Router voortdurend onder attack van bepaalde IP adressen

[marix]

Van mijn router (D-Link DIR-855) krijg ik dagelijks (soms meerdere keren per dag!) melding dat mijn log-file vol zit en krijg dan een overzicht van de betreffende activiteiten.
In de meeste gevallen gaat het om geblokkeerde TCP connecties van 188.138.33.48:2076 naar alle porten van mijn IP-address. Is daar wat tegen te doen? Moet mijn provider (Ziggo/UPC) daar wat tegen doen of is het zelf op te lossen?
...

[Mel33]

Hij is van Germany Frankfurt Am Main Plusserver Ag
http://whois.domaintools.com/188.138.33.48
heb je een server draaien?

[Orion84]

Mailtje naar lijkt me een goede optie.

Volgens http://www.tcpiputils.com/browse/ip-address/188.138.33.48 staat ie ook al ergens op een blocklist.

[ Voor 27% gewijzigd door Orion84 op 16-03-2016 14:07 ]

[Koffie]

Anders dan een abuse melding kun je hier vrij weinig tegen doen. Indien mogelijk zou ik dergelijke logging gewoon uitzetten.

[DiedX]

^^ Dit. Zou het kunnen zijn dat je torrents aan hebt gehad?

[Lau-ie]

Wellicht je ziggo router een half uurtje uitzetten. Daarna krijg je waarschijnlijk een nieuw ip toegewezen en kan 188.138.33.48 je hopeljjk niet meer vinden.

Geen server draaien of dynamic dns oid?

[Compizfox]

Tja, "attack"... Het is niets meer dan een computer ergens op het internet die verbinding probeert te maken met die van jou. Dat is niet per se kwaadaardig. Zoals DiedX al noemt kan het aan- en uitzetten van een torrentclient (mits die je poorten opent/sluit via UPnP) al zoiets opleveren.

Los van het feit of het een attack is of niet is er niets aan de hand wat je firewall houdt het gewoon tegen.

EDIT: Oh, las over het stukje "naar alle poorten" heen. In dat geval zal het wel een poortscan zijn. Die zijn meestal wel 'kwaadaardig' ja, maar doodnormaal op het internet. Ga in de firewalllog kijken van elke willekeurige router/firewall in de wereld en je komt wel iets dergelijks tegen.

[ Voor 26% gewijzigd door Compizfox op 16-03-2016 21:39 ]

[marix]

Zou het veroorzaakt kunnen worden door mijn Medion NAS server?

[EricJH]

Het is niet van je NAS server. Je NAS server is op het locale netwerk aangesloten en heeft per definitie geen extern IP adres maar een intern IP adres.

[Wognummer]

PlatoNL schreef op woensdag 16 maart 2016 @ 21:33:
Wellicht je ziggo router een half uurtje uitzetten. Daarna krijg je waarschijnlijk een nieuw ip toegewezen en kan 188.138.33.48 je hopeljjk niet meer vinden.

Geen server draaien of dynamic dns oid?

gewoon het mac van je pc clonen in je d-link even je router en modem resetten en je krijgt een ander IP toegewezen van ziggo, kan het niet zo snel vinden maar is een topic over ergens op tweakers

Ah gevonden Internet vaak plat door DDOS. Hoe nieuw IP? Ziggo

Ik heb zelf ook een d-link ergens in het menu zit de optie om het Mac van je pc te clonen zo is mijn ip probleem van een tijdje gelden ook opgelost

[ Voor 18% gewijzigd door Wognummer op 17-03-2016 06:25 ]

[RGAT]

Wognummer schreef op donderdag 17 maart 2016 @ 06:11:
[...]


gewoon het mac van je pc clonen in je d-link even je router en modem resetten en je krijgt een ander IP toegewezen van ziggo, kan het niet zo snel vinden maar is een topic over ergens op tweakers

Ah gevonden Internet vaak plat door DDOS. Hoe nieuw IP? Ziggo

Ik heb zelf ook een d-link ergens in het menu zit de optie om het Mac van je pc te clonen zo is mijn ip probleem van een tijdje gelden ook opgelost

Zoals in dat topic ook al uitgelegd veranderd Ziggo niet zomaar je IP en heb je wel een dynamisch IP maar blijft het meestal jarenlang hetzelfde.
Als je je modem een paar dagen uit zet en het geluk hebt dat een andere klant van Ziggo jouw oude IP krijgt dan krijg je een ander IP, heb zelf hele vakanties mijn modem uit gehad (tot 4 weken) en nog steeds het oude IP wat ik ooit van Casema kreeg.
Verder zijn het maar poort scans, met een nieuw IP ben je even van degene af die het nu doet, maar morgen is de volgende er weer, hoort er helaas bij op het internet en zolang je geen poorten open hebt staan kan er weinig gebeuren.
Ik zou die log functie wat lager zetten zodat hij niet steeds vol zit met dit soort 'troep'
Of kijk even of je router een optie heeft om dat IP te blacklisten, ben je er ook van af (voor eventjes...)

[ Voor 7% gewijzigd door RGAT op 17-03-2016 06:42 ]

[Dutchdeveloper]

EricJH schreef op donderdag 17 maart 2016 @ 04:58:
Het is niet van je NAS server. Je NAS server is op het locale netwerk aangesloten en heeft per definitie geen extern IP adres maar een intern IP adres.

Bij medion is dat toch wat lastiger, heb er zelf ook 1 gehad. De Nas verbind met de medion services. Als je, bij die van mij, wilt inloggen van buitenaf moet dat via een algemene portal van medion en niet via de Nas zelf.
Dan ga ik naar de site van medion, log in en dan maakt de medion site een verbinding naar mijn nas

[Wognummer]

RGAT schreef op donderdag 17 maart 2016 @ 06:41:
[...]


Zoals in dat topic ook al uitgelegd veranderd Ziggo niet zomaar je IP en heb je wel een dynamisch IP maar blijft het meestal jarenlang hetzelfde.
Als je je modem een paar dagen uit zet en het geluk hebt dat een andere klant van Ziggo jouw oude IP krijgt dan krijg je een ander IP, heb zelf hele vakanties mijn modem uit gehad (tot 4 weken) en nog steeds het oude IP wat ik ooit van Casema kreeg.
Verder zijn het maar poort scans, met een nieuw IP ben je even van degene af die het nu doet, maar morgen is de volgende er weer, hoort er helaas bij op het internet en zolang je geen poorten open hebt staan kan er weinig gebeuren.
Ik zou die log functie wat lager zetten zodat hij niet steeds vol zit met dit soort 'troep'
Of kijk even of je router een optie heeft om dat IP te blacklisten, ben je er ook van af (voor eventjes...)

Zoals je kan lezen op de eerste pagina in dat topic kan hey dus wel (reageer mobiel dus linken naar post is wat lastig)

Als je het Mac adres van je router veranderd (of een andere router=ander Mac) dan krijg je van ziggo een ander extern ip (net getest werkt nog steeds) dus het kan wel

Maar als het probleem dus wel bij hemzelf ligt heeft ie daar weinig aan

[RGAT]

Wognummer schreef op donderdag 17 maart 2016 @ 06:52:
[...]


Zoals je kan lezen op de eerste pagina in dat topic kan hey dus wel (reageer mobiel dus linken naar post is wat lastig)

Als je het Mac adres van je router veranderd (of een andere router=ander Mac) dan krijg je van ziggo een ander extern ip (net getest werkt nog steeds) dus het kan wel

Maar als het probleem dus wel bij hemzelf ligt heeft ie daar weinig aan

My bad, verkeerd begrepen wat je met het Mac gedeelte wou doen
Dan zou dit inderdaad moeten werken zolang Ziggo de IP's op basis van MAC uitdeelt.
Maar dan nog is het niet echt de moeite waard in dit geval (bij een DDoS natuurlijk wel) aangezien elk IP dagelijks zoveel keer poortscans over zich heen krijgt...

[Compizfox]

Dutchdeveloper schreef op donderdag 17 maart 2016 @ 06:48:
[...]


Bij medion is dat toch wat lastiger, heb er zelf ook 1 gehad. De Nas verbind met de medion services. Als je, bij die van mij, wilt inloggen van buitenaf moet dat via een algemene portal van medion en niet via de Nas zelf.
Dan ga ik naar de site van medion, log in en dan maakt de medion site een verbinding naar mijn nas

Ja, en? Dat betekent nog steeds niet dat de NAS een extern IP-adres heeft. Bovendien heeft het niks te maken met de portscans waar TS 'last' van heeft.

@TS: Het is verder niet nodig om je IP te veranderen of iets dergelijks. Het is 'gewoon' een portscan, dat heb je nou eenmaal op het internet. Het kan geen kwaad, je hebt toch niks open staan.

[ Voor 13% gewijzigd door Compizfox op 17-03-2016 13:14 ]

[Dutchdeveloper]

Compizfox schreef op donderdag 17 maart 2016 @ 13:14:
[...]

Ja, en? Dat betekent nog steeds niet dat de NAS een extern IP-adres heeft. Bovendien heeft het niks te maken met de portscans waar TS 'last' van heeft.

Nee, maar het word dus wel van buitenaf benaderd, wat wel weer een gedeelte kan verklaren?
Hoef je niet zo lachwekkend te doen

[kwakzalver]

En een inbound filter op de DIR-855 inschakelen?

Home --> Advanced --> Inbound Filter

Gewoon een DENY rule inzetten voor betreffende IP moet afdoende zijn.