Pomoc Pytania dot. QuFirewall - Jak zabezpieczyć serwer?

[Silas Mariusz]

Pytania dot. tematu: Jak to zrobić? - QuFirewall - Jak zabezpieczyć serwer przed atakami a jednocześnie komfortowo z niego korzystać? Wersja dla regionu: Polska | QNAP Polska - Oficjalne forum wsparcia technicznego QNAP Club

Jak zabezpieczyć serwer?
... i uchronić się przed atakami tj. malware typu Qlocker?
REKOMENDACJE EKSPERTÓW​

• Zainstaluj Malware Remover
  
  
• Zaktualizuj oprogramowanie firmware
  
  
• Włącz automatyczne aktualizacje
  
  
• Wykonaj poniższy zestaw zalecany przez ekspertów QNAP (!)

1. Wyłącz TELNET
   
   
2. Zainstaluj QVPN i włącz protokół Qbelt
   
   
3. Zmień domyślne porty, tj. SSH, FTP, Rsync, RTRR, panelu do zarządzania serwerem QNAP na wyższe z przedziału 30 000-50 000.
   
   

   Usługa	Oryginalny port	Przykładowy nowy port
   QTS Web	8080	48080 *
   QTS Web SSL	443	48443 *
   SSH	22	48022 *
   FTP	21	40021 *
   Rsync	873	48873 *
   RTRR	8899	48899 *
   QVPN/Qbelt	443	48443 *

   * Podane porty są dla przykładu. Użyj generator wysokich portów dla QNAP:
   → QNAP Random Port Generator
   
   Gdzie zmienić domyślne porty?
   Pokaż załącznik 38998
   
   
4. W serwerze Web używaj standardowych portów: 80 i 443 dla SSL.
   
   
5. Zainstaluj i włącz aplikację QuFirewall. Aktywuj w firewall Basic profile.
   
   
6. Jeśli potrzebujesz zdalnego dostępu do serwera lub masz uruchomione aplikacje tj. jak Plex konieczne jest dodanie dodatkowych reguł.
   • zezwól na dostęp do serwera via QVPN/Qbelt
     
     
   • zezwól na zdalny dostęp dla Plex, aby inni użytkownicy mogli łączyć się z Twoim serwerem
     
     
   • jeśli korzystasz z Wordpress lub innych serwisów WWW, zezwól na dostęp na portach 80 i 443
   
   W tym celu edytuj aktywowany profil w aplikacji QuFirewall i dodaj odpowiednio poniższe reguły tak, aby uzyskać poniższy wzorzec.
   
   Bezpieczeństwo: Wysokie!
   
   

   Domyślna reguła	Edytowalna reguła	Uprawnienia dostępu	Interfejs sieciowy	Źródło próbujące uzyskać dostęp	Maska podsieci dla adresacji IP	Protokół sieciowy	Port usługi	Notka referencyjna / Opis usług
   		Zezwól		Aplikacja				Domyślne: Aplikacje tj. Virtualization Station, Container Station
   		Odmów		PSIRT				Domyślne: Product Security Incident Response Team
   		Odmów		Ochrona dostępu adresów IP				Domyślne: Automatycznie zablokowane adresy IP po zbyt wielu nieudanych próbach logowania w określonym czasie
   	✔	Zezwól	All	IP, podsieć IP: 10.6.0.0	255.255.255.0/24	Any	Dowolny	Wszystkie usługi i porty w serwerze dostępne via QVPN/Qbelt
   	✔	Zezwól	All	Region: Polska	-	TCP	48021,45536-46559	Port serwera FTP oraz zakres portów trybu pasywnego
   	✔	Zezwól	All	Dowolne	-	UDP	48443	Port dostępu usługi QVPN/Qbelt
   	✔	Zezwól	All	Dowolne	-	TCP	80,443	Porty dla serwera Web
   	✔	Zezwól	All	Dowolne	-	TCP	32400	Port dla aplikacji Plex*
   				...
   	✔	Zezwól	All	192.168.0.0	255.255.255.0/24	Any	Dowolny	Domyślne: Adresacja Twojej sieci z której masz pełny dostęp do serwera, np.: 192.168.88.0/24, 192.168.0.0/24, 172.168.0.0/16, 10.0.0.0/8
   				...
   		Odmów	All	Any		Any	Dowolny	Domyślne: Odmów wszystkie pozostałe połączenia

   
   Na tym etapie powinieneś zakończyć zabezpieczenia serwera.
   Dziękujemy!
   
   
7. Jeżeli natomiast z jakiegoś powodu, korzystasz z większej ilości usług zdalnych, np. Music Station w Car Audio, udostępniasz albumy via QuMagie i jesteś zmuszony zastosować wyjątek i nie korzystać w tym celu z połączenia via VPN, skorzystaj z poniższego wzorca. Poniższe reguły w połączeniu ze zmianą portów zabezpieczą Twój serwer na ataki z botnetów pochodzących z innych rejonów niż Polska.
   
   Bezpieczeństwo: Średnio-Niskie
   
   Notka: Pamiętaj poniższe reguły są mniej zalecane niż wzorzec z punktu 6 z wykorzystaniem VPN!
   
   

   Domyślna reguła	Edytowalna reguła	Uprawnienia dostępu	Interfejs sieciowy	Źródło próbujące uzyskać dostęp	Maska podsieci dla adresacji IP	Protokół sieciowy	Port usługi	Notka referencyjna / Opis usług
   		Zezwól		Aplikacja				Domyślne: Aplikacje tj. Virtualization Station, Container Station
   		Odmów		PSIRT				Domyślne: Product Security Incident Response Team
   		Odmów		Ochrona dostępu adresów IP				Domyślne: Automatycznie zablokowane adresy IP po zbyt wielu nieudanych próbach logowania w określonym czasie
   	✔	Zezwól	All	IP, podsieć IP: 10.6.0.0	255.255.255.0/24	Any	Dowolny	Wszystkie usługi i porty w serwerze dostępne via QVPN/Qbelt
   	✔	Zezwól	All	Region: Polska	-	TCP	48080,48443	Porty zarządzania QNAP, Qsync, QuMagie... dostęp tylko z Polski Wyłącz tą regułę, aby uzyskać: Bezpieczeństwo: Średnio-wysokie
   	✔	Zezwól	All	Region: Polska	-	TCP	48021,45536-46559	Port serwera FTP oraz zakres portów trybu pasywnego
   	✔	Zezwól	All	Dowolne	-	UDP	48443	Port dostępu usługi QVPN/Qbelt
   	✔	Zezwól	All	Dowolne	-	TCP	80,443	Porty dla serwera Web
   	✔	Zezwól	All	Dowolne	-	TCP	32400	Port dla aplikacji Plex*
   	✔	Zezwól	All	Dowolne	-	TCP	8096	Port dla aplikacji Emby/Jellyfin*
   	✔	Zezwól	All	Dowolne	-	TCP	6881-6889	Porty dla aplikacji Download Station
   	✔	Zezwól	All	Dowolne	-	UDP	6881-6889	Porty dla aplikacji Download Station
   	✔	Zezwól	All	Dowolne	-	TCP	48873	Port Rsync dla HBS3
   	✔	Zezwól	All	Dowolne	-	TCP	48899	Port RTRR dla HBS3
   	✔	Zezwól	All	Dowolne	-	TCP	42000,6881	Porty dla aplikacji Rtorrent-Pro
   	✔	Zezwól	All	Dowolne	-	UDP	42000,6881	Porty dla aplikacji Rtorrent-Pro
   	✔	Zezwól	All	Dowolne	-	TCP	14023-14024	Port dla aplikacji SoulseekCloud
   				...
   	✔	Zezwól	All	192.168.0.0	255.255.255.0/24	Any	Dowolny	Domyślne: Adresacja Twojej sieci z której masz pełny dostęp do serwera, np.: 192.168.88.0/24, 192.168.0.0/24, 172.168.0.0/16, 10.0.0.0/8
   				...
   		Odmów	All	Any		Any	Dowolny	Domyślne: Odmów wszystkie pozostałe połączenia

   
   
   Dziękujemy

​

Objaśnienia​

Edytowalna reguła:​

– Reguła nieedytowalna​

✔ – Tak, należy dodać samemu​

– Reguła domyślna w Basic profile​

​

* Plex:​

W aplikacji Plex należy wyłączyć mapowanie portu i korzystać ze statycznego portu, tj. 32400.​

Pokaż załącznik 38977​

​

Często zadawane pytania​

Q: Czy jeśli na routerze mam przekierowany tylko port QTS Web SSL, to czy muszę stosować te reguły?​

A: Tak. Filtrowanie według regionu odrzucić potencjalny atak botnetu pochodzący z krajów innych niż Polska.​

​

Ważna informacja​

Powyższe reguły nie oznaczają, że możesz przestać monitorować aktywność na serwerze. Każda instalowana aplikacja w serwerze oraz oprogramowanie pokładowe firmware wymagają regularnych aktualizacji.​

 

[Ice]

A jak masz linucha to możesz portu poszukać:
nmap -sT ipserwera

 

[agrest]

To pewnie źle ustawiłeś reguły i Cię odrzuca

 

[Ice]

Jak robiłeś QuFirewalla to KOLEJNOŚĆ MA ZNACZENIE ;] jak dałeś denny na początek, to uwala wszystko co pasuje i dalej nie sprawdza.

 

[winiak]

i tutaj najpewniej jest problem, wcześniej jak mnei qufirewall uwalał to mogłem się dostać przez myqnap a teraz nawet tam mnie wywala

 

[Ice]

3sek reset i walcz od nowa.

 

[winiak]

eh, tego się obawiałem, całą konfigurację trzeba będzie robić od nowa :/

 

[Ice]

za to się czegoś nauczysz

 

[winiak]

trochę już się nauczyłem jeszcze muszę rozkminić dlaczego pihole przestaje działać ale pewno założe nowy topic do pod ten problem. Dostęp do dysków mam a dzisiaj już usypiam na klawiaturze więc pewno dopiero w weekedn wezme się za naprawę własnych błędów

 

[Kamil84]

eh, tego się obawiałem, całą konfigurację trzeba będzie robić od nowa :/

3 sek reset nie usuwa wszystkiego, tylko ust sieciowe i hasło admina

 

[lolo]

No cóż, router od dostawcy lub jeszcze lepiej jakiś Huawei czy inny tani, no ale wifi6, chińczyk , bez żadnej reputacji a wręcz z bardzo wątpliwą reputacją i efekty widać.
Nie miałem problemów za pierwszym razem i żadnych nie mam teraz.
Pierwszą i najważniejszą zaporą musi być router, bo robienie hocków klocków na urządzeniach za ruterem to leczenie choroby, a nie jej zapobieganie.
Dobrze skonfigurowany router nie powinien przepuścić żadnego bota.

 

[zito]

Pierwszą i najważniejszą zaporą musi być router

np.: port knocking @ MikroTik
i cena spokoju jest niska
a za bezpieczeństwo nie płacimy wygodą/ergonomią/wydajnością

 

[gjpwz]

Ma ktoś pomysł, jak odzyskać dostęp do dysku VJBOD po zmianie portów qnapa zgodnie z zaleceniami? Uparcie VJBOD chce się łączyć po poprzednim porcie (8080).
Gdzie to można zmienić, bez utraty zawartości dysku?

 

[gjpwz]

Uff, udało się, choć nie bardzo wiem jak
Wymagało edycji z kota admina z wyłączoną 2 krokową weryfikacją

 

[Usunięty użytkownik pigers]

bubel ! zgłaszaj do helpdesku !

 

[maks87]

Dlatego do rulki dodalem wpis na 0.0.0.0

Swoja droga, mozesz mi powiedziec czy to jest zgodne ze sztuka czy nie.
@Silas Mariusz

Zgodne, tez sie zastanawialwem czy tego nie dopisac i w razie czego jeszcze
253.253.253.0/24

No i u mnie się nieco wyjaśniło.

Na jednym z QNAPów po analizie PCAP wyszło, że jest to adres 0.0.0.0 DHCP. Dodałem w QuFirewall regułę aby ten adres był Allow.

Natomiast na drugim QNAPie pojawia się adres 253.253.253.253 - może to głupie co napiszę, ale nie wiem co ten adres oznacza @Silas Mariusz pisałeś, żeby go może też dodać do QuFirewalla więc pewnie ja też to zrobię. Ale możesz mi wyjaśnić co się kryje pod tym adresem?

 

[Kamil84]

ale nie wiem co ten adres oznacza

These are multicast requests from a server installed on your Qnap (for example: MinimServer, Emby, Plex, etc.). I have already given the solution to this problem here:

viewtopic.php?f=121&t=160483#p788473
Z forum en

 

[maks87]

Na jednym QNAPie gdzie głównie blokowany był adres 0.0.0.0 i od wczoraj kiedy to dodałem regułę w QuFirewall mam już nie setki czy tysiące blokad, a pojedyncze sztuki. Właśnie zbieram PCAP aby zobaczyć co to jest.
Na drugim QNAPie głównie blokowany był adres 253.253.253.253 i dopiero teraz dodałem go do reguł, zobaczy więc jutro czy się blokady wyzerowały czy jeszcze coś tam się dobija (z LAN lub z internetu).

 

[lolo]

Tego QuFirewalla to student pierwszego roku informatyki pisał? Dobrze, że 127.0.0.1 nie trzeba do reguł dodawać.

 

[maks87]

Przez ostatnie pół godziny miałem tylko dwa odrzucenia, jeden adres z Argentyny a drugi z Chin. Wygląda więc na to, że teraz jest wszystko OK, nic z sieci lokalnej nie podbija mi sztucznie statystyk, a to co się nalicza to faktyczne adresy z całego świata. No to teraz jak coś masowo zacznie skanować mojego QNAPa to powinienem to wyłapać w logach.

 

[zito]

Z ciekawości warto przyjrzeć się jak wygląda ruch w otwartym WAN'ie na ruterze brzegowym. Zakresy podlegają nieustannemu skanowaniu, czasami z niską częstotliwością czasami wręcz przeciwnie, a ich źródła - czasami kompletnie egzotyczne a czasami EU/PL - nie mają z tego tytułu znaczenia. W niektórych konfiguracjach sam QNAP dość intensywnie komunikuje się z egzotycznymi lokalizacjami i lepiej tego ruchu mu nie wyciąć.
W LAN'ie raczej nie ma się też co przejmować. 0.0.0.0 to zapewne fragment zapytania HIP/DHCPDISCOVER.
- I to już moja subiektywna ocena, ale generalnie gratuluję odwagi tym co wystawiają sobie QNAP'y na zewnątrz....