DOS-attackerad?!

[hajof70]

Sedan några veckor tillbaka får jag kanske 40.000rader/dygn i min routers (D-Link 655) logg med föjande innehåll:
[INFO] Sun Jul 26 07:31:11 2009 Blocked incoming TCP packet from 81.233.10.6:yyyyy to xx.xxx.xx.xx:14203 as RST received but there is no active connection***

där yyyyyy är ett antal olika portar och xx.xxx.xx.xx är min tcpip-adress.

=> Detta påverkar så klart min nätprestanda. Kan jag minska påverkan på min router på något sätt och kan jag anmäla/blockera IP-adressen någonstans?

 

[Mikael_L]

Fråga din ISP om dom kan blockera.

 

[joflopp]

40 000 extra paket per dygn borde inte vara något som påverkar din prestanda mer än att loggarna fylls upp i din D-Link. Har du något som är uppe och snurrar på porten 14203? Hade det varit fler portar som den försökt nå hade jag gissat på portscanning.

 

[hajof70]

Glocalnet är kontaktade och jag körde en who.is vilket pekade på Telia så de har fått ett mail också.

Har inget grepp om 40.000 rader är mycket men nog verkar det som om nätet "hämtar andan" ibland. Och om inte annat kostade det mig ju 1000 spänn att köpa en ny router då min gamla LevelOne inte orkade med det

Jag har bara den här porten sedan jag börjat studera loggarna. Det är möjligt att andra portar har sökts av tidigare men det vet jag inte.

Hur kontrollerar jag om jag har något på porten som kör?

 

[mrfrenzy]

Bästa prestandaförbättringen får du av att stänga av loggingen i din d-link. Det finns miljontals burkar därute med virus som spyr ut allehanda skräptrafik, du kan ju ta reda på avsändarens isp och skicka dom ett mail, efter en vecka när dom med lite tur kommer till det så har användaren troligen redan rensat sin burk.

 

[hajof70]

Hmmmm, det kändes som ett lite uppgivet svar... Men tänker jag efter så har du väl tyvärr rätt i det du skriver

 

[mrfrenzy]

En betydligt snabbare lösning för din del om du har dynamiskt ip är att helt enkelt byta det. Ofta kan det räcka att koppla ur modemet en stund, ibland får man välja release och renew i datorn/routern som är ansluten.

 

[hajof70]

Jag tror inte det, har PPPoE och det ger mig väl samma adress?

 

[mr_look2]

Kan det inte vara så att du kanske tankat ner nånting via torrent, eller något anat protokoll som använder många samtidiga anslutningar. När du sedan stängt nedladdningen så tror fortfarande databasen att du delar ut filen och andra försöker kontakta din dator för att ladda ner...

Eller tvärt om, att du försöker kontakta en dator som inte har, eller inte längre delar ut filen

 

[hajof70]

Grymt länge sedan jag roade mig med torrents. Numera kör jag nästan uteslutande jobbdatorn hemma och på den finns inga "märkliga" program. Använder i princip bara Internet explorer och office-paketet, privat såväl som i jobbet (via VPN-tunnel i det sistnämnda fallet).

 

[mrfrenzy]

Jag har själv inte råkat ut för Glocalnet eftersom dom inte finns här, men det verkar som att dom använder någon form av semipermanent IP som delas ut via PPPoE. Om man är frånkopplad tillräckligt länge så är risken/chansen(beroende på synvinkel) ganska stor att någon annan kund "snor" ditt ip. Lite diskussioner i ämnet:
http://www.99.se/internet-bredband/54420-glocalnet-adsl-8mbit-foer-289kr-i-manaden.html
https://www.flashback.info/archive/index.php/t-290928.html
http://www.sweclockers.com/forum/showthread.php?s=&threadid=453523

Prova alltså att koppla ur alltihop över natten eller när du är på jobbet, eller som dom pratar om i trådarna att flytta PPPoE-funktionen från router till modemet eller vice versa beroende på vilket du har nu. Eftersom det blir ny MAC så borde det bytas direkt då.