[HA] Veel ongewenste "bezoekers" op mijn publieke HA

[SMGGM]

Ik ben wat benieuwd naar jullie ervaringen en wat ik verder nog kan doen.
Ik heb een HA installatie en heb deze een paar weken geleden "op internet gezet" zodat ik van buitenhuis hieraan kan. Ik maak gebruik van Cloudflare en freenom om dit mogelijk te maken.

Lange tijd heb ik HA enkel intern gehouden vanwege het risico op niet uitgenodigde gasten die hierop zouden komen. Heb finaal toch de stap gezet om dit te doen omdat het mij interessant leek.
Misschien een paar dagen na dit te doen kreeg ik een notificatie in HA van een mislukte login poging (misschien wat naïef verschoten hoe snel dit was). Ik heb toen meteen in Cloudflare de logs wat zitten nakijken en daar zag ik dat ik al wat "bezoekers" zat aan te trekken. Naast "palo alto" dat dagelijks een bezoekje brengt krijg ik veel bezoekers van Amerika en de UK die URL's zitten te testen (aan de URL te zien, waren ze op zoek naar een Wordpress kwestbaarheden of slechte configs).
Een simpele Google search op internet naar de IP's leert ook dat andere mensen gelijkaardige ervaringen delen over die IP's (vaak met feedback dat ze scannen naar publieke configs enz).

Ik heb meteen actie ondernomen en heb volgende dingen ingeschakeld (of waren al actief):

• 2FA stond sowieso al aan op zowel HA als Cloudflare
• Na 3 mislukte login pogingen gaat HA het IP automatisch blokkeren
• Enkel België is als land toegelaten verbinding te maken (al de rest wordt door Cloudflare geblokkeerd)
• De URL die ik heb genomen is een zeer cryptische. Ik heb simpelweg een password generator gebruikt om een URL te maken voor mij, ik dacht alvast zo geen verdwaalde bezoeker te zien ofzo want wie gaat er nu iets in de aard van lr8Q5CxAoTaQIKzUapRN per ongeluk typen als URL?

Na dit door te voeren zag ik in de firewall logs van Cloudflare dat het ongewenst bezoek tegen de lamp begon te lopen en enkele dagen later had ik geen verkeer meer.
Vandaag log ik nog eens in en zie ik plots dat ik op maandag 129 requests heb gekregen (die allemaal geblokkeerd zijn door de strikte "BE only" regel) maar naast enkel Amerika/UK komen ze nu ook uit landen als India, Singapore, Rusland. Daarnaast komen ze ook fel wat dichter want ook Frankrijk, Nederland en (vooral) Duitsland komt in de logs terecht.
Belgische bezoekers (buiten mezelf) zie ik momenteel nog niet.

Het is duidelijk dat die cryptische URL niets uitmaakt (misschien zelf contraproductief). Is het zinvoller dit te wijzigen?
Ik gebruik een .ml domein (freenom). Zou dit een reden kunnen zijn en is het beter als ik een simpel .eu of .be domeintje neem?
Zijn er nog acties die ik kan ondernemen ter beveiliging (eventueel wat opties in Cloudflare)? Momenteel is de "block alle niet BE landen" zeer effectief al is de vraag hoe lang het zal duren voordat men door heeft dat BE toch toegelaten is.
Tot slot, is dit normaal? Ervaren jullie hetzelfde?

Aan allen die hiervan verschieten, best ook je eigen install nakijken
Bedankt alvast

[ Voor 7% gewijzigd door SMGGM op 21-09-2022 14:35 ]

[ImDion]

Ik heb dit dilemma ook gehad, heb toen besloten om een VPN naar mijn thuisnetwerk te realiseren.

Als ik dit lees heb je de juiste maatregelen al genomen, wellicht zijn er mede-tweakers met meer input

[Anoniem: 30722]

Tip: Hang nooit dit soort tools aan Internet!
Tip 2: zet een VPN op voor als je er van buiten huis bij wilt.
TIp3: Als je de VPN opzet voor alleen verkeer naar huis, je internet er dus niet overheen, kan hij altijd aan blijven staan

[ Voor 36% gewijzigd door Anoniem: 30722 op 21-09-2022 14:38 . Reden: Tip 3 ]

[Septillion]

Er zijn echt ontiegelijk veel IP scanners. Dus ik zou me juist zorgen maken als je die niet zag. Zolang ze netjes geblokkeerd worden zou ik me er geen zorgen over maken. Pas als je echt geblokkeerde IP's gaat zien in HA (aka, werkelijke inlogpogingen) dan wel.

Wil je echt veilig dan natuurlijk via een VPN werken. Maar feitelijk is dat verschuiven van de eerste defensie want die krijgt dan de scanners. Maar goed, veilige verbindingen opzetten is natuurlijk wel iets meer de primaire taak van een VPN dan van HA.

[epicmieltime]

Zoals @Septillion vermeldt, zal het opzetten van een VPN de "ongewenste bezoekers" verschuiven van HA naar de VPN. Dit doordat je nog steeds een poort moet openen op je router met het internet.

Als alternatief kun je gebruik maken van een (gratis) Cloudflare Tunnel. Hiermee maak je verbinding vanuit jouw lokale server met de dichtst bijzijnde edge server van Cloudflare. Doordat de connectie geopend wordt vanuit jouw server moet je geen poorten openen op je router (die dus ook niet gevonden kunnen worden door ip scanners). Als vereiste moet je de DNS van je domein beheren met Cloudflare om het verkeer te kunnen forwarden door deze tunnel.https://developers.cloudf...connections/connect-apps/

Dit heeft wel als nadeel dat Cloudflare optreedt als man-in-the-middle en je jouw vertrouwen bij hen legt. Indien je Cloudflare niet met jouw privacy vertrouwt, kun je zelf een server huren bij een cloudprovider en een gelijkaardige tunnel opzetten met open-source software, bv https://github.com/gravitl/netmaker.

[SMGGM]

@epicmieltime de setup die ik momenteel heb is de Cloudflare tunnel. Heb dus geen poorten opengezet en gebruik het domein als URL dat ik invoer in de browser.


Bedankt al voor al de reacties. Ik lees dat het best normaal is en dat de waakzaamheid die ik nu heb op zich prima is.
De track van VPN kan ik wel eens bekijken.

[ Voor 34% gewijzigd door SMGGM op 21-09-2022 15:27 ]

[ImDion]

SMGGM schreef op woensdag 21 september 2022 @ 15:16:
@epicmieltime de setup die ik momenteel heb is de Cloudflare tunnel. Heb dus geen poorten opengezet en gebruik het domein als URL dat ik invoer in de browser.


Bedankt al voor al de reacties. Ik lees dat het best normaal is en dat de waakzaamheid die ik nu heb op zich prima is.
De track van VPN kan ik wel eens bekijken.

De iets geavanceerdere routers hebben deze VPN functionaliteit vaak ingebouwd, scheelt je weer een VM o.i.d

[ninjazx9r98]

Omdat ik geen trek had in dit soort gedoe en/of er de tijd niet wilde insteken heb ik gekozen voor de Nabu Casa oplossing waarmee je meteen ook het Home Assistant team ondersteunt.
https://www.nabucasa.com/

[SMGGM]

Nabu Casa is zeker een optie, maar vond (met wat ik er vandaag mee doe) de prijs niet waard.
Heb enkel een paar lampen (die ik eigenlijk al via Google Home kan bedienen omdat deze op de Ikea hub staan), een paar internet radio's en een Android tv aan gekoppeld.

Situatie is dat ik er vandaag mee aan het experimenteren ben in afwachting van mijn woning in opbouw.
VPN in router lijkt me ook een goede optie. Op de locatie waar mijn nieuwe woning komt te staan is glasvezel en zal dan investeren in een router die beter is dan wat de ISP mij momenteel geeft.

Ik wilde nu vooral ervaring opdoen nu er nog niets kritische dingen opstaan zoals temperatuur controle, aanwezigheidsdetectie, auto lader,...

[Tsurany]

Je zou eens naar Tailscale of Zerotier kunnen kijken, dat heb ik nu zelf in gebruik. Hiermee hangen alle machines waar ik remote bij wil kunnen in hun eigen virtuele netwerk, deze zijn dus niet van buitenaf te bereiken maar enkel vanaf het lokale netwerk of een ander apparaat dat binnen dit virtuele netwerk hangt.
Het is een peer2peer oplossing dus het verkeer gaat niet via de Tailscale servers.

In mijn geval is dit Tailscale met twee Synology's thuis, een Synology bij m'n ouders, mijn eigen RaspberryPi en mijn desktop en telefoon. De gratis oplossing ondersteund tot 20 devices, voor mij meer dan genoeg.

[ Voor 32% gewijzigd door Tsurany op 21-09-2022 16:12 ]

[SambalBij]

SMGGM schreef op woensdag 21 september 2022 @ 14:11:
Misschien een paar dagen na dit te doen kreeg ik een notificatie in HA van een mislukte login poging (misschien wat naïef verschoten hoe snel dit was).

Dat heeft nog lang geduurd; meestal krijg je dat na max enkele uren wel...

Ik heb meteen actie ondernomen en heb volgende dingen ingeschakeld (of waren al actief):

• 2FA stond sowieso al aan op zowel HA als Cloudflare
• Na 3 mislukte login pogingen gaat HA het IP automatisch blokkeren
• Enkel België is als land toegelaten verbinding te maken (al de rest wordt door Cloudflare geblokkeerd)
• De URL die ik heb genomen is een zeer cryptische. Ik heb simpelweg een password generator gebruikt om een URL te maken voor mij, ik dacht alvast zo geen verdwaalde bezoeker te zien ofzo want wie gaat er nu iets in de aard van lr8Q5CxAoTaQIKzUapRN per ongeluk typen als URL?

Dat zijn inderdaad wel de juiste dingen om te doen; daarnaast ook zorgen dat je software up to date blijft, dus regelmatig updaten.

Het is duidelijk dat die cryptische URL niets uitmaakt (misschien zelf contraproductief). Is het zinvoller dit te wijzigen?
Ik gebruik een .ml domein (freenom). Zou dit een reden kunnen zijn en is het beter als ik een simpel .eu of .be domeintje neem?

URL op zich maakt niks uit; ze vinden je door scans op bekende poorten op je IP adres (scannen van de range van je ISP) en niet via je URL
Je kunt er eventueel een reverse proxy webserver voor zetten, die verkeer wat binnen komt zonder bekende hostname om te leiden naar een lege vhost. Alleen je specifieke domein forward je dan naar je HA installatie.

Tot slot, is dit normaal? Ervaren jullie hetzelfde?

Jep, klinkt volkomen normaal... Dat is de lol van dingen aan het Grote Boze Internet hangen

[SMGGM]

SambalBij schreef op woensdag 21 september 2022 @ 16:18:
URL op zich maakt niks uit; ze vinden je door scans op bekende poorten op je IP adres (scannen van de range van je ISP) en niet via je URL
Je kunt er eventueel een reverse proxy webserver voor zetten, die verkeer wat binnen komt zonder bekende hostname om te leiden naar een lege vhost. Alleen je specifieke domein forward je dan naar je HA installatie.

Ik betwijfel het stukje dat ze mij bereiken door mijn IP te scannen want het is via een cloudflare tunnel en de logs en firewall waarover ik het heb is deze van Cloudflare zelf. Als ze mijn IP aan het scannen zijn, dan zal dit niet in de logs van Cloudflare staan

Ze benaderen het dus via de URL zelf. Ongetwijfeld zal er wel ergens een lijst zijn met alle nieuwe domeinen die geregisteerd worden en stond ik hierin. Het zijn de eenvoudige slachtoffers want vaak staat die hun server nog niet op punt (een CMS met default wachtwoord ofzo).

[SambalBij]

Ah ok dat had ik even gemist
Ik meende te begrijpen dat je die cloudflare tunnel ervoor had gezet nadat je allerlei crap in je (lokale) logs tegenkwam...
(Ook omdat je het er over had dat na 3x HA het IP blokt? Dan zou je alleen het Cloudflare IP blocken, en je er zelf ook niet meer bij kunnen?)

Dan durf ik inderdaad niet te zeggen hoe ze bij jou terecht komen; ik neem aan dat Cloudflare (ken het niet echt) ook een reverse proxy draait vanaf hun IP naar jou toe. Dan zou je inderdaad denkek dat ze je domein ergens hebben moeten kunnen vinden...

[ Voor 14% gewijzigd door SambalBij op 21-09-2022 18:52 ]