Re: Netgear R7100LG DoS attack: ACK Scan

Fox-Tech · ‎2017-12-05

Hallo und danke für deine Antwort.

Die Attacken bzw Portscan, oder was auch immer es ist, finden in der Regel alle 60 Minuten statt und verursachen die Abbrüche.

Auch mit neuer IP bleibt es so.

uPnP ist derzeit deaktiviert.

Schon alles erdenkliche versucht.

Probleme begannen seit einem Tarifwechsel.

DoS attack: ACK Scan] attack packets in last 20 sec from ip [136.X.X.X], Tuesday, Dec 05,2017 16:28:29 [DoS attack: STORM] attack packets in last 20 sec from ip [178.X.X.X], Tuesday, Dec 05,2017 15:50:24 [DoS attack: STORM] attack packets in last 20 sec from ip [178.X.X.X], Tuesday, Dec 05,2017 15:50:02 [DoS attack: STORM] attack packets in last 20 sec from ip [178.X.X.X], Tuesday, Dec 05,2017 15:49:41 [DoS attack: STORM] attack packets in last 20 sec from ip [178.X.X.X], Tuesday, Dec 05,2017 15:49:20 [DoS attack: STORM] attack packets in last 20 sec from ip [178.X.X.X], Tuesday, Dec 05,2017 15:48:59 [DoS attack: STORM] attack packets in last 20 sec from ip [178.X.X.X4], Tuesday, Dec 05,2017 15:48:38 [DoS attack: STORM] attack packets in last 20 sec from ip [178.X.X.X], Tuesday, Dec 05,2017 15:48:18 [DoS attack: STORM] attack packets in last 20 sec from ip [178.X.X.X], Tuesday, Dec 05,2017 15:47:57 [DoS attack: STORM] attack packets in last 20 sec from ip [178.X.X.X], Tuesday, Dec 05,2017 15:47:36 [DoS attack: STORM] attack packets in last 20 sec from ip [178.X.X.X], Tuesday, Dec 05,2017 15:47:15 [DoS attack: STORM] attack packets in last 20 sec from ip [178.X.X.X], Tuesday, Dec 05,2017 15:46:53 [DoS attack: STORM] attack packets in last 20 sec from ip [178.X.X.X], Tuesday, Dec 05,2017 15:46:32 [DoS attack: ACK Scan] attack packets in last 20 sec from ip [155.X.X.X], Tuesday, Dec 05,2017 15:29:14

PS: Danke Sias fürs verschieben!

DominikS · ‎2017-12-05

Servus @Fox-Tech

Ich möchte an dem Thema auch dranbleiben, vor allem da es recht interessant ist da wir beide in Österreich, jedoch mit unterschiedlichen Anbietern unterwegs sind.

Ich kann das bei dir geschehene 1zu1 bestätigen, egal auf welchem Gerät nach 60min habe ich den selben ausfall, reconnect.

Vielleicht, falls bei dir bekannt, die gleichen Angaben welche ich gemacht habe, vor allem um den Nachlesenden in zukunft mehr Inhalt zu bieten.

Anbieter: A1

Tarif: A1 Netcube Internet L 150/50Mbit/s, real 50/20

Tarifart: 4G Mobildaten Sim Only

Anbieter Firewall: Deaktiviert

DHCP/fixeIP: DHCP(Zusatzservice, Kostenpflichtig)

Vom Anbieter gesperrte Ports: ALL PORTS OPEN service kostenfrei (Mobile Datentarife sind bei A1 prinzipiell mit geblockten Ports!)

Danke

Fox-Tech · ‎2017-12-05

Hallo @DominikS

Danke für deine Rückmeldung!

Ein sehr seltsames Verhalten, was wir Beide , bezüglich Connection, bei unseren Geräten vorfinden.

Von anderer Seite habe ich mir sagen lassen, dass T-Mobile mit dem "Extreme Tarif" 150/30 so seine Probleme hat.

Scheinbar trifft das aber auch auf A1 zu.

Ich kann auf jeden Fall bestätigen, dass die Abbrüche und der darauf folgende Reconnect zeitlich mit den Portscans (Dos Attack) stattfinden.

Anbieter: T-Mobile Austria

Tarif : My HomeNet unlimited Extreme i 150/30 - real zw. 40 und 80 Mbit Download /30Mbit Upload

Tarifart: 3G/4G Mobile Daten only

Anbieter Firewall: Router standard + Softwarelösung am Computer

DHCP/fixed im Netzwerk

DMZ: nein

Netzwerk-Zugriffssteuerung aktiviert - Verbindung für alle neuen Geräte gesperrt. (manuelle Einrichtung)

Ports im Router bis auf 443 geschlossen, kein uPnP

Open Ports bei T-Mobile in der Regel nicht verfügbar (von anderen Kunden gehört, da im original Router vom Anbieter die Funktion uPnP ebenfalls ausser Kraft gesetzt wird. Firmwareseitig)

LG Fox-Tech

DominikS · ‎2017-12-06

Servus @Fox-Tech,

wie es scheint dürfte das ein Problem in Österreich sein sobald man den Router Sim Only betreibt.

Die Tarife dürften, egal von welchem Anbieter (Information eines sehr kompetenten A1 Service Beraters, selbst Gamer), wesentlich strikter behandelt werden was das Thema Ports und Firewall betrifft, behandelt werden.

Was ich gerade interessant finde, bis zum letzten Wochenende hatte ich im Protokoll genau die gleichen Einträge vorgefunden wie du, jetzt als ich gerade das Protokoll geprüft habe, fand sich kein einziger mehr.

Bei mir waren die Abbrüche immer pünktlich um 13:28,14:28,15:28 usw.

UPDATE: [DoS attack: FIN Scan] attack packets in last 20 sec from ip [31.xx.xx.x], Wednesday, Dec 06,2017 12:35:46

Genau in dem Moment als ich diese Antwort schrieb, lief auf Youtube ein Video, plötzlich Buffering, sofort Uhrzeit mit dem Protokoll verglichen, siehe da Verbindungsabbruch genau mit der DoS Attake... der Eintrag ist der einzige zu der Uhrzeit.

Wäre interesant ob sich hier noch ein paar User finden die ein gleiches Verhalten haben.

Ich bin gespannt auf den Input der Netgear Pro´s, wenn das Problem auch noch gelöst wird bin ich mehr als glücklich mit dem Router.

Danke

Fox-Tech · ‎2017-12-06

Servus@DominikS

Hab heute von 3:30 bis kurz vor 6 Uhr getestet und Log kontrolliert. Kein Eintrag.

Jetzt komme ich anch Hause, checke die routereinträge und siehe da...

Eine Liste mit [DoS attack: FIN Scan] attack packets in last 20 sec from ip [13.xx.xx.xx], Wednesday, Dec 06,2017 16:27:22

Diese IP gehört Amazon. FIN Pakete bekomme ich auch von Microsoft.

Denke nicht, dass es sich hier um eine Attacke im herkömmlichen Sinn handelt.

Aber der Router sieht es als solche an und macht den Verkehr dicht? Ist nur eine Vermutung meinerseits.

Seit meine Frau an ihrem PC sitzt, sind auch die Einträge wieder im Log.

Also FIN macht mir weniger Sorgen, aber die STROM-Einträge.

Muss mir ihren PC nochmal vornehmen.

Du denkst, es ist nur ein Problem bei uns Österreichern?

Na toll. Da kann es dauern, bis wir Hilfe erhalten 😉

Unter abuseipdb.com kannst du schauen, wem welche IP gehört.

LG Fox-Tech

Sh4rp · ‎2017-12-27

Hi,

ich habe exakt das selbe Problem wie ihr.

Ca. jede Sunde (nicht immer) verlieren wir die Verbindung.

Ist schön zu sehen am Steam FreundeFenster (zu letzt Online ...).

Anbieter ist 3 Österreich

Tarif Hui Flat 150 (150/50)

Last mich bitte wissen wenn ihr eine Lösung gefunden habt.

Frohe Weihnachten und guten Rutsch!

Fox-Tech · ‎2017-12-27

Hallo Sharp, Hallo Leidensgenosse

Ich steh im Moment echt auf der Seife.

Hatte zwei Tage den original T-Mobile Router aktiviert und selbst da kommen alle 60 Minuten die Abbrüche.

In den letzten Wochen wirklich alles versucht, was mir eingefallen ist. Ports dicht machen, Router Reset, Router getauscht, PC's platt gemacht und neu eingerichtet usw. Keine Änderung =(

Hab jetzt ein neues Support Ticket an T-Mobile gesendet.

Sollte es Neuigkeiten geben, sag ich bescheid.

LG Fox-Tech

Scheinbar trifft es aber nur Leute mit 150/30-50er Tarif?

Slas · ‎2017-12-28

Hallo @Fox-Tech,

vielen Dank für Deinen Beitrag.

Das sieht somit wie eine Zwangstrennung seitens Provider aus.

Grüße
Slas
NETGEAR Community Team

Sh4rp · ‎2017-12-31

Haben ein neues Verhalten festgestellt.

Jetzt steht beim Verlust zum Internet kein Eintrag mehr im Log.

Unter "Advanced" --> "Show Statistics" steht bei "WAN" das die Verbindung nie getrennt wurde.

Meine Vermutung ist jetzt das der "Router" die Verbindung zum Modem abbricht oder der Router ansicht die Verbinddung zum Netzt abbricht.

Wärend eines Disconnects können wir auch nicht auf den Router/Modem zugreifen (so wie auf andere Geräte im Netzwerk).

Frohes Neues!

Vigo59 · ‎2018-01-02

Hallo,
Was heißt das jetzt im Klartext? Lässt sich das mit einer neuen Firmware fixen oder liegt hier ein Hardware defekt vor. Ich kann den Router zum technischen Dienst senden da ich ja noch in der Garantiezeit liege.
LG und
Alles Gute für 2018

Sh4rp · ‎2018-01-02

Das kann ich leider nicht genau sagen.
Ich vermute aber das es ein Firmware Problem ist, da wir die Verbindung nicht immer verlieren.

Vigo59 · ‎2018-01-02

Hallo,
Danke für schnelle Antwort.
Ja und woher, oder besser von wem bekommen wir eine neue Firmware. Arbeitet Netgear eigentlich an dem Problem bzw. wie weit wissen die von dem Problem?
Gruß Vigo59

Fox-Tech · ‎2018-01-02

Hallo Vigo, hallo Sharp

Netgear wird sicher schon davon wissen. Die Mods im Forum werden relevante Dinge sicher weiter geben.

Eben mein Log vom Router gecheckt.

Eine ganze Liste von DoS attack Sorm. Nur 2 IP's und Beide stammen von wohl von seriösen Firmen (Data Center/Web Hosting/Transit)

Dürfte also rein am Router liegen, wenn man die Sicherheitseinstellungen nicht lockern will. Und das will ich nicht.

Hoffe, wir erhalten bald Hilfe!

LG-Fox-Tech

[DoS attack: STORM] attack packets in last 20 sec from ip [177.53.62.18], Monday, Jan 01,2018 18:30:16
[DoS attack: STORM] attack packets in last 20 sec from ip [176.74.128.41], Monday, Jan 01,2018 18:30:16
[DoS attack: STORM] attack packets in last 20 sec from ip [177.53.62.18], Monday, Jan 01,2018 18:30:15
[DoS attack: STORM] attack packets in last 20 sec from ip [176.74.128.41], Monday, Jan 01,2018 18:30:15
[DoS attack: STORM] attack packets in last 20 sec from ip [177.53.62.18], Monday, Jan 01,2018 18:30:14
[DoS attack: STORM] attack packets in last 20 sec from ip [176.74.128.41], Monday, Jan 01,2018 18:30:14
[DoS attack: STORM] attack packets in last 20 sec from ip [177.53.62.18], Monday, Jan 01,2018 18:30:13
[DoS attack: STORM] attack packets in last 20 sec from ip [176.74.128.41], Monday, Jan 01,2018 18:30:13
[DoS attack: STORM] attack packets in last 20 sec from ip [177.53.62.18], Monday, Jan 01,2018 18:30:12
[DoS attack: STORM] attack packets in last 20 sec from ip [176.74.128.41], Monday, Jan 01,2018 18:30:12
[DoS attack: STORM] attack packets in last 20 sec from ip [177.53.62.18], Monday, Jan 01,2018 18:30:11
[DoS attack: STORM] attack packets in last 20 sec from ip [176.74.128.41], Monday, Jan 01,2018 18:30:11
[DoS attack: STORM] attack packets in last 20 sec from ip [177.53.62.18], Monday, Jan 01,2018 18:30:10
[DoS attack: STORM] attack packets in last 20 sec from ip [176.74.128.41], Monday, Jan 01,2018 18:30:10
[DoS attack: STORM] attack packets in last 20 sec from ip [177.53.62.18], Monday, Jan 01,2018 18:30:09
[DoS attack: STORM] attack packets in last 20 sec from ip [176.74.128.41], Monday, Jan 01,2018 18:30:09

Slas · ‎2018-01-04

Hallo @Fox-Tech

ich habe intern über die Probleme berichtet, jedoch würde ich trotzdem empfehlen den Support zu kontaktieren.

Jeder Besitzer der sich mit einer technischen Anfrage meldet bekommt eine Fall Nummer und kann individuell betreut werden.

Grüße
Slas
NETGEAR Community Team

Fox-Tech · ‎2018-01-04

Danke für deine Mühe!

Werde mich mit dem Support in Verbindung setzen.

Vielleicht kann man dadurch schneller zu einer Lösung finden.

LG Fox-Tech

Vigo59 · ‎2018-01-06

Hallo,

Im US-Forum wird über eine neue beta Firmware berichtet. Ich erlaube mir zu zitieren:

I disabled autmatic roaming in the config, rebooted the router and now I have less disconnecion with the beta firmware, about one or two per day.
I'm keeping this config until the issue is officially solved.

Thanks Absynthe for the firmware !

Vielleicht ein Lichtblick?

Grüsse

Vigo

Fox-Tech · ‎2018-01-06

Hallo Vigo!

Danke für die Info.

Da ich T-Mobile HomeNet User bin, hab ich Roaming ohnehin deaktiviert, da eine Verbindung zu anderen Anbietern nicht möglich ist.

Hoffentlich wird die neue Beta ausgiebig getestet. Ich würde auch sofort testen, falls es von Netgear veröffentlicht wird.

Aber es ist ein Lichtblick!

LG-Fox-Tech

Sh4rp93 · ‎2018-02-02

Hi,

ich hab gute Neuigkeiten bezüglich Verbindungsverlust. Nach langem hin und her mit dem Support haben wir jetzt eine Beta Firmware die funktioniert (V1.0.0.33T1_1.0.6). Das Problem war/ist der ISP lease. In der Beta Firmware kann man diesen auf 12h stellen und siehe da keine Abbrüche mehr 😊

Ich hoffe es gibt dann bald eine offizielle Firmware Version dazu.

Fox-Tech · ‎2018-02-02

Hi!

Das sind gute Neuigkeiten!

Da mein Router noch nicht zurück gekommen ist, hab ich noch Zeit zum Warten xD

Aber schön, das die Techniker wohl eine Lösung gefunden haben!

Vigo59 · ‎2018-02-03

Hallo,
Kann mit vllt wer erklären was es jetzt aufsicht hat. Ich habe vor einer Woche vom Support die Firmware V1.0.0.41T_1.0.6 bekommen jetzt gibt es die...33T das ist ja von der Nr niederer. So man diese verwenden?
Was hat es mit ISP lease und 12h aufsich? Bin da nicht so beflissen.
LG
Vigo

Sh4rp93 · ‎2018-02-03

Hi,

die Firmware V1.0.0.41T_1.0.6 hatten wir auch bekommen, leider ohne Erfolg.

Danach haben wir die 33T (ja diese Version ist älter) bekommen, bei dieser Firmware kann man den ISP lease einstellen. Dieser kann unter http://www.routerlogin.net/debug.htm ganz unten mit der Auswahlbox ausgewählt werden und mit „debug apply“ eingestellt werden.

Der ISP lease ist wie ein DHCP lease vom Internetanbieter. Der Router hat sich jede Stunde, vom Internetanbieter (in meinem Fall 3), eine neue IP-Adresse geholt. Im Normalfall passiert das einmal am Tag.

Ich hoffe das ist verständlich(er).

LG

Sharp

Vigo59 · ‎2018-02-03

Hi Sharp,

Danke, alles klar sehr gut erklärt.

LG

Vigo

Sh4rp93 · ‎2018-02-10

Hi,

leider haben wir das selbe Problem wieder

Disconnect jede Stunde, die IP-Adresse bleibt jetzt aber gleich.

Die Supportanfrage ist geschlossen worden und mein "Premium" Support ist abgelaufen.

Weiß wer wie ich jetzt zu meinem Support komme?

LG

Sharp

Fox-Tech · ‎2018-02-10

2x was für ein Mist!

Wie kam es denn dazu, dass sich die stündlichen Trennungen wieder eingestellt haben?

Wurde die überarbeitete Firmware verworfen?

Mein Netgear ist noch immer auf Reparatur, darum kann ich nichts testen... leider!

Wegen Support, frag mal den Moderator Slas im Forum .

Vigo59 · ‎2018-02-11

Hallo,

@Sharp

Ich hatte ja das gleiche Problem bekam vom Support eine neue Firmware, jetzt läuft das System (Holz klopf) seit 14 Tagen stabil. Vielleicht probierst Du mal die Firmware.

https://www.dropbox.com/s/tn58czmle1ywzgs/R7100LG-V1.0.0.41T1_1.0.6EUS.chk?dl=0

ich weis aber nicht ob der link noch downloadable ist.

ps.

Sollte mein Router wieder die Verbindung verlieren geht er sofort zurück und wechsel auf ein anderes Produkt, denn ich habe keine Lust auf, diese oder jenes zu testen, der hat für den Preis einfach zu funktionieren.

LG

Vigo