Attaques répétées sur ma e-gueule

DiDay · mer. janv. 02, 2013 4:34 pm

Bonjour,

Je suis victime d'attaques répétées sur ma e-gueule. Que faire ?

Contexte :
J'ai une Freebox Révolution en fibre optique.
Derrière la box j'y ai mis un routeur qui gère mon réseau local composé de plusieurs machines dont un NAS Synology et un pc sous windows 7 qui sert de serveur. Le seul truc branché à la box c'est le routeur (et la box télé mais on s'en fout) et chaque redirection de port se fait vers ce routeur puis du routeur vers la machine souhaitée.

De temps en temps internet ne passe plus à cause d'une ou plusieurs IP qui me scannent la gueule à coup de crampons, comme présenté dans le schéma 1.1 ci-après. Je récupère le log via mon routeur.

code : Tout sélectionner

[LAN access from remote] from 199.195.213.229:51088 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:11:10
[LAN access from remote] from 199.195.213.229:50020 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:11:00
[LAN access from remote] from 199.195.213.229:48932 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:10:50
[LAN access from remote] from 199.195.213.229:47851 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:10:40
[LAN access from remote] from 199.195.213.229:46813 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:10:30
[LAN access from remote] from 199.195.213.229:45791 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:10:20
[LAN access from remote] from 199.195.213.229:44790 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:10:10
[LAN access from remote] from 199.195.213.229:43830 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:10:00
[LAN access from remote] from 199.195.213.229:42912 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:09:50
[LAN access from remote] from 199.195.213.229:42006 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:09:40
[LAN access from remote] from 199.195.213.229:41146 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:09:30
[LAN access from remote] from 199.195.213.229:40275 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:09:20
[LAN access from remote] from 199.195.213.229:39384 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:09:10
[LAN access from remote] from 199.195.213.229:38524 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:09:00
[LAN access from remote] from 199.195.213.229:37634 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:08:50
[LAN access from remote] from 199.195.213.229:36755 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:08:40
[LAN access from remote] from 199.195.213.229:35887 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:08:30
[LAN access from remote] from 199.195.213.229:35037 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:08:20
[LAN access from remote] from 199.195.213.229:34243 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:08:10
[LAN access from remote] from 199.195.213.229:33465 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:08:00
[LAN access from remote] from 199.195.213.229:47918 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:04:40
[LAN access from remote] from 199.195.213.229:47257 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:04:30
[LAN access from remote] from 199.195.213.229:46565 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:04:20
[LAN access from remote] from 199.195.213.229:45850 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:04:10
[LAN access from remote] from 199.195.213.229:45132 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:04:00
[LAN access from remote] from 199.195.213.229:44426 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:03:50
[LAN access from remote] from 199.195.213.229:43731 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:03:40
[LAN access from remote] from 199.195.213.229:43021 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:03:30
[LAN access from remote] from 199.195.213.229:42311 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:03:20
[LAN access from remote] from 199.195.213.229:41592 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:03:10
[LAN access from remote] from 199.195.213.229:40857 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:03:00
[LAN access from remote] from 199.195.213.229:40136 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:02:50
[LAN access from remote] from 199.195.213.229:39421 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:02:40
[LAN access from remote] from 199.195.213.229:38690 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:02:30
[LAN access from remote] from 199.195.213.229:37966 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:02:20
[LAN access from remote] from 199.195.213.229:37234 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:02:10
[LAN access from remote] from 199.195.213.229:36536 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:02:00
[LAN access from remote] from 199.195.213.229:35848 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:01:50
[LAN access from remote] from 199.195.213.229:34560 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:01:30
[LAN access from remote] from 199.195.213.229:60750 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:01:00
[LAN access from remote] from 199.195.213.229:58727 to 10.0.0.13:25565, Wednesday, Jan 02,2013 16:00:29

Coup de chance, j'étais devant mon pc.
J'ai simplement coupé la redirection de port 25565 (un serveur minecraft) de la box et tout est rentré dans l'ordre.

Le truc, voyez-vous, c'est que j'aimerai une espèce de kick-ban automatique du mec mettons à partir de x requêtes ratées. Parce que c'est un poil chiant de devoir faire des trucs à la main (et surtout de devoir couper l'accès à un serveur).

Matériel :
- Freebox Révolution
- Routeur Netgear WNR3500Lv2
- 2 Switch Netgear GS108E (un branché entre autre au NAS Synology DS212+ et l'autre branché entre autre au pc servant de serveur)

mer. janv. 02, 2013 4:37 pm

Doit y'avoir moyen de faire ça via le netgear mais je ne connais pas les menus.

DiDay · mer. janv. 02, 2013 4:38 pm

Le truc c'est que mes recherches google n'ont rien donné.

1. Ça s’appellerait comment une fonction du genre ?
2. Au final, comme c'est la box qui se prend tout dans la gueule en quoi le routeur derrière peut faire quelque chose ?

Kane · mer. janv. 02, 2013 4:39 pm

DiDay a écrit :1. Ça s’appellerait comment une fonction du genre ?

fail2ban

mer. janv. 02, 2013 4:44 pm

DiDay a écrit :Au final, comme c'est la box qui se prend tout dans la gueule en quoi le routeur derrière peut faire quelque chose ?

Le problème c'est que y'a pas d'options pour ça dans la freebox.

Je ne sais pas si ce screen est vieux mais y'a une case "disable port scan and DOS protection" là dessus.

Machin · mer. janv. 02, 2013 4:45 pm

fail2ban

mer. janv. 02, 2013 4:49 pm

Tiens d'ailleurs on peut l'installer sur le synology fail2ban:
http://tuto.myhost.fr/synology/38-tutoriel/67-fail2ban

DiDay · mer. janv. 02, 2013 4:51 pm

Ouais j'ai la case à cocher "Désactiver la protection DoS et le scan de ports" qui est actuellement décochée.

J'ai du mal à saisir la formulation, normalement la protection est active de base et si et si seulement si je coche ça va la désactiver, non ?

Je regarde pour installer fail2ban sur le synology, merci.

mer. janv. 02, 2013 4:52 pm

DiDay a écrit :J'ai du mal à saisir la formulation, normalement la protection est active de base et si et si seulement si je coche ça va la désactiver, non ?

C'est ce que je comprends aussi mais c'est peut être traduit à l'arrache.

Je n'ai pas un jour sans que l'ip block de base du syno bloque 2-3 adresses...

DiDay · mer. janv. 02, 2013 4:59 pm

Ce que j'ai du mal à saisir c'est comment fail2ban, installé sur le NAS, peut protéger une autre machine ?

Ok il protège le NAS, comme blocage auto (qui n'a jamais bloqué personne chez moi sauf mon père), mais en quoi il peut empêcher une IP extérieure de frapper sur chaque port de la box ?

mer. janv. 02, 2013 5:00 pm

L'un des firewall les plus répandus dans les grandes entreprises est Israélien (doit avoir sa backdoor pour le Mossad) et s'appelle Checkpoint

Goldseller13 · mer. janv. 02, 2013 5:01 pm

Napalm a écrit :
DiDay a écrit :J'ai du mal à saisir la formulation, normalement la protection est active de base et si et si seulement si je coche ça va la désactiver, non ?
C'est ce que je comprends aussi mais c'est peut être traduit à l'arrache.

Je n'ai pas un jour sans que l'ip block de base du syno bloque 2-3 adresses...

Wow, comment c'est possible ? Quand je regarde mes logs, personne ne vient jamais...

mer. janv. 02, 2013 5:02 pm

DiDay a écrit :Ok il protège le NAS, comme blocage auto (qui n'a jamais bloqué personne chez moi sauf mon père), mais en quoi il peut empêcher une IP extérieure de frapper sur chaque port de la box ?

Il ne peut pas...
Mais si tu trouves une solution pour bloquer ce genre de trucs sur une box sans faire chier pour le reste (parce que si tu fermes tous les ports c'est vite chiant), je suis preneur

mer. janv. 02, 2013 5:03 pm

aliocha a écrit :Wow, comment c'est possible ? Quand je regarde mes logs, personne ne vient jamais...

Box en DMZ + serveur ftp depuis des années.

Machin · mer. janv. 02, 2013 6:07 pm

DiDay a écrit :Ce que j'ai du mal à saisir c'est comment fail2ban, installé sur le NAS, peut protéger une autre machine ?

Ok il protège le NAS, comme blocage auto (qui n'a jamais bloqué personne chez moi sauf mon père), mais en quoi il peut empêcher une IP extérieure de frapper sur chaque port de la box ?

Si c'est une attaque sur un port non redirigé vers le NAS c'est normalement le firewall de ta box/routeur qui les drop.
Si c'est une attaque sur un port redirigé c'est fail2ban sur le NAS qui high-kick l'ip de l'attaquant.

edit: Si c'est une attaque sur un port redirigé vers une autre machine, démerde toi !

stuffed spectrum · mer. janv. 02, 2013 6:10 pm

DiDay a écrit :Ce que j'ai du mal à saisir c'est comment fail2ban, installé sur le NAS, peut protéger une autre machine ?

Ok il protège le NAS, comme blocage auto (qui n'a jamais bloqué personne chez moi sauf mon père), mais en quoi il peut empêcher une IP extérieure de frapper sur chaque port de la box ?

parce que ton syno est à base d'un GNU/Linux, donc, théoriquement, tous les packages compatibles s'installent et fonctionnent si les dépendances sont correctes et les ports bien nommés :

eth0
lan
wan
etc..

Pour te connecter au syno tu peux activer SHH et/ou TELNET
Ensuite installe PuTTY sur ton PC et connecte toi à l'adresse de ton SYNO

Un iptables -A INPUT -s la méchante ip -j DROP devrait suffire

Trax · mer. janv. 02, 2013 6:16 pm

DiDay a écrit :un pc sous windows 7 qui sert de serveur

DiDay · mer. janv. 02, 2013 6:21 pm

*de serveur minecraft.

C'est le pc multimedia sous la télé.

Trax · mer. janv. 02, 2013 6:23 pm