Unitymedia Horizon meldet Firewall Warnungen

[Kirlean]

Gibt es denn jetzt eigentlich irgend einen Grund, noch weiter über dieses Thema zu diskutieren? Es wurde doch schon in den ersten paar Posts erkannt, dass Unitymedia / Samsung die Anzeige der korrekten IP verbockt, das heißt, das sind einfach nur Pings / verworfene Pakete, die von irgend wo an eure IP geschickt werden.

Gibt es damit jetzt irgend ein Problem? In anderen Routern wie der Fritzbox würde sowas noch nicht mal ne Hinweismeldung im Log hinterlassen, die werden einfach verworfen und fertig ...

Das sind halt Portscans - die kriegt aber jede IP im Internet ganz automatisch, weil es jede menge Bots gibt die nix besseres zu tun haben als die ganze Zeit das ganze Internet auf offene SSH-Ports mit unsicheren Passwörtern abzusuchen.

nuja wenn das einen nich so viel bandbreite absaugen würde, und zu internet abbrüchen führen würd wärs ja auch kein problem!!!!

 

[Stiff]

Was mir dabei noch nicht klar ist: Die Firmware Deiner Box wird gehackt und macht irgendeinen Blödsinn.
Du bekommst eine neue Box und zack, gleiches Problem obwohl die Box sauber war.

UM hat inzwischen mehr als 500.000 Horizons am Start und die werden wohl kaum alle das gleiche Problem haben.

Wer findet den Fehler?

 

[NoGi]

Was mir dabei noch nicht klar ist: Die Firmware Deiner Box wird gehackt und macht irgendeinen Blödsinn.
Du bekommst eine neue Box und zack, gleiches Problem obwohl die Box sauber war.

UM hat inzwischen mehr als 500.000 Horizons am Start und die werden wohl kaum alle das gleiche Problem haben.

Wer findet den Fehler?

Wie @bareas schon geschrieben hat und was ich schon länger vermute:
Die Verdoppelung des ersten Oktetts in Quell- und Zieladresse ist ein Firmware Bug.

Die Firewall Meldungen selbst sind, so blöd das klingt, völlig normal.
Ich hab mal auf die Schnelle das auth.log meines Raspis analysiert.

Auf den weitergeleiteten SSH Port 22 hatte ich zwischen 17.4. und heute
15334 Einlog-Versuche mit 14930 verschiedenen Namen von 22 verschiedenen Quell Adressen..

Beispiel:

<i>
</i>root@NoGiPi2:/var/log# head auth.log
Apr 17 07:35:22 NoGiPi2 sshd[19886]: Invalid user jmlrod from 41.208.71.32
Apr 17 07:35:22 NoGiPi2 sshd[19886]: input_userauth_request: invalid user jmlrod [preauth]
Apr 17 07:35:22 NoGiPi2 sshd[19886]: pam_unix(sshd:auth): check pass; user unknown
Apr 17 07:35:22 NoGiPi2 sshd[19886]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=41.208.71.32.static.ltt.ly
Apr 17 07:35:24 NoGiPi2 sshd[19886]: Failed password for invalid user jmlrod from 41.208.71.32 port 38513 ssh2
Apr 17 07:35:24 NoGiPi2 sshd[19886]: Received disconnect from 41.208.71.32: 11: Bye Bye [preauth]
Apr 17 07:35:30 NoGiPi2 sshd[19992]: Invalid user jmmclean from 41.208.71.32
Apr 17 07:35:30 NoGiPi2 sshd[19992]: input_userauth_request: invalid user jmmclean [preauth]
Apr 17 07:35:30 NoGiPi2 sshd[19992]: pam_unix(sshd:auth): check pass; user unknown
Apr 17 07:35:30 NoGiPi2 sshd[19992]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=41.208.71.32.static.ltt.ly
root@NoGiPi2:/var/log# grep "Invalid user" auth.log | cut -d\ --fields=8 | wc 15334 15334 119190
root@NoGiPi2:/var/log# grep "Invalid user" auth.log | cut -d\ --fields=8 | sort -u | wc 14930 14930 116582
root@NoGiPi2:/var/log#grep "Invalid user" auth.log | cut -d\ --fields=10 | sort -u
116.109.131.73
116.109.156.108
116.110.125.0
116.24.27.63
117.136.145.19
138.118.76.222
162.213.154.10
185.103.252.14
185.103.252.42
185.106.92.47
185.110.132.54
185.130.5.99
185.70.184.142
185.70.184.207
192.71.249.74
193.201.225.26
198.46.54.205
218.57.11.7
41.208.71.32
61.219.69.164
88.150.134.92
94.183.98.16
root@NoGiPi2:/var/log#

Das Ganze ist also kein Grund sich ins Hemd zu machen sondern der ganz normale Internet- Wahnsinn.

-NoGi

 

[bareas]

Hallo nochmal.

@Kirlean: Dass deine Box gehackt ist oder eine hacked Firmware drauf ist halte ich für eher unwahrscheinlich.

Bezüglich der Port Scans ist das in der Tat wirklich ganz normaler "Internet-Wahnsinn" und stört normalerweise nicht.
Die Horizonbox ist zwar kein Lamborghini (Fritzbox) sondern eher ein Fiat Punto was das angeht, aber die paar Portscans sollten sie Leistungsmässig nicht ins wanken bringen.
Was bei mir allerdings hinzu kommt und ich nehme an bei Kirlean ist es ähnlich, ist dass der Traffic dennoch gnadenlos einbricht.

- Webseiten laden deutlich länger.
- Video-Streaming hakt und bricht ab.
- Im Prinzip befinde ich mich im 56K-Modem Zeitalter.

Das nahm ich überhaupt zum Anlass mal nach Wochen wieder in die Logs reinzuschauen.
Zuvor waren die Logs immer clean sprich es stand nichts drin.

Die Meldung IP-Flood Detected und die Masse an Anfragen deutet samt Traffic Einbruch auf eine Überlastung der Box hin --> quasi Denial of Service Angriff.
Es kann aber auch einfach Zufall sein, dass hier die Meldungen neu hinzukamen (firmware update) und gleichzeitig UM einfach Probleme hat.

Ich habe jetzt mal eine Störung gemeldet und werde mal aufs Feedback warten. Der Firmware-Bug seitens UM ist allerdings etwas peinlich.
Ein Hoch auf den abgeschafften Routerzwang! Ich freu mich aufs Jahresende.

@Kirlean hat sich dein Techniker nochmalig mit dir beschäftigt?

Grüße Bareas

 

[Mamiroe]

Hallo,
Ich habe vor einiger Zeit eine neue Horizon Box bekommen und hatte zuerst keine IP Floods und PortScans. Erst als der Telefondienst aktiviert wurde hat die Firewall diese Meldungen angezeigt. Mir würden diese Meldungen auch nichts ausmachen, aber wir haben sehr oft nur einseitige Verständigung bei Telefongesprächen. Genauer gesagt, wir verstehen den anderen Gesprächsteinehmer, aber er uns nicht.
Dann Boote ich in der Regel die Horizon Box und es funktioniert wieder eine Zeit lang.
Ich habe einen Ausdruck der Meldungen des "local log" an Unitymedia geschickt aber leider keine Reaktion erhalten.
Wir haben mittlerweile schon die dritte Horizon Box und einen neuen Verstärker im Haus.
Die Probleme mit der Telefonie sind nicht behoben. Zum Glück haben wir noch Mobiltelefone.
Ich komme selbst aus der Telefonbranche und wäre froh, wenn wir wieder einen analogen oder ISDN-Anschluß hätten.

Hat evtl eine Abhilfe, oder die gleichen Probleme ?

viele Grüße

Mamiroe