Port forwarding

[PAVS]

Mijn vraag
In mijn router is port forwarding actief voor verschillende poorten, behalve voor poort 22.
UPnP staat uit
In mijn LAN zijn er verschillende apparaten die poort 22 wel open hebben staan.
In de logs van de router zie ik dat er per 5 minuten wel 20 aanvragen worden gelogd voor poort 22, die allemaal worden gekoppeld aan één specifiek intern IP adres(die ook poort 22 heeft openstaan).

1. Waarom toont de R7800 log nu juist dit interne IP adres? Er zijn immers ook andere apparaten die poort 22 open hebben staan.
2. Is deze log regel dan ook een aanwijzing dat het betreffende netwerk verkeer ook daadwerkelijk is doorgeleid naar dat IP adres?
3. Zo ja, kan ik de toegang tot deze poot vanuit de WAN naar LAN dan ook geheel blokkeren? Is dat niet iets dat automatisch zou moeten gebeuren als deze poort niet in de port forwarding tabellen voorkomt?


Relevante software en hardware die ik gebruik
Netgear R7800...

Wat ik al gevonden of geprobeerd heb
...

[MAX3400]

1. En wat doet dat specifieke interne IP-adres? Heeft dat ding internet? Is de rol / OS / browser-agent / whatever interessant of mogelijk identificeerbaar?

2. Geen idee; als je poort 22 open hebt, moet je de logging op het device openen. Of een pro-firewall met logging.

3. Als je een beetje router/firewall hebt: gewoon heel poort 22 inkomend blokkeren.

[Ben(V)]

poort 22 openstaan kan helemaal niet, dat is een onzin kreet.
Je kunt in een router poorten forwarden naar een ipadres op je lan en in devices kun je applicaties hebben die iets doen met verkeer van of naar een poort, maar openzetten is onzin.
Alleen een firewall kan zoiets, maar dan spreken we van blokkeren of doorlaten van verkeer en niet van openzetten.

Overigens logt een router normaal gesproken het verkeer dat op het lan blijft helemaal niet, enkel het verkeer dat gerouteerd wordt wordt gelogged.

[Shinji]

Ben(V) schreef op donderdag 27 januari 2022 @ 16:59:
poort 22 openstaan kan helemaal niet, dat is een onzin kreet.
Je kunt in een router poorten forwarden naar een ipadres op je lan en in devices kun je applicaties hebben die iets doen met verkeer van of naar een poort, maar openzetten is onzin.
Alleen een firewall kan zoiets, maar dan spreken we van blokkeren of doorlaten van verkeer en niet van openzetten.

Overigens logt een router normaal gesproken het verkeer dat op het lan blijft helemaal niet, enkel het verkeer dat gerouteerd wordt wordt gelogged.

Er zijn ook routers die je middels SSH kan beheren hoor en dan kan je ook SSH open zetten op interface x y of z.

En daarbij, blokkeren of doorlaten van verkeer of dichtzetten / openzetten van een poort zijn gewoon synoniem. Ik kan er nog wel een aantal bedenken die hetzelfde betekenen: permit / deny, accept / drop.

Bepaalde termen worden in een bepaalde context wellicht vaker / minder vaak gebruikt, maar in wezen gaat het over hetzelfde.

[Voor 18% gewijzigd door Shinji op 27-01-2022 20:30]

[Ben(V)]

Openzetten van een poort blijft een non term, ook als je het over ssh van een router hebt.
Wat je dan doet is een shell opstarten die inkomende data op poort 22 gaat verwerken, heeft niets met openzetten te maken.

Wat je met het gebruik van verkeerde termen bewerksteld is dat het verkeerde denkpatronen maak over hoe dingen werken.

[donnie1992]

Ben(V) schreef op donderdag 27 januari 2022 @ 22:01:
Openzetten van een poort blijft een non term, ook als je het over ssh van een router hebt.
Wat je dan doet is een shell opstarten die inkomende data op poort 22 gaat verwerken, heeft niets met openzetten te maken.

Wat je met het gebruik van verkeerde termen bewerksteld is dat het verkeerde denkpatronen maak over hoe dingen werken.

Ok Ben.
Vertel dan eens hoe je een ssh sessie start op een apparaat met een "dichte" poort ?

[MarkyB]

donnie1992 schreef op donderdag 27 januari 2022 @ 22:17:
[...]


Ok Ben.
Vertel dan eens hoe je een ssh sessie start op een apparaat met een "dichte" poort ?

Firewall aanpassen of uitschakelen.

[Brahiewahiewa]

PAVS schreef op donderdag 27 januari 2022 @ 15:49:
...
1. Waarom toont de R7800 log nu juist dit interne IP adres? Er zijn immers ook andere apparaten die poort 22 open hebben staan...

Welke firmware versie draai je op je netgear? Was toch een tijdje geleden een beveiligings issue met netgear routers?

...
2. Is deze log regel dan ook een aanwijzing dat het betreffende netwerk verkeer ook daadwerkelijk is doorgeleid naar dat IP adres?...

Daar lijkt het wel verdacht veel op

...
3. Zo ja, kan ik de toegang tot deze poot vanuit de WAN naar LAN dan ook geheel blokkeren? Is dat niet iets dat automatisch zou moeten gebeuren als deze poort niet in de port forwarding tabellen voorkomt?...

Je zou kunnen proberen om port 22 op de WAN te blokkeren.
Maar zoals gezegd: het lijkt alsof je router gehackt is. Als jij geen port-forward ziet en toch wordt er geforward naar een intern adres, is dat verdacht.
En misschien heeft de onverlaat ook wel je firewall gehackt. Ik zou een factory-reset doen en dan de laatste firmware installeren. Daarna testen of port 22 nog steeds geforward wordt

[PAVS]

Dank allemaal. Ben het wel eens met Ben. Puur technisch heeft hij gelijk, de router stuurt verkeer op een poort door naar de betreffende machine (of niet). Maar de poort op deze machine zet je dan wel weer open of dicht (of een proces doet dit).

Vanzelfsprekend draai ik de laatste firmware.

Met de laatste zin van Ben zijn eerste reactie ben ik toch eens verder gaan kijken, want dit gedrag is gewoon vreemd als de poort niet wordt doorgeleid en ook geen UPnP actief is. Inmiddels ben ik er ook achter waar mijn (domme) fout zat, toevallig is het nu poort 22 omdat daarop veel verkeer plaatsvindt (ook dat je niet wilt hebben, maar de betreffende machine stond in de DMZ van de router en kreeg dus al het niet routeerbare verkeer. Ik heb dit nu uitgeschakeld en tevens de SSH op de betreffende machine uitgeschakeld. De logs blijven gelijk een stuk leger.

Dank alvast voor het meedenken.

[Voor 3% gewijzigd door PAVS op 27-01-2022 23:27. Reden: verduidelijking]

[Brahiewahiewa]

PAVS schreef op donderdag 27 januari 2022 @ 23:25:
... maar de betreffende machine stond in de DMZ van de router ...

Oh ja, dat kon ook nog ;o)

[Ben(V)]

donnie1992 schreef op donderdag 27 januari 2022 @ 22:17:
[...]


Ok Ben.
Vertel dan eens hoe je een ssh sessie start op een apparaat met een "dichte" poort ?

Ofwel er draait een shell op die router die data op poort 22 afhandelt, ofwel je moet die shell opstarten via de webinterface, waarna die shell dan de data via die poort afhandelt.
En een shell is gewoon een software applicatie.

Heeft helemaal niets met open of dicht te maken.

[Shinji]

Technisch helemaal prima, maar jij zegt ook als je naar iemand toe rijdt: "ik ga even het gas en rempedaal (eventueel koppeling) met variabele krachten indrukken met mijn voeten en met mijn handen draai ik aan het stuur."

Zulk soort versimpelingen van de werkelijkheid doen totaal geen afbreuk aan kennis hoe iets precies werkt óf het is voor de persoon niet relevant hoe het exact werkt.

Het openen van een poort is gewoon algemeen geaccepteerde taal voor dit proces.

[rens-br]

Zullen we de discussie over de exacte definitie van het 'open van poorten' dan wel 'forwarden van poorten' even laten voor wat het is? Ik denk dat we allemaal wel weten waar het over gaat en het helpt de TS niet echt bij zijn hulpvraag.

Graag weer ontopic.