temat Blokowanie portów w Modemy i routery

Blokowanie portów

MariuszKordiusz — Mon, 08 Jul 2019 15:11:33 GMT

Dzień Dobry, niedawno dowiedziałem się że jest możliwość zablokowania portów routera przed atakami DDOS czy orientuje się ktoś jak dokładnie zablokować porty,jakie porty miałbym zablokować lub jeśli możecie podesłać jakiś poradnik byłbym wdzięczny. (Posiadam Neostrade)

Blokowanie portów

Piotrekk85 — Mon, 08 Jul 2019 15:15:08 GMT

Jeśli masz routery typu funbox i Livebox i masz włączoną domyślną cybertarczę, to raczej jest to domyślnie włączone.

Blokowanie portów

Anonim — Mon, 08 Jul 2019 15:17:50 GMT

Domyślnie włączone są zabezpieczenia Orange, tak jak wspomniał powyżej Piotrek, aczkolwiek nawet blokada portów nie jest w stanie zapobiec atakowi DDoS, gdyż najpierw ten ruch i tak musi zostać odebrany, by został zablokowany przez firewall'a.

Jeśli posiadasz FunBox'a, to zaloguj się do panelu administratora (192.168.1.1 / hasło admin), wejdź w "zaawansowane" > "konfiguracja zapory sieciowej" > "wysoki" / "użytkownika" i tam możesz blokować porty.

Zależy, jakie usługi chcesz wystawić do internetu - ciężko więc podać konkretne porty.

Jednak tak jak mówiłem - pakiety nadal muszą zostać odebrane przez hosta docelowego, bo Orange w usługach indywidualnych nie ma zabezpieczenia przed Twoim routerem.

Jedyną opcją jako-takiego zabezpieczenia przed DDoS w usługach indywidualnych jest VPN, najlepiej w OVH/Hosteam (tam mają w Polsce najlepszą ochronę Anty-DDoS w najlepszej cenie).

Blokowanie portów

Anonim — Mon, 08 Jul 2019 15:44:40 GMT

Wpada sprostować, ataki jak już to DoS, te szczególnie dotykają graczy, usługę VPN można w Orange wykupić, będzie bezpieczniej, ataki DDoS celują w serwery czy Firmowe czy Rządowe, wymagają sporych zasobów więc jednostek nie dotykają, tylko większe cele.

Blokowanie portów

Piotrekk85 — Mon, 08 Jul 2019 15:56:40 GMT

Nie ma vpn dla klientów neostrady.

Blokowanie portów

Anonim — Mon, 08 Jul 2019 16:06:39 GMT

W Orange nie. To fakt.

Ale jeśli ktoś chce się zabezpieczyć przed DoS (tu fakt, mój błąd - w pojedyncze osoby raczej tylko DoS), to pozostaje tylko VPN - i tu już jest wiele ofert w internecie.

Blokowanie portów

Piotrekk85 — Mon, 08 Jul 2019 16:22:59 GMT

Ale to zabezpiecza router? Routery typu funbox i livebox mają domyślnie zablokowany dostęp z zewnątrz poza opcjami diagnostycznymi od bezpośrednio Orange.

Blokowanie portów

Anonim — Mon, 08 Jul 2019 16:25:52 GMT

Tak, mają zablokowany dostęp z zewnątrz - jednak (przekonałem się o tym niejednokrotnie na własnej skórze jak się dużo grało :[) jak ktoś ma Twój adres IP, to wystarczy darmowym stresserem nawet puścić jakiegoś DoSa, na port który nie jest zablokowany - a takich jest cała masa, w dalszych zakresach od 30000-65000 - by wysycić łącze (jak ktoś ma 1 Gbit/s to raczej tego nie odczuje).

I tu pojawia się problem, że nawet jak na poziomie ostatniej mili - czyli naszego routera zablokujemy porty (a jest to możliwe), to i tak pakiet musi trafić do naszego routera żeby ten mógł go odrzucić - czyli tak czy siak dojdzie do zapchania łącza pakietami.

Trzeba zamaskować IP, a dodatkowo VPN - tak, jak ja mam np. w OVH - przejmie na siebie ruch z ataku, jednak tam już są zabezpieczenia przed samym serwerem głównym (tym, na którym jest VPN) - co znacznie ułatwi korzystanie z internetu przez taki VPN podczas ataku.

Inaczej, blokady takie jakie ma FunBox na niewiele się zdadzą - zabezpieczenie musiałoby być na etapie centrali dostępowej, a takich niestety w Orange nie ma.

Cybertarcza nie zabezpiecza przed DoS/DDoS, a dostęp do panelu konfiguracji routera też nie musi być ograniczony by takie ataki straciły jakąkolwiek szansę na powodzenie.

Blokowanie portów

Anonim — Mon, 08 Jul 2019 16:52:47 GMT

@Anonim CyberTarcza mogła by te ataki blokować, ba FunBox 3.0 powinien mieć stosowne ustawienia do ataków DoS, TP-Link Archer C6 ma stosowne zabezpieczenie, szkoda że jako 2 w mojej sieci jest, ten od dostawcy marny, ale wymienię na lepszy, dobrze że mają taką opcję.

Blokowanie portów

Anonim — Mon, 08 Jul 2019 16:59:41 GMT

Mogłaby, co nie znaczy że to robi 🙂

Jak już mówiłem, wielokrotnie przekonałem się o tym na własnej skórze - ba, nawet sam to testowałem! 😛

I niestety, skuteczne zabezpieczenie było tylko przy używaniu VPN.

Nawet najlepszy router nie będzie w stanie zabezpieczyć przed atakami DoS, jeśli pakiety muszą do niego i tak dojść - tu nie ma firewalla sprzętowego po drodze, który zablokuje pakiety z ataku, a puści te dobre.

Jeśli przechodzą więc wszystkie pakiety - nawet router z najwyższej półki "polegnie" w tej "bitwie". Jeśli ktoś przeprowadzi dobrze taki atak, będzie nawet w stanie odciąć centralkę ADSL. Bo pakiety i tak muszą zostać odebrane, aby potem zostały posegregowane.

Blokowanie portów

Anonim — Mon, 08 Jul 2019 17:02:17 GMT

@Anonim do testów podpiąłem wewnątrz sieci router i zaatakowałem z laptopa, biedak nie wyrobił, nie chodzi nawet o to że net straci, bebechy słabe i spowolnił strasznie, VPN w takim wypadku lepszą ochroną jest, sporadyczne ataki Router odeprze, ba nawet lista do blokowania jest.

Blokowanie portów

Anonim — Mon, 08 Jul 2019 17:05:59 GMT

Wszystko zależy od rozmiaru ataku. DoS'y w takich "domowych" warunkach nie przekraczają z reguły 1 Gbit/s, dlatego nadmieniłem w pierwszej odpowiedzi - że jak ktoś ma 1 Gbit/s u siebie wykupiony to nie odczuje tego.

Jak ja mam 100 Mbit, to dla mnie już będzie to po prostu odcięcie od internetu, 300/600 Mbit/s też można z darmowego stressera puścić nawet. Co dopiero z płatnych.

Sporadyczne ataki może i tak, ale wciąż piekielnie ciężko będzie w domowych warunkach zabezpieczyć się tylko na poziomie samego routera. Zawsze coś przejdzie, a jeśli idzie tego duża ilość - to i tak zapcha ;]

VPN jest najlepszą ochroną w takim wypadku 😜

Blokowanie portów

Anonim — Mon, 08 Jul 2019 17:10:01 GMT

@Anonim takie ataki DoS powinni blokować dostawcy netu, przecież oni monitorują ruch w sieci, ale wszyscy to mają gdzieś, reagują jak im serwer przyblokuje dopiero, mam 300/50 i jak na razie stabilnie jest, o niebo lepiej niż na miedzi, nie gram to tylko szybkość netu się liczy.

Blokowanie portów

Anonim — Mon, 08 Jul 2019 17:14:26 GMT

Zgadzam się, powinni to blokować, jak najbardziej monitorują ruch w sieci. Ale niestety, w praktycznie 100% przypadków dostawców dla klientów indywidualnych, działania podejmowane są dopiero jak będzie to szkodzić więcej niż jednemu klientowi.

To nawet jest w umowie, że Orange może wypowiedzieć umowę klientowi, którego wykorzystanie usług zagraża ogólnej stabilności sieci. A pojedynczy DoS, w 95% przypadków nie ruszy nikogo, poza celem.

I właśnie dlatego nikt nie reaguje.

To jest słabe, ale niestety taka jest rzeczywistość.

Dlatego kombinowanie przy blokowaniu portów NIE zadziała w przypadku ataków DoS/DDoS - do tego potrzebne są specjalistyczne rozwiązania, a do takich zalicza się np. VPN, czy Firewall przed routerem klienta - ale to trzeba by mieć tak jakby dwie linie - jedna do odbierania ataków, druga do korzystania. Takie coś jest nierealne w przypadku usług dla klientów indywidualnych.

Blokowanie portów

Anonim — Mon, 08 Jul 2019 17:49:58 GMT

@Anonim ja mam obecnie podwójny NAT, bo jakoś nie wierzę w ochronę tego tandetnego routera co Operator dał, zapora od Norton Security chroni komputer i to chyba wystarczy.

Blokowanie portów

Anonim — Mon, 08 Jul 2019 18:18:13 GMT

Tu nie chodzi o zabezpieczenie przed włamaniem na komputer/do sieci a o ataki DDoS/DoS.

To dwie różne sprawy.

Do tych pierwszych wystarczy firewall od FB + CyberTarcza.

Do tych drugich, trzeba bardziej skomplikowanych rozwiązań.

Ale jak już zaznaczyłem - dla klientów indywidualnych jest tylko VPN. Blokada portów nic nie da.

Bo pakiety i tak trzeba będzie odebrać, aby wyfiltrować.

Blokowanie portów

Piotrekk85 — Mon, 08 Jul 2019 20:58:58 GMT

Bo "aferze" sprzed kilku lat, obecnie wszelki zdalny dostęp na funboxy/liveboxy poza kanałami Orange jest zablokowany. Na urządzenie i owszem, ale na sam router bez ingerencji użytkownika na defaulcie to nie powinno być możliwe.

Blokowanie portów

Anonim — Mon, 08 Jul 2019 21:05:35 GMT

@Piotrekk85 zdalny dostęp jest zablokowany. Nie wejdziesz na router z zewnątrz na domyślnej konfiguracji. Natomiast chodzi tu o zalanie pakietami adresu IP.

Nie wiem jak Ci to przedstawić.

Zobacz - masz router. Jest ustawiony domyślnie czyli nie ma zdalnego dostępu do niego.

Jednak adres IP klienta jest publiczny. Ma on pewną pulę otwartych portów TCP/UDP. Np. jak korzystasz z komunikatora TS3 - jak sprawdzisz swoje IP, czy mając uprawnienia administratora czyjeś - widzisz tam IP-port.

I teraz tak - atakujesz np. dany port dla tego adresu IP - odcinasz wtedy użytkownika od internetu w 70% przypadków.

Dostęp do routera to co innego - zalewasz pakietami po prostu otwarty port użytkownika, bo jego IP jest publiczne 😉

W przypadku internetu mobilnego jest ciężej, bo jest schowany za NATem i atakujesz tak naprawdę nadajnik, który jednak jest chroniony przed takimi atakami. Tu atakujesz klienta z publicznym IP i otwartym portem - jego router jest zapchany bo ma więcej pakietów, niż jest w stanie obsłużyć.

Mam nadzieję, że wytłumaczyłem dobrze 😉