bij oom agent, die het waarschijnlijk ook niet voor 100% snapt, met zelf ook een gebrek aan kennis en wat vage vermoedens.... of we missen hier wat informatie.

Toch?

Klopt, ik kan wel een Wireshark file aanleveren die alles gelogd heeft maar zelf kan ik die niet analyseren. Ik heb daar de kennis niet voor. (Als een van jullie daar wel de kennis voor heeft kan ik hem online zetten...)

Of het nou om een DoS, DDoS of gewoon pingen gaat doet er niet toe. Mijn verbinding wordt gewoon platgelegd. Volgens mij is het allemaal strafbaar.

[Boudewijn]

En je weet zeker dat het geen technische storing of misconfiguratie is?

[kamerplant]

Floris112 schreef op zondag 31 januari 2016 @ 10:35:
[...]


Of het nou om een DoS, DDoS of gewoon pingen gaat doet er niet toe. Mijn verbinding wordt gewoon platgelegd. Volgens mij is het allemaal strafbaar.

Dat doet er alles toe, gezien een normaal pingetje nooit de oorzaak kan zijn van je storingen

[Floris112]

Dat ik eerder of zelfs nu nog wordt aangevallen staat bij mij vast. Die zielige gozer (26) die dit doet heb ik zijn adminrechten op mijn Minecraft en Teamspeak server ontnomen omdat hij zat te cheaten en sindsdien heb ik af en toe 30 seconden tot 1 minuut geen internet en het begint met een extreme ms. Sinds gisteravond is de aanval extreem geworden en duurt deze meerdere uren. (wellicht is deze nu nog aan de gang op de een of andere manier)

Hij heeft in het verleden ook stoere verhalen verteld dat hij iemand zijn verbinding kan platleggen en dat hij dat ook zal doen als iemand hem tegenwerkt.

[Floris112]

@Datafeest; in ieder geval kunnen we aan de resultaten (een platliggende verbinding) vaststellen dat het geen normaal pingetje meer is.

[Boudewijn]

Okay prima het is een DDoS want iemand op internet zegt het. Laat je aub weten wat de politie ermee gaat doen? Ben wel benieuwd... of cynisch.

[Floris112]

Boudewijn schreef op zondag 31 januari 2016 @ 12:18:
Okay prima het is een DDoS want iemand op internet zegt het. Laat je aub weten wat de politie ermee gaat doen? Ben wel benieuwd... of cynisch.

Ik ben net zo sceptisch als jij. Ik geloof ook niet dat de politie er iets mee zal doen. Ook al lever ik bewijs aan. Maar het is net zoals bij een gestolen fiets, het heeft persoonlijk geen zin maar als ze veel meldingen binnen krijgen zullen ze het misschien meer prioriteit geven.

[liberque]

Maar het is net zoals bij een gestolen fiets, het heeft persoonlijk geen zin maar als ze veel meldingen binnen krijgen zullen ze het misschien meer prioriteit geven.

Het is meer om zichzelf in te dekken. Mocht het dDOS zijn dan heeft Ziggo daar wellicht ook last van en kunnen ze wel eens een zondebok willen aanwijzen. TS kan dan iig aantonen dat hij al aangifte gedaan heeft. Staat die juridisch wat sterker.

Inmiddels weer internet op laptop maar dan 25mbit ipv de normale 120mbit down. Snappen jullie hoe dat kan? Op PC nog helemaal geen internet. Heb alle routers, switches etc. gereset. Hebben jullie hier een verklaring voor? Kun je met een (D)DOS blijvende schade aanbrengen?

Het lijkt mij onmogelijk dat je een dDOS aanval hebt waarvan PC A dan plat ligt en PC B het wel doet... een dDOS is alleen effectief als die heel je router of je effectieve verbinding onderuit haalt. Ik zou eens heel die PC (die nu plat ligt) disconnecten en dan kijken wat de rest doet. Een dDOS brengt geen blijvende schade toe al zou het kunnen zijn dat Ziggo je achteraf automatisch knijpt om een probleem op hun netwerk te resolven. (al is 25mbit dan wel een hele rare knijpwaarde)

Klopt, ik kan wel een Wireshark file aanleveren die alles gelogd heeft maar zelf kan ik die niet analyseren. Ik heb daar de kennis niet voor. (Als een van jullie daar wel de kennis voor heeft kan ik hem online zetten...)

Graag - ik ben benieuwd

Hij heeft in het verleden ook stoere verhalen verteld dat hij iemand zijn verbinding kan platleggen en dat hij dat ook zal doen als iemand hem tegenwerkt.

Niveau script-kiddo dus... ik wil echt niet vervelend zijn maar het lijkt er echt op als ik alles bij elkaar lees dat het niet om een dDOS of zelfs maar een DOS gaat. Grote kans dat die gast gewoon een kwetsbaarheid in de minecraft en/of teamspeaker-server gebruikt waardoor die over hun nek gaan of massaal aan het discoveren zijn. (Dus dat hij niet een DOS doet, maar ervoor zorgt dat je eigen servers massaal connecties gaan openen en zo je internet onderuit gaat).

Voor hetzelfde geld heeft hij via injectie root toegang gekregen en draait er ergens in je /tmp directory iets wat massaal anderen aan het spammen is. Dit gebeurt veel vaker dan een dDOS. Zulke dingen deed ik vroeger toen ik nog jong en stout was ook wel eens (eggdropjes van IRC kanalen zichzelf laten flooden voor een kanaal takeover... ssssst), maar na een uurtje is daar de lol wel van over... laat staan er dagen mee bezig zijn...

[Kabouterplop01]

Dan is het zaak dat je op die minecraft server een wireshark capture draait, dan kun je zien of het incoming, of outgoing traffic is.
Dan kun je precies zien in die capture of er exploits worden afgevuurd, of wat er dan ook gebeurt.

[Floris112]

@liberque: Thanks alle hulp! Ik zal de Wireshark files uploaden en je in PM een linkje sturen. Ik heb naast de Wireshark ook een Syslog file van alle meldingen die modemrouter naar de Syslogwatcher stuurt. Die zitten er ook bij.

- De zielige vent is denk ik op dit moment mij weer elke 10 minuten voor 30 seconden plat aan het leggen. Ik denk dat hij een klein ping-scriptje heeft geschreven ofzo. Ik heb weer een nieuwe Wireshark aangezet.

- Het lijkt inderdaad of ik telkens na een aanvalletje geknepen wordt door Ziggo.

- Ik heb ondertussen Ziggo telefonisch benaderd en verteld dat ik vrijwel geen internet heb. Ze zien "hoge verbindingen" als ze mijn verbinding natrekken. Woensdag komt er een monteur langs.

[Floris112]

Goed nieuws! Ik heb doormiddel van het modem/router in bridge laten zetten en een losse router een MAC adres te laten klonen een ander IP gekregen.
Ik hoop dat er nu geen aanvallen meer komen.

- Nu nog een laatste vraag: Hoe kan ik nu het beste mijn IP verbergen? (Ja, sowieso geen openbare server meer draaien)

[Anoniem: 646678]

Gebruik maken van een VPN.

[GuntherDW]

Boudewijn schreef op zondag 31 januari 2016 @ 10:27:
[...]

Maar hoe ga je nu in hemelsnaam hardmaken dat het een DDoS is? Je zit zo bij oom agent, die het waarschijnlijk ook niet voor 100% snapt, met zelf ook een gebrek aan kennis en wat vage vermoedens.... of we missen hier wat informatie.

Toch?

Spijtig genoeg is dat tegenwoordig iets wat vaak wordt gebruikt/geroepen wordt bij eenders wat voor problemen of hiccups richting het internet.
Je hebt 5 minuten geen internet? "DEY BE DDoSING MY CONNECTIONS".
Vooral het feit dat je wel nog via je laptop online kon (al dan niet met "maar" amper 25 mbit toont aan dat het helemaal geen DDoS is maar die persoon wel handig gebruik kan maken van je issues om je te doen denken dat hij erachter zit .
In het vervolg dus kijken dat je niet zulke kiddo's "aanwerft" .

EDIT: Even verduidelijken: het is vooral de "goedkoopheid" en makkelijkheid om een DDoS voor elkaar te krijgen bij een random booter, inclusief de media aandacht dat er altijd bij gepaard gaat dat het woord zo heen en weer gesmeten wordt.
Sure, je krijgt nog altijd menig sites plat zonder van een booter gebruik te hoeven maken via je thuislijntje, maar dat wil niet zeggen dat elke hiccup ineens een DDoS is.
Heck, je pc heeft statistisch gezien een hogere kans om een zombie te zijn voor een "ouderwetse" botnet dan dat iemand een DDoS op jou persoonlijk afvuurt.

[ Voor 24% gewijzigd door GuntherDW op 31-01-2016 23:37 ]

[G4H]

Eenieder die zei dat het veranderen van het MAC-adres van de router een slecht idee is; op het moment dat je een MAC generator gebruikt is de kans erg klein dat je ooit een apparaat tegenkomt dat hetzelfde MAC-adres heeft als de router. Extern is dat wellicht een kleine mogelijkheid, maar intern is dat echt een kans van niks, zeker omdat je in een huis maximaal 15-20 apparaten aan een router hebt hangen.

[Boudewijn]

Floris112 schreef op zondag 31 januari 2016 @ 12:28:
[...]


Ik ben net zo sceptisch als jij. Ik geloof ook niet dat de politie er iets mee zal doen. Ook al lever ik bewijs aan. Maar het is net zoals bij een gestolen fiets, het heeft persoonlijk geen zin maar als ze veel meldingen binnen krijgen zullen ze het misschien meer prioriteit geven.

Joh ik werk al jaren in de infosec, en heb ook serieuze DDoSen behandeld. ECht serieuze.
De hunch "het is een DDoS want pietje claimt het" is echt geen bewijs. Vergelijk het bijvoorbeeld maar met die meneer die claimt in Syrie mensen te hebben omgelegd, die wordt waarschijnlijk ook niet vervolgd (en dat is andere koek dan een DDoS).
Los van dat: een beetje pingen trekt een verbinding echt niet onderuit. Zelfs niet met 10 man.

Buiten dat: ik heb het al eerder gemeld maar ik mis echt elke technische onderbouwing voor je DDoS claim. De politie kan hier op dit moment ook echt niets mee, los van prioritering en bewijslast.

Floris112 schreef op zondag 31 januari 2016 @ 15:36:
@liberque: Thanks alle hulp! Ik zal de Wireshark files uploaden en je in PM een linkje sturen. Ik heb naast de Wireshark ook een Syslog file van alle meldingen die modemrouter naar de Syslogwatcher stuurt. Die zitten er ook bij.

Goed, je pcap is deel een. Realiseer je je wel dat daar prive data in kan zitten?

- De zielige vent is denk ik op dit moment mij weer elke 10 minuten voor 30 seconden plat aan het leggen. Ik denk dat hij een klein ping-scriptje heeft geschreven ofzo. Ik heb weer een nieuwe Wireshark aangezet.

Lijkt me eerder een bootertje met een gratis trial van 30s . Dat past veel beter in het verhaal dan "een ping-scriptje"

Floris112 schreef op zondag 31 januari 2016 @ 19:08:
- Nu nog een laatste vraag: Hoe kan ik nu het beste mijn IP verbergen? (Ja, sowieso geen openbare server meer draaien)

Tegen wie? Je 'vijand' met wie je peer-to-peer gamet? Lastig, een VPN is relatief traag qua pingtijden. Een proxy werkt niet. Als je gewoon browset ben je niet direct herleidbaar voor zo iemand hoor.

[Boudewijn]

liberque schreef op zondag 31 januari 2016 @ 12:48:

Niveau script-kiddo dus... ik wil echt niet vervelend zijn maar het lijkt er echt op als ik alles bij elkaar lees dat het niet om een dDOS of zelfs maar een DOS gaat. Grote kans dat die gast gewoon een kwetsbaarheid in de minecraft en/of teamspeaker-server gebruikt waardoor die over hun nek gaan of massaal aan het discoveren zijn. (Dus dat hij niet een DOS doet, maar ervoor zorgt dat je eigen servers massaal connecties gaan openen en zo je internet onderuit gaat).

Voor hetzelfde geld heeft hij via injectie root toegang gekregen en draait er ergens in je /tmp directory iets wat massaal anderen aan het spammen is. Dit gebeurt veel vaker dan een dDOS. Zulke dingen deed ik vroeger toen ik nog jong en stout was ook wel eens (eggdropjes van IRC kanalen zichzelf laten flooden voor een kanaal takeover... ssssst), maar na een uurtje is daar de lol wel van over... laat staan er dagen mee bezig zijn...

Goede theorie, maar dat verklaart niet waarom het na 30s stopt. Skiddies blijven meestal doorgaan tot het niet meer gaat. Als je root (of gewoon shell) hebt op een box blijf je bezig tenzij de ISP knijpt.
Daarom zet ik mijn geld in op een trial van een bootertje.

offtopic:
k*t-skiddies.

[liberque]

[deleted]

De logs zijn helaas niet afdoende. Ik had hier een heel relaas gezet over een enkel ip adres wat voor ruim 46% van zijn packages zorgde, maar naar wat napluizen weet ik ook wat daarachter hangt. Ik kijk morgen nog wel een keer goed (het is nu nogal laat) - TS mag vooralsnog zijn PM ook negeren want dat klopt dus niet.

[ Voor 82% gewijzigd door liberque op 01-02-2016 01:24 ]