Netzwerkattacke oder FritzBox defekt?

[mat6937]

Viel mehr kann ich kaum machen oder was denkst du?

Sporadische Anfragen/Portscans (mit dem syn-Flag) aus dem Internet an der TCP-Port 443 (des border device) sind "normal" und kein Grund zur Sorge.

Um das zu sehen musst Du tcpdump mit dem entsprechenden Filter mal über einen längeren Zeitraum laufen lassen:

Code: Alles auswählen

tcpdump -vvveni any tcp dst port 443

Evtl. findet im (W)LAN deiner FritzBox auch noch andere Traffic statt, der eine Verbindung "stören" kann. Teste mal:

Code: Alles auswählen

tcpdump -c 300 -vvveni any arp or icmp or broadcast or multicast

Hast Du in deiner FritzBox evtl. UPnP (noch) aktiviert?

[KBDCALLS]

Schonmal Diagnose Sicherheit und System Ereignisse angesehen ?

[Rubberduck]

Danke für deine Antwort.

Ok, wenn das normal ist alles gut.

Nein Upnp habe ich nicht. Wie gesagt, wenn ich was analysiere, alles ausstecken und mit den geringsten Einstellungen anfangen.
Da ist nichts an, ich leite nur für den Testzweck immer den port 443 weiter.

[spiralnebelverdreher]

Hallo,
seit drei Tagen habe ich zu Hause ein seltsames Phänomen.

Immer wenn ich den Port 443 auf meiner Fritzbox auf eine interne IP weiterleite, ist nach ca 10 Sekunden mein WAN weg.
Fritzbox ist dann meist nicht mehr zu erreichen.

Beende ich bspw. die virtuelle Maschine auf die meine weitergeleitete Adresse zeigt, reaktiviert sich alles wieder.

Werden irgendwo in der FritzBox oder auf deinem Host vielleicht ICMP Typ3 Pakete verworfen, die helfen sollen den optimalen Wert der MTU festzsutellen?

[Rubberduck]

hahaha hey du spiralnebelverdreher ( cooler name btw. )

Das kann ich jetzt gerade nicht sagen und müßte ich genauer prüfen.
Aber was sollte das bedeuten?

Vor allem, das Phänoment tritt ja seit einem bestimmten Abend auf.
Bis dahin hat sich an meiner Konstellation nichts geändert.

---
Ich konnte abends einfach meine Webseite auf meinem Server nicht mehr aktivieren ( docker ), dann ist mir das Gateway weg geflogen, wie schon beschrieben.
Ich dachte erst, es wäre der Server selber, bis ich mich da rangepirscht hatte und das mit der Forwarding Regel festgestellt hatte.
Server an + Forwarding an = GW tot
Server aus + Forwarding an = GW ok
Server an + Forwarding aus = GW ok
---

[mat6937]

Vor allem, das Phänoment tritt ja seit einem bestimmten Abend auf.
Bis dahin hat sich an meiner Konstellation nichts geändert.

Welchen Tarif hast Du bei Unitymedia? Hat Unitymedia evtl. DS-lite bei deinem Anschluss geschaltet?

EDIT:

Oder hat deine FritzBox-cable, zu diesem Zeitpunkt evtl. eine neue Firmware (von Unitymedia) bekommen? Es ist ja nicht deine eigene FritzBox-cable.

[spiralnebelverdreher]

Vor allem, das Phänoment tritt ja seit einem bestimmten Abend auf.
Bis dahin hat sich an meiner Konstellation nichts geändert.

Das ist natürlich ein gutes Argument.
Dennoch: Hast du wirklich ganz genau geprüft, dass im fraglichen Zeitraum auch keine Pakete aktualisiert wurden (zB durch unattended-upgrades)? Ansonsten bleibt dann nur noch die Frage von mat6937 als mögliche Erklärung für des geänderte Verhalten.

Anyway, ich würde mir die Mühe machen, mit wireshark mal im Detail nachzuschauen, was da genau abgeht sobald erstens dein Server angeht und dann zweites das Forwarding aktiviert wird.

[spiralnebelverdreher]

Aber was sollte das bedeuten?

Siehe hier: https://de.wikipedia.org/wiki/Path_MTU_Discovery
Eigentlich würde ich vermuten, dass ein solches Problem nicht zu einer Überlastung der FB führt. Aber wenn sonst alles nicht fruchtet ist es eine Überlegung wert. dass es etwa 10s dauert bis Probleme da sind, kann schon auf viele Verbindungsaufbauversuche hindeuten, die jeder für sich etwas memory konsumieren.

[Rubberduck]

Vor allem, das Phänoment tritt ja seit einem bestimmten Abend auf.
Bis dahin hat sich an meiner Konstellation nichts geändert.

Welchen Tarif hast Du bei Unitymedia? Hat Unitymedia evtl. DS-lite bei deinem Anschluss geschaltet?

EDIT:

Oder hat deine FritzBox-cable, zu diesem Zeitpunkt evtl. eine neue Firmware (von Unitymedia) bekommen? Es ist ja nicht deine eigene FritzBox-cable.

Ich habe - genau wegen der DS-Lite Geschichte - damals meinen Anschluss von normal auf Business umgestellt.
Ich habe demnach einen 150MBit/down und 10Mbit/up Vertrag, der auch genau so in meiner FB angezeigt wird.

Ich benötige die Anschlussart, da ich - selbst in der IT arbeitend - viel von zu Hause über VPN arbeite und gleichzeitig von außen meine Seiten betreue, das könnte ich bei DS-Lite ja nicht mehr, oder nur sehr schwierig.

[mat6937]

Ich habe - genau wegen der DS-Lite Geschichte - damals meinen Anschluss von normal auf Business umgestellt.
Ich habe demnach einen 150MBit/down und 10Mbit/up Vertrag, der auch genau so in meiner FB angezeigt wird.

OK, dann starte mal auf deinem Server und auf einem anderen geeigneten Gerät in dem (W)LAN deiner FritzBox:

Code: Alles auswählen

tcpdump -c 300 -vvveni any arp or icmp or broadcast or multicast

, bevor "Server an + Forwarding an" und beobachte was tcpdump zusätzlich anzeigt, wenn das Forwarding (Portweiterleitung) in deiner FritzBox aktiviert wird.

[Rubberduck]

Vor allem, das Phänoment tritt ja seit einem bestimmten Abend auf.
Bis dahin hat sich an meiner Konstellation nichts geändert.

Das ist natürlich ein gutes Argument.
Dennoch: Hast du wirklich ganz genau geprüft, dass im fraglichen Zeitraum auch keine Pakete aktualisiert wurden (zB durch unattended-upgrades)? Ansonsten bleibt dann nur noch die Frage von mat6937 als mögliche Erklärung für des geänderte Verhalten.

Anyway, ich würde mir die Mühe machen, mit wireshark mal im Detail nachzuschauen, was da genau abgeht sobald erstens dein Server angeht und dann zweites das Forwarding aktiviert wird.

Also es hat sich Netzwerk technisch nichts bei mir geändert.
In der Tat ist es aber so, dass ich das Phänomen festgestellt hatte, als ich meinen Debian Docker Host auf ZFS umgestellt habe und dabei war meine Webseiten und Owncloud wieder zu aktivieren. Bei der Inbetriebnahme der Webseiten habe ich dann das erklärte Phänomen zum ersten mal festgestellt.
Natürlich wurde dabei einiges neu installiert und ich habe erste den Server abgeschaltet, dann bei UnityMedia angerufen, die haben mir dann berichtet, dass aktuell in Bonn ( da wohne ich ) wartungsarbeiten durchgeführt wurden usw. usw.. man kommt ja dann von höckchen auf stöckchen.
Habe ich aber erst nicht berichtet, da ich keinen falschen Fokus setzen wollte.
Es liegt nicht an einer Installation von mir, das konnte ich durch mehrfaches Prüfen herausfinden und vor allem - wie ich schon berichtete - auch mit virtuellen Maschinen nachstellen.

Bevor wir uns verrennen, nochmal kurz:
Portforwarding 443 ( und scheinbar nur bei 443, getestet habe ich auch 80 und 22 ) auf einen aktiven Rechner in meinem Netz ( egal ob VM oder der besagte neue Server ). Gateway für alle sofort weg, Fritzbox nach 10 Sekunden nicht mehr erreichbar.
Aktive Maschine ausgeschaltet, alles sofort wieder gut.

[Rubberduck]

Ich habe - genau wegen der DS-Lite Geschichte - damals meinen Anschluss von normal auf Business umgestellt.
Ich habe demnach einen 150MBit/down und 10Mbit/up Vertrag, der auch genau so in meiner FB angezeigt wird.

OK, dann starte mal auf deinem Server und auf einem anderen geeigneten Gerät in dem (W)LAN deiner FritzBox:

Code: Alles auswählen

tcpdump -c 300 -vvveni any arp or icmp or broadcast or multicast

, bevor "Server an + Forwarding an" und beobachte was tcpdump zusätzlich anzeigt, wenn das Forwarding (Portweiterleitung) in deiner FritzBox aktiviert wird.

Vielen Dank für eure Hilfe, ich werde das heute Abend spät testen, jetzt muss ich wieder den Kopf in die Arbeit stecken.
Grüße

[mat6937]

Server an + Forwarding an = GW tot
Server aus + Forwarding an = GW ok

Hast Du schon getestet, wenn "Server an + Forwarding an" und auf dem Server die iptables-Regeln:

Code: Alles auswählen

iptables -t raw -I PREROUTING 1 -p tcp --dport 443 -j DROP
iptables -t raw -I PREROUTING 2 -p udp --dport 443 -j DROP

aktiv sind?

[Rubberduck]

Server an + Forwarding an = GW tot
Server aus + Forwarding an = GW ok

Hast Du schon getestet, wenn "Server an + Forwarding an" und auf dem Server die iptables-Regeln:

Code: Alles auswählen

iptables -t raw -I PREROUTING 1 -p tcp --dport 443 -j DROP
iptables -t raw -I PREROUTING 2 -p udp --dport 443 -j DROP

aktiv sind?

Nein, was würde ich damit testen?

[mat6937]

Nein, was würde ich damit testen?

Na ob das blockieren der Datenpakete in Richtung destination-Port 443, evtl. gleichwertig ist mit dem Zustand "Server aus".

[mat6937]

Gateway für alle sofort weg, Fritzbox nach 10 Sekunden nicht mehr erreichbar.

Teste auch mal von einem Gerät, das per Kabel (LAN-Port) mit der FritzBox schon vorher verbunden war bzw. noch ist (siehe auch die Ausgabe von "ip n s"), ob in diesem Zustand die FritzBox-cable evtl. noch per arp-Protokoll (statt icmp/tcp/udp/...) erreichbar ist (mit arping aus dem package iputils-arping):

Code: Alles auswählen

arping -c 4 -I <lan-Interface-PC> -s <IP-Adresse-lan-Interface-PC> <IP-Adresse-FritzBox-cable>

[Rubberduck]

Nein, was würde ich damit testen?

Na ob das blockieren der Datenpakete in Richtung destination-Port 443, evtl. gleichwertig ist mit dem Zustand "Server aus".

Nein klar, was die Regel verursacht|bedeutet war mir klar, aber was bringt uns das?
Letztenendes kann ich diese Regel ja nicht anwenden, denn ich benötige ja den port 443 im Ziel und wir bekommen dann immer noch nicht den Grund heraus.
Aber wenn das vielleicht dem allgemeinen Verstehen näher bringt, mach ich das natürlich..
Wie gesagt heute abend.

[Rubberduck]

Gateway für alle sofort weg, Fritzbox nach 10 Sekunden nicht mehr erreichbar.

Teste auch mal von einem Gerät, das per Kabel (LAN-Port) mit der FritzBox schon vorher verbunden war bzw. noch ist (siehe auch die Ausgabe von "ip n s"), ob in diesem Zustand die FritzBox-cable evtl. noch per arp-Protokoll (statt icmp/tcp/udp/...) erreichbar ist (mit arping aus dem package iputils-arping):

Code: Alles auswählen

arping -c 4 -I <lan-Interface-PC> -s <IP-Adresse-lan-Interface-PC> <IP-Adresse-FritzBox-cable>

Auch das kann ich machen ( Hey, direkt mit Angabe des Pakets, perfekt)

[mat6937]

..., aber was bringt uns das?
...
Aber wenn das vielleicht dem allgemeinen Verstehen näher bringt, mach ich das natürlich..

Ja, es geht nur um das allgemeine Verstehen. Es werden ja, nur die tcp-/udp-Datenpakete geblockt und der Rest kann durch.

EDIT:

Teste auch, ob Du deine FritzBox-cable an LAN1, mit der IP-Adresse 192.168.100.1 (in beiden Fällen) erreichen kannst:

Code: Alles auswählen

nc -zv 192.168.100.1 443 80
snmpwalk -c public -v 1 192.168.100.1

[Rubberduck]

..., aber was bringt uns das?
...
Aber wenn das vielleicht dem allgemeinen Verstehen näher bringt, mach ich das natürlich..

Ja, es geht nur um das allgemeine Verstehen. Es werden ja, nur die tcp-/udp-Datenpakete geblockt und der Rest kann durch.

EDIT:

Teste auch, ob Du deine FritzBox-cable an LAN1, mit der IP-Adresse 192.168.100.1 (in beiden Fällen) erreichen kannst:

Code: Alles auswählen

nc -zv 192.168.100.1 443 80
snmpwalk -c public -v 1 192.168.100.1

Tu mir bitte mal den Gefallen und sag mir was du damit versuchst in Erfahrung zu bringen und was du davon ableiten möchtest.
Ich weiß Hilfe immer sehr zu schätzen, aber dieses hundertfache "klick mal hier" und "mach mal da" ohne weitere Infos macht mich konfus.
Vielleicht sagst du auch direkt dabei, was du im Falle von Ergebnis A oder B machen möchtest oder erwartest.
:=) Ich bin eben sonst nicht Befehlsempfänger...

[mat6937]

... sag mir was du damit versuchst in Erfahrung zu bringen und was du davon ableiten möchtest.

Es geht darum festzustellen, unter welchen Bedingungen und mit welchen tools deine FritzBox-cable noch erreichbar ist.

[Rubberduck]

... sag mir was du damit versuchst in Erfahrung zu bringen und was du davon ableiten möchtest.

Es geht darum festzustellen, unter welchen Bedingungen und mit welchen tools deine FritzBox-cable noch erreichbar ist.

Du das versteh ich natürlich, aber über die Details lässt du mich im unklaren.

Was ist denn bspw. wenn sie auf der IP in beiden Fällen erreichbar ist und was ist wenn nicht. Was leitest du dann davon ab?
Somit könnte ich deine Gedanke mit durch denken, verstehst du?
Wenn du mir das aber nicht sagst, kann ich das nur ausführen, dir das Ergebnis präsentieren und wieder auf neue "Anweisung" warten.
Eventuell könnte ich dir in dem Moment vielleicht auch sagen, du das habe ich schon anderweitig probiert...blabla..dieses Ergebnis..

Daß das alles irgendwie dienlich ist um irgendwie das große Ganze zu verstehen ist klar.

[Rubberduck]

mist....ich hab die neue Fritzbox eingebaut und von UnityMedia eine neue IP bekommen.
Damit ist das Problem natürlich nicht mehr existent.
Gut aber irgendwie unbefriedigend.

Grundsätzlich kann man sich gar nicht dagegen schützen, oder?
Wenn so ein Irrer auf die Idee kommt Netzwerk Scans durchzuführen und anschließend offene Ports von seinem BOT Netzwerk bombardieren lässt, dann wars das.
Was soll ich sagen? Trotzdem erstmal vielen Dank für euren Gehirnschmalz dazu.

Grüße

[KBDCALLS]

Da hättste eventuell auch früher drauf kommen können. Die alte Box hat das bestimmt in ihren Logs vermerkt. Danach hatte ich ja gefragt, ob du dir die angesehen hast. Die kann man sich auch an sein Postfach schicken lassen. So das man die in Ruhe durchlesen kann.

[Rubberduck]

Da hättste eventuell auch früher drauf kommen können. Die alte Box hat das bestimmt in ihren Logs vermerkt. Danach hatte ich ja gefragt, ob du dir die angesehen hast. Die kann man sich auch an sein Postfach schicken lassen. So das man die in Ruhe durchlesen kann.

Worauf hätte ich früher kommen können. Das ich bei einer neuen IP das Problem nicht mehr habe?
Das war mir von Anfang an klar und ist auch logisch, aber das löst ja nicht das Problem.

Was hätte ich deiner Meinung nach in den Logs der Fritzbox sehen können? Da gab es unter System nur Verbindungsabbrüche, mehr nicht.
Hab ich mir natürlich überflogen.