Unitymedia Problem. Router/Modem Defekt oder Ping/Ddos attacken?

[abcmonster]

Hallo, vorab möchte ich klar stellen das meine Anfrage erst nach Gründlicher Recherche hier eingereicht wurde.
Ich habe mich durch etliche Foren Beiträge gelesen um einzelne Sachverhalte zu verstehen, sitze hier jetzt aber nur noch mit einem Rauchenden Kopf und bin Total verunsichert was jetzt das Problem & die Ursache ist.

- Beiträge die ich mir zu Herzen genommen habe
http://www.unitymediaforum.de/viewtopic.php?f=53&t=16058
http://www.unitymediaforum.de/viewtopic.php?f=53&t=11118

- Information zur Hardware und dem Netzwerk:
Wir beziehen unser Internet von UM über unseren Kabel TV Anschluss. UM Regelt unser TV, Telefon und Internet Anschluss über ein Motorola Modem (Model Name: SBV5121E; Firmware Version: 17.2.30-SCM-00). An das Modem habe ich den Dlink Dir 600 Router (Hardware-Version : Bx Firmware-Version : 2.03) über LAN Verbindung angeschlossen. Unsere Desktop PC's haben eine LAN Verbindung zu dem Dlink Router, ergo fungiert er als Switch.
WLAN beziehen wir für Handys, Tablets, Notebooks ebenfalls über den dlink Router.

- Problembeschreibung:
Seit einigen Tagen ist das Internet vereinzelt Langsamer geworden (bemerkt durch längere Ladezeiten bei Regelmäßig besuchten Web Sites) und es kam durch aus auch zu Internet Abbrüchen (bsp disconnects in Games/netflix), mal Schlimmer mal weniger Schlimm.
Diese Abbrüche geschahen über LAN und WLAN. In den Meisten Fällen baute sich das Internet selbstständig nach 5 Sekunden bis 1 Minute wieder auf.
Das WLAN Signal blieb bestehen soweit ich das beurteilen konnte.
Soweit wir das beurteilen konnten, lief mein PC bei jedem Verbindungsabbruch ebenfalls, bzw konnten wir keinen Verbindungsabbruch beobachten wenn er aus war. Problem bei dieser Beurteilung ist, wenn wir mal für länger ins Internet nach der Arbeit gehen, benutzen wir meinen PC eben für Streaming, Musik etc.
Sonst waren wir nie lange im Internet das wir einen Abbruch bemerken konnten.


- Mögliche Ursachen und Maßnahmen:
1. Spyware Befall meines PC der meine Leitung temporär Blockiert. - Mehrere Unterschiedliche Antivieren Programme und Spyware Sucher benutzt. Kein Befund.
2. Ping/DDos attacken? Inhalt der Protokolle weiter unten zu sehen. - Keine Maßnahme eingeleitet, wüsste auch nicht welche Möglichkeiten wir haben.
3. Router Fehler. Maßnahme war ihn Komplett zu Resetten und die LAN sowie WLAN Verbindung neu einzurichten.
4. Möglicher Hardware Defekt? Am Router bzw dem Modem? - Maßnahme ist folglich nur ein Austausch aber das sollte die letzte Maßnahme sein.
5. Eine nicht genannte Ursache?

Wieso ich die Maßnahme Ping/Ddos in Betracht ziehe? Das Protokoll des Routers legt dies als Laie für mich nah. Die Ping Anfragen soweit ich das mit einer einfachen Suche beurteilen konnte, kamen größtenteils aus China, somit sollte ein Normales Routing Seitens UM hier nicht vorliegen. (Fehlerhafte Beurteilung möglich)

Oct 7 17:43:04 Drop TCP packet from WAN (src:192.151.196.86:37387, dst:62.143.155.35:80) by default rule.
Oct 7 17:23:53 Drop TCP packet from WAN (src:114.44.60.32:12200, dst:62.143.155.35:80) by default rule.
Oct 7 17:23:01 DHCP: Client receive ACK from 10.198.100.1, IP=62.143.155.35, Lease time=3600.
Oct 7 17:15:18 PING-FLOODING flooding attack from WAN (ip:183.232.29.196) detected.
Oct 7 16:53:42 PING-FLOODING flooding attack from WAN (ip:88.198.199.117) detected.
Oct 7 16:53:14 PING-FLOODING flooding attack from WAN (ip:88.198.199.117) detected.
Oct 7 16:53:05 PING-FLOODING flooding attack from WAN (ip:88.198.199.117) detected.
Oct 7 16:52:56 PING-FLOODING flooding attack from WAN (ip:88.198.199.117) detected.
Oct 7 16:52:49 PING-FLOODING flooding attack from WAN (ip:88.198.199.117) detected.
Oct 7 16:52:46 PING-FLOODING flooding attack from WAN (ip:88.198.199.117) detected.
Oct 7 16:52:46 PING-FLOODING flooding attack from WAN (ip:88.198.199.117) detected.
Oct 7 16:52:19 PING-FLOODING flooding attack from WAN (ip:88.198.199.117) detected.
Oct 7 16:52:09 PING-FLOODING flooding attack from WAN (ip:88.198.199.117) detected.
Oct 7 16:52:01 PING-FLOODING flooding attack from WAN (ip:88.198.199.117) detected.
Oct 7 16:52:00 PING-FLOODING flooding attack from WAN (ip:88.198.199.117) detected.
Oct 7 16:52:00 PING-FLOODING flooding attack from WAN (ip:88.198.199.117) detected.
Oct 7 16:49:25 Drop TCP packet from WAN (src:184.105.139.108:38084, dst:62.143.155.35:80) by default rule.
Oct 7 16:41:59 Drop PING request from WAN (ip:195.251.255.69).
Oct 7 16:30:31 DHCP: Client receive ACK from 10.198.100.1, IP=62.143.155.35, Lease time=3600.
Oct 7 16:19:58 PING-FLOODING flooding attack from WAN (ip:129.250.204.18) detected.
Oct 7 16:15:18 PING-FLOODING flooding attack from WAN (ip:183.232.29.196) detected.
Oct 7 16:14:09 PING-FLOODING flooding attack from WAN (ip:129.250.204.18) detected.
Oct 7 16:11:50 PING-FLOODING flooding attack from WAN (ip:129.250.204.18) detected.
Oct 7 16:11:27 PING-FLOODING flooding attack from WAN (ip:129.250.204.18) detected.
Oct 7 16:11:10 Time synchronized at 2016/10/07, 16:11:10.
Oct 7 15:08:09 PING-FLOODING flooding attack from WAN (ip:118.145.3.81) detected.
Oct 7 15:05:15 PING-FLOODING flooding attack from WAN (ip:58.67.196.180) detected.
Oct 7 14:54:00 Drop TCP packet from WAN (src:37.203.214.106:48313, dst:62.143.155.35:80) by default rule.
Oct 7 14:38:01 DHCP: Client receive ACK from 10.198.100.1, IP=62.143.155.35, Lease time=3600.
Oct 7 14:29:02 PING-FLOODING flooding attack from WAN (ip:118.145.3.80) detected.
Oct 7 14:27:46 PING-FLOODING flooding attack from WAN (ip:118.145.3.76) detected.
Oct 7 14:26:34 PING-FLOODING flooding attack from WAN (ip:58.67.203.156) detected.
Oct 7 14:23:35 PING-FLOODING flooding attack from WAN (ip:118.145.3.80) detected.
Oct 7 14:20:24 PING-FLOODING flooding attack from WAN (ip:112.95.194.57) detected.
Oct 7 14:16:00 PING-FLOODING flooding attack from WAN (ip:179.204.12.234) detected.
Oct 7 14:15:17 PING-FLOODING flooding attack from WAN (ip:183.232.29.196) detected.
Oct 7 14:06:18 PING-FLOODING flooding attack from WAN (ip:188.40.2.139) detected.
Oct 7 13:51:34 PING-FLOODING flooding attack from WAN (ip:118.145.3.80) detected.
Oct 7 13:45:31 DHCP: Client receive ACK from 10.198.100.1, IP=62.143.155.35, Lease time=3600.
Oct 7 13:38:06 PING-FLOODING flooding attack from WAN (ip:177.123.203.201) detected.
Oct 7 13:35:39 PING-FLOODING flooding attack from WAN (ip:5.9.24.8) detected.
Oct 7 13:35:18 PING-FLOODING flooding attack from WAN (ip:71.51.85.218) detected.
Oct 7 13:31:44 PING-FLOODING flooding attack from WAN (ip:186.195.108.33) detected.
Oct 7 13:30:28 PING-FLOODING flooding attack from WAN (ip:171.116.229.83) detected.
Oct 7 13:22:13 PING-FLOODING flooding attack from WAN (ip:58.67.196.180) detected.
Oct 7 13:19:47 PING-FLOODING flooding attack from WAN (ip:118.145.3.81) detected.
Oct 7 13:16:59 PING-FLOODING flooding attack from WAN (ip:208.163.194.241) detected.
Oct 7 13:13:48 DHCP: Server sending ACK to 192.168.0.101. (Lease time = 86400)
Oct 7 13:13:48 DHCP: Server receive REQUEST from f8:1e:df:09:81:7f.
Oct 7 13:10:51 PING-FLOODING flooding attack from WAN (ip:176.19.215.57) detected
Oct 7 13:10:19 PING-FLOODING flooding attack from WAN (ip:183.232.29.196) detected.
Oct 7 13:10:14 DHCP: Server sending ACK to 192.168.0.100. (Lease time = 86400)
Oct 7 13:10:14 DHCP: Server receive REQUEST from 00:21:85:32:8d:9c.
Oct 7 12:59:19 PING-FLOODING flooding attack from WAN (ip:81.25.225.34) detected.
Oct 7 12:54:27 PING-FLOODING flooding attack from WAN (ip:213.131.235.226) detected.
Oct 7 12:53:01 DHCP: Client receive ACK from 10.198.100.1, IP=62.143.155.35, Lease time=3600.
Oct 7 12:33:47 PING-FLOODING flooding attack from WAN (ip:119.51.86.87) detected.
Oct 7 12:31:06 Drop TCP packet from WAN (src:111.248.116.23:12200, dst:62.143.155.35:80) by default rule.
Oct 7 12:16:55 PING-FLOODING flooding attack from WAN (ip:122.234.113.238) detected.
Oct 7 12:10:18 PING-FLOODING flooding attack from WAN (ip:112.85.193.238) detected.
Oct 7 12:01:33 PING-FLOODING flooding attack from WAN (ip:81.228.74.153) detected.
Oct 7 12:00:31 DHCP: Client receive ACK from 10.198.100.1, IP=62.143.155.35, Lease time=3600.
Oct 7 11:20:23 PING-FLOODING flooding attack from WAN (ip:187.80.53.9) detected.
Oct 7 11:19:50 PING-FLOODING flooding attack from WAN (ip:183.78.214.105) detected.
Oct 7 11:18:12 Drop PING request from WAN (ip:62.138.8.188).
Oct 7 11:17:28 PING-FLOODING flooding attack from WAN (ip:107.167.46.76) detected.
Oct 7 11:14:07 Drop PING request from WAN (ip:129.82.138.44).
Oct 7 11:11:18 PING-FLOODING flooding attack from WAN (ip:23.244.83.210) detected.
Oct 7 11:10:18 PING-FLOODING flooding attack from WAN (ip:183.232.29.196) detected.
Oct 7 11:08:01 DHCP: Client receive ACK from 10.198.100.1, IP=62.143.155.35, Lease time=3600.
Oct 7 11:06:21 PING-FLOODING flooding attack from WAN (ip:107.178.162.170) detected.
Oct 7 11:01:30 PING-FLOODING flooding attack from WAN (ip:208.66.132.125) detected.
Oct 7 10:46:33 PING-FLOODING flooding attack from WAN (ip:119.93.255.157) detected.
Oct 7 10:43:13 Drop TCP packet from WAN (src:79.183.72.51:48774, dst:62.143.155.35:80) by default rule.
Oct 7 10:43:12 Drop TCP packet from WAN (src:79.183.72.51:48774, dst:62.143.155.35:80) by default rule.
Oct 7 10:43:11 Drop TCP packet from WAN (src:79.183.72.51:48774, dst:62.143.155.35:80) by default rule.
Oct 7 10:43:10 Drop TCP packet from WAN (src:79.183.72.51:48774, dst:62.143.155.35:80) by default rule.
Oct 7 10:43:09 Drop TCP packet from WAN (src:79.183.72.51:48774, dst:62.143.155.35:80) by default rule.
Oct 7 10:43:08 Drop TCP packet from WAN (src:79.183.72.51:48774, dst:62.143.155.35:80) by default rule.
Oct 7 10:32:57 PING-FLOODING flooding attack from WAN (ip:200.117.135.158) detected.
Oct 7 10:31:31 PING-FLOODING flooding attack from WAN (ip:46.218.70.46) detected.
Oct 7 10:25:28 PING-FLOODING flooding attack from WAN (ip:218.248.235.129) detected.
Oct 7 10:15:31 DHCP: Client receive ACK from 10.198.100.1, IP=62.143.155.35, Lease time=3600.
Oct 7 10:14:56 Drop TCP packet from WAN (src:222.186.30.182:18560, dst:62.143.155.35:80) by default rule.
Oct 7 10:14:49 Drop PING request from WAN (ip:180.210.206.97).
Oct 7 10:13:55 PING-FLOODING flooding attack from WAN (ip:190.105.128.202) detected.
Oct 7 10:10:18 PING-FLOODING flooding attack from WAN (ip:183.232.29.196) detected.
Oct 7 10:04:11 PING-FLOODING flooding attack from WAN (ip:202.71.129.225) detected.
Oct 7 09:59:39 Drop TCP packet from WAN (src:216.243.31.2:34455, dst:62.143.155.35:80) by default rule.
Oct 7 09:55:31 Drop PING request from WAN (ip:203.178.148.19).
Oct 7 09:48:35 PING-FLOODING flooding attack from WAN (ip:38.140.185.97) detected.
Oct 7 09:46:38 PING-FLOODING flooding attack from WAN (ip:119.249.73.193) detected.
Oct 7 09:33:42 PING-FLOODING flooding attack from WAN (ip:79.120.161.73) detected.
Oct 7 09:31:11 PING-FLOODING flooding attack from WAN (ip:60.186.26.157) detected.
Oct 7 09:23:00 DHCP: Client receive ACK from 10.198.100.1, IP=62.143.155.35, Lease time=3600.
Oct 7 09:18:37 PING-FLOODING flooding attack from WAN (ip:76.4.57.58) detected.
Oct 7 09:05:18 PING-FLOODING flooding attack from WAN (ip:183.232.29.196) detected.
Oct 7 08:37:15 PING-FLOODING flooding attack from WAN (ip:221.0.56.168) detected.
Oct 7 08:30:30 DHCP: Client receive ACK from 10.198.100.1, IP=62.143.155.35, Lease time=3600.
Oct 7 08:23:59 PING-FLOODING flooding attack from WAN (ip:89.120.157.158) detected.

Das war ein kleiner Ausschnitt aus dem Protokoll nach dem Reset des Routers vor 2 Tagen. Weitere 24 Seiten stehen zur Verfügung.
Wichtig hierbei könnte sein, dass ich erst gegen 15 Uhr zu Hause war und seit dem der PC an ist.

++ Kleiner Zusatz, ich habe den Dlink Router mal entfernt und beziehe jetzt Internet via LAN direkt aus dem Router. Seit dem Kein Problem mehr. Somit scheint das Problem durch den Router hervorgerufen zu werden. Ursache noch Unklar.

In erster Linie sitze ich jetzt hier und bin Wütend das ich dieses Problem nicht Lösen kann. Daher mein Verzweifelter Versuch hier auf Einsicht/Erleuchtung in diese Thematik zu bekommen bevor ich mich mühselig durch den UM Telefon Support quengel.
Ich bin dankbar für jeden Konstruktiven Hinweis.

Liebe Grüße,

Abcmonster

 

[addicted]

Seit Einschalten Deines PCs gegen 15 Uhr ist es eher weniger geworden. Nurnoch 3 ungefähre Zeitintervalle mit nur einer Handvoll IPs. Nichts gegenüber dem restlichen Tag.

Anyways: Dein Modem ist krass alt, kann gut sein dass in Deinem Kabelsegment mittlerweile mehr los ist und dadurch jetzt erste Lasterscheinungen auftreten.
Dem Router würd ich auch nicht mehr ohne Weiteres über den Weg trauen. Ist bestimmt die ein oder andere Sicherheitslücke drin, D-Link hat da nicht unbedingt den besten Ruf...

 

[abcmonster]

Danke, deine Antwort bringt mich bei meinem Problem leider nicht weiter. Die Ursache ist weiterhin unklar, dazu erhoffte ich mir Klarheit ob es sich um DDos/Hacker Angriffe ebenfalls handelt. Das meine Hardware nicht mehr auf dem Aktuellen Stand ist, liegt daran das wir seit 2010 Kunde bei UM sind, und sie für eine Vertragsanpassung sowie Bereitstellungen neuer Hardware von uns 60€ + 15€ Bearbeitungsgebühr verlangen. Bis jetzt war es nicht notwendig, die Qualität der Hardware in Frage zu stellen, was diese Lächerlichen Zusatzkosten zu früheren Zeitpunkten als überflüssig erschienen ließ.

Trotzdem wird neue Hardware wenig daran ändern, wenn wir Attackiert werden. Daher erhofften wir uns Einsicht.
Nichtsdestotrotz, vielen Dank für deinen Beitrag.

 

[addicted]

Sorry, da sieht man aus welchen unterschiedlichen Perspektiven wir die situation betrachten

"Attackiert" wirst Du immer. darauf würde ich keine Energie verschwenden und entsprechendes Logging im Router auch noch nicht mal aktivieren. Meine bisherigen Begegnungen mit dem Feature auf diesen Low-End Consumer Geräten suggerierten stets, dass die bei normalem Background-Traffic mehrmals täglich anschlagen, weil die Grenzwerte eher auf ein 28kbps Dialup-Modem als auf eine Leitung jenseits 5 MBit/s ausgelegt sind.

Ich bin selbst noch nicht Ziel eines Flood-Angriffs gewesen, kann daher schlecht einschätzen, ob sowas überlicherweise nach weniger als einer Minute beendet ist (hm, vielleicht will Dich nur jemand aus einem Onlinespiel kicken oder so?).

Ich würde zur weiteren Analyse den Traffic direkt auf dem UM-Interface (zwischen Router und Modem) angucken (z.B. mit tcpdump).

 

[harv]

Die IPs kommen aus diversen Ländern. Hetzner als Provider hier, dann USA, China etc.
(whois ip).

Stell in deiner Firewall icmp-Protokoll auf blocken, dann wird dein Router auf die Pings nicht antworten. Dann kannst du testen, ob es besser wird. Auf Dauer ist das blocken von icmp u. U. auch kontraproduktiv, weil keine Fehlermeldungen von weiterleitenden Hosts empfangen werden können (zB Info, dass grosse Pakete nicht defragmentiert werden können). Aber das merkt man dann am Verbindungsabbruch .

 

[rv112]

Das ist ein SYN Flood bzw. DDoS laut der Logs. Hatte ich auch schon. Meine Firewall hat pro Sekunde 5000 eingehende Verbindungen geloggt. Dauerte ca. 3 Stunden, danach war der Angriff vorbei.

Tipp: Mindestens 12 Stunden das Modem vom Strom nehmen damit sich (hoffentlich) die IP Adresse ändert.

 

[addicted]

Naja, für nen DDoS sind es doch ein paar wenige Hosts. Den SYN Flood sehe ich bei bestem Willen nicht, ich hoffe du meinst damit nicht die handvoll Pakete auf Port 80.

 

[abcmonster]

Ich bin selbst noch nicht Ziel eines Flood-Angriffs gewesen, kann daher schlecht einschätzen, ob sowas überlicherweise nach weniger als einer Minute beendet ist (hm, vielleicht will Dich nur jemand aus einem Onlinespiel kicken oder so?).

Ich würde zur weiteren Analyse den Traffic direkt auf dem UM-Interface (zwischen Router und Modem) angucken (z.B. mit tcpdump).

Die Drops passieren in Onlinegames sowie wenn ich ganz Normal im Internet bei X-Beliebigen Seiten bzw Netflix/Youtube unterwegs bin. Geht mittlerweile nun seit ~Dienstag/Mittwoch.

Tcpdump ? Ich habe versucht mich da einzulesen, bin aber ein wenig überfordert. Ich erkenne dort nicht mal ein genaues Programm (.exe), welches einfach mit einem Doppelklick geöffnet werden kann. http://www.tcpdump.org

Die IPs kommen aus diversen Ländern. Hetzner als Provider hier, dann USA, China etc.
(whois ip).

Stell in deiner Firewall icmp-Protokoll auf blocken, dann wird dein Router auf die Pings nicht antworten. Dann kannst du testen, ob es besser wird. Auf Dauer ist das blocken von icmp u. U. auch kontraproduktiv, weil keine Fehlermeldungen von weiterleitenden Hosts empfangen werden können (zB Info, dass grosse Pakete nicht defragmentiert werden können). Aber das merkt man dann am Verbindungsabbruch .

Mein Router hat eine solche Funktion nicht. Lediglich SPI, DMZ und Regeln kann ich festlegen. SPI ist aktiviert, DMZ selbstverständlich nicht, und unter den Regeln kann ich icmp verweigern, aber weiß ich nicht was ich bei den IP's & Port eintragen soll.

Das ist ein SYN Flood bzw. DDoS laut der Logs. Hatte ich auch schon. Meine Firewall hat pro Sekunde 5000 eingehende Verbindungen geloggt. Dauerte ca. 3 Stunden, danach war der Angriff vorbei.

Tipp: Mindestens 12 Stunden das Modem vom Strom nehmen damit sich (hoffentlich) die IP Adresse ändert.

Bei uns finden die DC's unregelmäßig seit Dienstag/Mittwoch statt, und der DC hält bis Maximal 2 Minuten an. Das Modem haben wir über Nacht jetzt mal vom Netz genommen.

Meine Anfängliche Aussage, dass die Verbindungsabbrüche nach entfernen des WLAN Routers aus meinem Netzwerk aufgehört haben, muss ich revidieren. Die Abbrüche bestehen weiterhin.
Ich bin mir nicht sicher ob die Info hilfreich ist, aber nicht jeder Abbruch wird in den Protokollen/Logs gelistet. Dazu kommt das der Router sowie das Modem bei einem Verbindungsabbruch nicht kurzfristig ausgingen, bzw Neugestartet wurden.
Dazu waren sie Teilweise kurzfristig nicht erreichbar über den IP - Web - Connect.

 

[harv]

[qoute]

Stell in deiner Firewall icmp-Protokoll auf blocken, dann wird dein Router auf die Pings nicht antworten. Dann kannst du testen, ob es besser wird. Auf Dauer ist das blocken von icmp u. U. auch kontraproduktiv, weil keine Fehlermeldungen von weiterleitenden Hosts empfangen werden können (zB Info, dass grosse Pakete nicht defragmentiert werden können). Aber das merkt man dann am Verbindungsabbruch .

Mein Router hat eine solche Funktion nicht. Lediglich SPI, DMZ und Regeln kann ich festlegen. SPI ist aktiviert, DMZ selbstverständlich nicht, und unter den Regeln kann ich icmp verweigern, aber weiß ich nicht was ich bei den IP's & Port eintragen soll.
[/quote]

Tante google sagt für deinen Router: Advanced network, enable WAN Ping deaktivieren.

 

[abcmonster]

Tante google sagt für deinen Router: Advanced network, enable WAN Ping deaktivieren.

War das erste was ich machte nachdem es zu den DC's kam und ich im Logg WAN Pings als mögliche Ursache dafür ausmachen konnte.
Trotzdem vielen Dank.

 

[tq1199]

.... SPI ist aktiviert, ...

Versuch mal als Test, mit deaktiviertem SPI. Dein Router (Firewall) wird evtl. ab einem höheren Traffic, mit dem SPI "überfordert" sein.

 

[abcmonster]

Hatte mal auf Twitter eine Anfrage gestellt wie es sich mit den DC's verhält, da teilweise der Log meines Modems und Routers keinen DC verzeichnet hatte, somit dachte ich mir das ein Problem vor meinem Anschluss liegen muss.

Hallo, aktuell ist eure Leitung von einer sogenannten Einstrahlung betroffen. :/ Eine Einstrahlung ist eine elektromagnetische Störung in Koaxialkabeln. Technik ist bereits am Ball, daher bitten wir euch noch um etwas Geduld. LG ^JN

Ich bin mir nicht sicher was dies jetzt im Detail für die mein Problem bedeutet.

 

[addicted]

Du wartest am Besten bis die Einstrahlung behoben ist und guckst dann ob das Problem immer noch besteht.