1 Sujet de DiDay Dernière modification par DiDay (02-01-2013 16:34:44)

  • DiDay
  • DiDay
  • Cuck Nourice ☣
  • Déconnecté

Sujet : Attaques répétées sur ma e-gueule

Bonjour,

Je suis victime d'attaques répétées sur ma e-gueule. Que faire ?

Contexte :
J'ai une Freebox Révolution en fibre optique.
Derrière la box j'y ai mis un routeur qui gère mon réseau local composé de plusieurs machines dont un NAS Synology et un pc sous windows 7 qui sert de serveur. Le seul truc branché à la box c'est le routeur (et la box télé mais on s'en fout) et chaque redirection de port se fait vers ce routeur puis du routeur vers la machine souhaitée.

De temps en temps internet ne passe plus à cause d'une ou plusieurs IP qui me scannent la gueule à coup de crampons, comme présenté dans le schéma 1.1 ci-après. Je récupère le log via mon routeur.

[LAN access from remote] from 199.195.213.229:51088 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:11:10
[LAN access from remote] from 199.195.213.229:50020 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:11:00
[LAN access from remote] from 199.195.213.229:48932 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:10:50
[LAN access from remote] from 199.195.213.229:47851 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:10:40
[LAN access from remote] from 199.195.213.229:46813 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:10:30
[LAN access from remote] from 199.195.213.229:45791 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:10:20
[LAN access from remote] from 199.195.213.229:44790 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:10:10
[LAN access from remote] from 199.195.213.229:43830 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:10:00
[LAN access from remote] from 199.195.213.229:42912 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:09:50
[LAN access from remote] from 199.195.213.229:42006 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:09:40
[LAN access from remote] from 199.195.213.229:41146 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:09:30
[LAN access from remote] from 199.195.213.229:40275 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:09:20
[LAN access from remote] from 199.195.213.229:39384 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:09:10
[LAN access from remote] from 199.195.213.229:38524 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:09:00
[LAN access from remote] from 199.195.213.229:37634 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:08:50
[LAN access from remote] from 199.195.213.229:36755 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:08:40
[LAN access from remote] from 199.195.213.229:35887 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:08:30
[LAN access from remote] from 199.195.213.229:35037 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:08:20
[LAN access from remote] from 199.195.213.229:34243 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:08:10
[LAN access from remote] from 199.195.213.229:33465 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:08:00
[LAN access from remote] from 199.195.213.229:47918 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:04:40
[LAN access from remote] from 199.195.213.229:47257 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:04:30
[LAN access from remote] from 199.195.213.229:46565 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:04:20
[LAN access from remote] from 199.195.213.229:45850 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:04:10
[LAN access from remote] from 199.195.213.229:45132 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:04:00
[LAN access from remote] from 199.195.213.229:44426 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:03:50
[LAN access from remote] from 199.195.213.229:43731 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:03:40
[LAN access from remote] from 199.195.213.229:43021 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:03:30
[LAN access from remote] from 199.195.213.229:42311 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:03:20
[LAN access from remote] from 199.195.213.229:41592 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:03:10
[LAN access from remote] from 199.195.213.229:40857 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:03:00
[LAN access from remote] from 199.195.213.229:40136 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:02:50
[LAN access from remote] from 199.195.213.229:39421 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:02:40
[LAN access from remote] from 199.195.213.229:38690 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:02:30
[LAN access from remote] from 199.195.213.229:37966 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:02:20
[LAN access from remote] from 199.195.213.229:37234 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:02:10
[LAN access from remote] from 199.195.213.229:36536 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:02:00
[LAN access from remote] from 199.195.213.229:35848 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:01:50
[LAN access from remote] from 199.195.213.229:34560 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:01:30
[LAN access from remote] from 199.195.213.229:60750 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:01:00
[LAN access from remote] from 199.195.213.229:58727 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:00:29

Coup de chance, j'étais devant mon pc.
J'ai simplement coupé la redirection de port 25565 (un serveur minecraft) de la box et tout est rentré dans l'ordre.

Le truc, voyez-vous, c'est que j'aimerai une espèce de kick-ban automatique du mec mettons à partir de x requêtes ratées. Parce que c'est un poil chiant de devoir faire des trucs à la main (et surtout de devoir couper l'accès à un serveur).

Matériel :
- Freebox Révolution
- Routeur Netgear WNR3500Lv2
- 2 Switch Netgear GS108E (un branché entre autre au NAS Synology DS212+ et l'autre branché entre autre au pc servant de serveur)

2 Réponse de Napalm

  • Napalm
  • Napalm
  • Chaud ca-chaos
  • Déconnecté

Re : Attaques répétées sur ma e-gueule

Doit y'avoir moyen de faire ça via le netgear mais je ne connais pas les menus.

3 Réponse de DiDay

  • DiDay
  • DiDay
  • Cuck Nourice ☣
  • Déconnecté

Re : Attaques répétées sur ma e-gueule

Le truc c'est que mes recherches google n'ont rien donné.

1. Ça s’appellerait comment une fonction du genre ?
2. Au final, comme c'est la box qui se prend tout dans la gueule en quoi le routeur derrière peut faire quelque chose ?

4 Réponse de Kane

  • Kane
  • Kane
  • Bouteille déviant de 2L
  • Déconnecté

Re : Attaques répétées sur ma e-gueule

DiDay a écrit:

1. Ça s’appellerait comment une fonction du genre ?

fail2ban

5 Réponse de Napalm

  • Napalm
  • Napalm
  • Chaud ca-chaos
  • Déconnecté

Re : Attaques répétées sur ma e-gueule

DiDay a écrit:

Au final, comme c'est la box qui se prend tout dans la gueule en quoi le routeur derrière peut faire quelque chose ?

Le problème c'est que y'a pas d'options pour ça dans la freebox.

Je ne sais pas si ce screen est vieux mais y'a une case "disable port scan and DOS protection" là dessus.

http://www.upix.fr/i/2013/01/02/B3xZs.jpg

6 Réponse de Machin

Re : Attaques répétées sur ma e-gueule

fail2ban

"Mais faut qu'ils mettent une étiquette, genre ça ressemble à Machin, Machin ou Machin. Et toi Machin, tu ressembles à quoi ?"

7 Réponse de Napalm

  • Napalm
  • Napalm
  • Chaud ca-chaos
  • Déconnecté

Re : Attaques répétées sur ma e-gueule

Tiens d'ailleurs on peut l'installer sur le synology fail2ban:
http://tuto.myhost.fr/synology/38-tutoriel/67-fail2ban

8 Réponse de DiDay

  • DiDay
  • DiDay
  • Cuck Nourice ☣
  • Déconnecté

Re : Attaques répétées sur ma e-gueule

Ouais j'ai la case à cocher "Désactiver la protection DoS et le scan de ports" qui est actuellement décochée.

J'ai du mal à saisir la formulation, normalement la protection est active de base et si et si seulement si je coche ça va la désactiver, non ?

Je regarde pour installer fail2ban sur le synology, merci. smile

9 Réponse de Napalm

  • Napalm
  • Napalm
  • Chaud ca-chaos
  • Déconnecté

Re : Attaques répétées sur ma e-gueule

DiDay a écrit:

J'ai du mal à saisir la formulation, normalement la protection est active de base et si et si seulement si je coche ça va la désactiver, non ?

C'est ce que je comprends aussi mais c'est peut être traduit à l'arrache.

Je n'ai pas un jour sans que l'ip block de base du syno bloque 2-3 adresses...

10 Réponse de DiDay

  • DiDay
  • DiDay
  • Cuck Nourice ☣
  • Déconnecté

Re : Attaques répétées sur ma e-gueule

Ce que j'ai du mal à saisir c'est comment fail2ban, installé sur le NAS, peut protéger une autre machine ?

Ok il protège le NAS, comme blocage auto (qui n'a jamais bloqué personne chez moi sauf mon père), mais en quoi il peut empêcher une IP extérieure de frapper sur chaque port de la box ?

11 Réponse de Napalm

  • Napalm
  • Napalm
  • Chaud ca-chaos
  • Déconnecté

Re : Attaques répétées sur ma e-gueule

L'un des firewall les plus répandus dans les grandes entreprises est Israélien (doit avoir sa backdoor pour le Mossad) et s'appelle Checkpoint smile

Re : Attaques répétées sur ma e-gueule

Napalm a écrit:
DiDay a écrit:

J'ai du mal à saisir la formulation, normalement la protection est active de base et si et si seulement si je coche ça va la désactiver, non ?

C'est ce que je comprends aussi mais c'est peut être traduit à l'arrache.

Je n'ai pas un jour sans que l'ip block de base du syno bloque 2-3 adresses...

Wow, comment c'est possible ? Quand je regarde mes logs, personne ne vient jamais...

13 Réponse de Napalm

  • Napalm
  • Napalm
  • Chaud ca-chaos
  • Déconnecté

Re : Attaques répétées sur ma e-gueule

DiDay a écrit:

Ok il protège le NAS, comme blocage auto (qui n'a jamais bloqué personne chez moi sauf mon père), mais en quoi il peut empêcher une IP extérieure de frapper sur chaque port de la box ?

Il ne peut pas...
Mais si tu trouves une solution pour bloquer ce genre de trucs sur une box sans faire chier pour le reste (parce que si tu fermes tous les ports c'est vite chiant), je suis preneur smile

14 Réponse de Napalm

  • Napalm
  • Napalm
  • Chaud ca-chaos
  • Déconnecté

Re : Attaques répétées sur ma e-gueule

aliocha a écrit:

Wow, comment c'est possible ? Quand je regarde mes logs, personne ne vient jamais...

Box en DMZ + serveur ftp depuis des années.

15 Réponse de Machin Dernière modification par Machin (02-01-2013 18:11:11)

Re : Attaques répétées sur ma e-gueule

DiDay a écrit:

Ce que j'ai du mal à saisir c'est comment fail2ban, installé sur le NAS, peut protéger une autre machine ?

Ok il protège le NAS, comme blocage auto (qui n'a jamais bloqué personne chez moi sauf mon père), mais en quoi il peut empêcher une IP extérieure de frapper sur chaque port de la box ?

Si c'est une attaque sur un port non redirigé vers le NAS c'est normalement le firewall de ta box/routeur qui les drop.
Si c'est une attaque sur un port redirigé c'est fail2ban sur le NAS qui high-kick l'ip de l'attaquant.

edit: Si c'est une attaque sur un port redirigé vers une autre machine, démerde toi !

"Mais faut qu'ils mettent une étiquette, genre ça ressemble à Machin, Machin ou Machin. Et toi Machin, tu ressembles à quoi ?"

16 Réponse de stuffed spectrum Dernière modification par stuffed spectrum (02-01-2013 18:13:35)

Re : Attaques répétées sur ma e-gueule

DiDay a écrit:

Ce que j'ai du mal à saisir c'est comment fail2ban, installé sur le NAS, peut protéger une autre machine ?

Ok il protège le NAS, comme blocage auto (qui n'a jamais bloqué personne chez moi sauf mon père), mais en quoi il peut empêcher une IP extérieure de frapper sur chaque port de la box ?

parce que ton syno est à base d'un GNU/Linux, donc, théoriquement, tous les packages compatibles s'installent et fonctionnent si les dépendances sont correctes et les ports bien nommés :

eth0
lan
wan
etc..

Pour te connecter au syno tu peux activer SHH et/ou TELNET
Ensuite installe PuTTY sur ton PC et connecte toi à l'adresse de ton SYNO

Un iptables -A INPUT -s la méchante ip -j DROP devrait suffire

"C'est souvent avec une femme idiote qu'on vit en bonne intelligence."
Albert Willemetz

17 Réponse de Trax

  • Trax
  • Trax
  • Merry XXXmas
  • Déconnecté

Re : Attaques répétées sur ma e-gueule

DiDay a écrit:

un pc sous windows 7 qui sert de serveur

http://www.upix.fr/i/2013/01/02/vix1VMl.png

La route ? Là où on va, on n’a pas besoin de route !

18 Réponse de DiDay

  • DiDay
  • DiDay
  • Cuck Nourice ☣
  • Déconnecté

Re : Attaques répétées sur ma e-gueule

*de serveur minecraft.

C'est le pc multimedia sous la télé.

19 Réponse de Trax

  • Trax
  • Trax
  • Merry XXXmas
  • Déconnecté

Re : Attaques répétées sur ma e-gueule

http://www.upix.fr/i/2013/01/02/PKrfVw.png

La route ? Là où on va, on n’a pas besoin de route !