An die Netzwerk-Profis

    Hallo Profis,


    bei meinem alten Router hatte ich die Möglichkeit, WAN IP-Bereiche ins "Nichts" zu routen. So konnte ich Angreifer sehr einfach ins Leere schicken.
    Mein neuer Router bietet mir diese Möglichkeit nicht mehr. Jetzt bekomme ich alle naselang Angriffe.
    Ein Log-Beispiel von eben:
    Sat Jul 30 20:50:31 2005 1 Blocked by DoS protection 213.23.228.134
    Sat Jul 30 20:50:46 2005 1 Blocked by DoS protection 213.23.224.157
    Sat Jul 30 20:50:53 2005 1 Blocked by DoS protection 213.23.205.184
    Sat Jul 30 20:50:56 2005 1 Blocked by DoS protection 213.23.205.184
    Sat Jul 30 20:51:08 2005 1 Blocked by DoS protection 213.23.199.82
    Sat Jul 30 20:51:11 2005 1 Blocked by DoS protection 213.23.199.82
    Sat Jul 30 20:51:38 2005 1 Blocked by DoS protection 213.23.154.151
    Sat Jul 30 20:51:39 2005 1 Blocked by DoS protection 213.23.71.216
    Sat Jul 30 20:51:41 2005 1 Blocked by DoS protection 213.23.154.151
    Sat Jul 30 20:51:48 2005 1 Blocked by DoS protection 213.23.216.83
    Sat Jul 30 20:51:51 2005 1 Blocked by DoS protection 213.23.216.83
    Sat Jul 30 20:51:57 2005 1 Blocked by DoS protection 213.23.226.14
    Sat Jul 30 20:52:00 2005 1 Blocked by DoS protection 213.23.226.14
    Sat Jul 30 20:52:24 2005 1 Blocked by DoS protection 213.140.17.105
    Sat Jul 30 20:52:24 2005 1 Blocked by DoS protection 213.140.17.105
    Sat Jul 30 20:52:28 2005 1 Blocked by DoS protection 213.23.219.251
    Sat Jul 30 20:52:31 2005 1 Blocked by DoS protection 213.23.219.251
    Sat Jul 30 20:53:04 2005 1 Blocked by DoS protection 213.23.170.101
    Sat Jul 30 20:53:07 2005 1 Blocked by DoS protection 213.23.170.101
    Sat Jul 30 20:53:15 2005 1 Blocked by DoS protection 217.162.5.90
    Sat Jul 30 20:53:18 2005 1 Blocked by DoS protection 217.162.5.90
    Sat Jul 30 20:53:21 2005 1 Blocked by DoS protection 213.23.185.42
    Sat Jul 30 20:53:24 2005 1 Blocked by DoS protection 213.23.185.42
    Sat Jul 30 20:53:24 2005 1 Blocked by DoS protection 217.162.5.90
    Sat Jul 30 20:53:36 2005 1 Blocked by DoS protection 213.23.207.222
    Sat Jul 30 20:53:36 2005 1 Blocked by DoS protection 217.162.5.90
    Sat Jul 30 20:53:39 2005 1 Blocked by DoS protection 213.23.207.222
    Sat Jul 30 20:53:45 2005 1 Blocked by DoS protection 213.23.207.222
    Sat Jul 30 20:53:48 2005 1 Blocked by DoS protection 213.23.207.222
    Sat Jul 30 20:53:54 2005 1 Blocked by DoS protection 84.184.58.217
    Sat Jul 30 20:54:00 2005 1 Blocked by DoS protection 213.23.153.177
    Sat Jul 30 20:54:03 2005 1 Blocked by DoS protection 213.23.153.177


    Das finde ich nicht mehr normal. Mir scheint, eine der neuen Angriffsmethode ist es, dem Router einen falschen DNS zuzuweisen. Den Verdacht hatte ich, als plötzlich etliche Namen nicht mehr aufgeschlüsselt werden konnten.
    Etwas weiter gedacht, könnte man mit dieser Methode den Traffic wunderbar umleiten und damit "abhören".


    Meine Fragen zu dem Thema sind...
    Bekommt Ihr auch so viele Angriffe?
    Was kann man dagegen tun?
    Kennt Ihr einen oder zwei sichere DNS IP's?


    BG,Ralf.

    Quite normal,


    wenn Du mal zurückpingst, wirst Du festellen, daß die meisten von Suchmaschinenrobots stammen.


    Sozusagen Googles Rache.;D

    Zitat

    Original von Lucky-Felix
    Quite normal,


    wenn Du mal zurückpingst, wirst Du festellen, daß die meisten von Suchmaschinenrobots stammen.


    Sozusagen Googles Rache.;D


    L-F,
    bist Du sicher?
    Die 213.23.er sind alle ARCOR, komisch; nicht wahr??


    Ein paar Test-IPs waren stinknormale Dial-Ups.


    Ich vermute unter "Blocked by DoS protection" ist nichts weiter
    als ein ordinärer Ping/ICMP zu verstehen.


    Also normales Grundrauschen, wie in einigen Netzen. :D :D
    Wolf


    *edit*
    Sorry, war ja nicht angesprochen; bin ja Rentner. ;)


    Trief, Sarkasmus abschüttel, ibäh.


    Als Netzrauschen würde ich das nicht bezeichnen,
    da hat jeder Verein seine Scanner laufen und schaut ob nicht ab und zu etwas lohnendes dabei ist.

    Hi Ralf,


    einem Router einen anderen DNS unterzujubeln ist imho unmöglich.


    Hier hast Du trotzdem eine Liste der t-online DNS.


    http://www.atelier89.de/users/dirk/t-o/010.html


    Was Du im Log hast, sind 'normale' Portscans, und Zugriffe auf P2P-Ports, wenn ein TN vor Dir die IP hatte.


    Das ist in der Tat lästiges Grundrauschen.


    Gruß
    H.-J.

    Bitte keine Supportanfragen per PN oder Mail, dafür ist das Forum da.

    Zitat

    Trief, Sarkasmus abschüttel, ibäh.


    Als Netzrauschen würde ich das nicht bezeichnen,
    da hat jeder Verein seine Scanner laufen und schaut ob nicht ab und zu etwas lohnendes dabei ist.


    Leider L-F ist das RealLive.
    Ich schau mir dieses Geraffel in diversen Logs gar nicht mehr an. :D
    Wolf
    ...
    Log nach 30 Tagen Richtung DevNull. :)


    .....
    Komm´in den BB, wir müssen eine Kasten Willi knacken. : drink

    Zitat

    Kennt Ihr einen oder zwei sichere DNS IP's?


    Ralf,
    vermutlich hast Du temporäre DNS-Probs.
    Umleitungen sind alles andere als trivial.
    Tip:
    - such die DNs von ARCOR, *edit* vermute, Du bist bei ARCOR
    - trage 2..3 (nicht nur einen) in Deine IP-Konfig ein
    Dann ist auch bei Überlastung eine Namens-Auflösung möglich.
    Wolf
    ...
    Es gibt Fälle, wo tatsächlich bestimmte Seiten über Stunden nicht
    auffindbar sind, z.B. bei Routingänderungen.
    Noch was:
    Lösch ´mal Deinen DNS-Cache.
    Habe leider vergessen wie das ging. ("net irgendwas???")
    Das weiss aber bestimmt unser Smarty.

    Einmal editiert, zuletzt von WolfL ()

    Zitat

    Original von WolfL


    Lösch ´mal Deinen DNS-Cache.
    Habe leider vergessen wie das ging. ("net irgendwas???";)
    Das weiss aber bestimmt unser Smarty.


    ipconfig /flushdns

    Zitat

    Original von Lucky-Felix


    ipconfig /flushdns


    Danke,
    brauch ich seit 10 Jahren nicht mehr.
    Wolf
    ...
    war ehrlich gesagt zu faul zum Suchen :) :) :)


    Sowas muß ich gottseidank noch nicht suchen. 8)

    Dank an alle Spezialisten, aktive und a.D.'s


    Wenn ich den DNS-Namen habe, wie erkenne ich denn, das es ein Suchmaschinen-Robot ist?
    Sieht mir eher aus, wie Hacker. Bisher stammen die Scans zu 99.9 Prozent von ISP's.
    Wenn ein TN vor mir die IP hatte, warum kommen dann über Stunden immer mehr IP's hinzu? Ich behalte ja meine IP - Was auffällt, es wird dann internationaler.


    Hi h_smart, Danke für den Link. Funktionieren die T-Online DNS auch bei fremden ISP?


    @Wolfl,
    Klar bin ich bei Arcor - weiß doch jeder ;)
    Wie finde ich denn - außer der gerade automatisch zugewiesenen - andere DNS von Arcor?


    Mal sehen, ob das DNS-Cache löschen am PC Verbesserungen bringt - Jetzt muß ich nur noch herausfinden, wie ich den DNS-Cache des Routers löschen kann.


    BG,Ralf.

    Hi,


    die DNS sollten auch aus anderen Netzen erreichbar sein. Wenn nicht, kann ich Dir einen per PN schicken, der sicher geht.


    Na ja, Du kannst das Rauschen in verschiedene Gruppen teilen:


    - Portscans, lästig, aber nicht zu vermeiden.
    - Zugriffe auf Ports, die unter dieser IP schon mal offen waren, lästig, aber ungefährlich.
    - Zugriffe auf mögliche Exploids, gefährlich, wenn Dein System dafür anfällig ist (Sasser, etc.)


    Also, brav alle Onlineupdates von Windows einspielen, Firewall installieren, und täglich den Virenscanner aktualisieren, dazu regelmäßig die Logs lesen.


    Gruß
    H.-J.

    Bitte keine Supportanfragen per PN oder Mail, dafür ist das Forum da.

    Zitat

    Hi h_smart, Danke für den Link. Funktionieren die T-Online DNS auch bei fremden ISP?


    @Wolfl,
    Klar bin ich bei Arcor - weiß doch jeder
    Wie finde ich denn - außer der gerade automatisch zugewiesenen - andere DNS von Arcor?


    Ralf,
    1) m.E. selten bis garnicht (CISCO-Kisten sind manchmal scharf eingestellt), ev. probieren oder
    2a) jeder, bloss ich nicht; musste raten. :gap
    2b) 2..3 von diesen nehmen: (gerade aus Google: "DNS ARCOR"
    145.253.2.11, 145.253.2.75, 145.253.2.203, 145.253.2.139, 145.253.2.171
    Viel Erfolg
    Wolf
    ...
    lass die Suche nach Cache im Router,
    lohnt nicht, da ev garnicht vorhanden.

    Hallo Leute,


    das DNS-Cache Löschen hat's gebracht. Komisch nur, daß ich das Problem erst habe, seit ich den neuen Router nutze ?(


    aber ipconfig /flushdns wirkt sich meines Wissens nur auf den PC-Cache aus, oder wird das Kommando an den Router weitergegeben?


    BG,Ralf.