DS Cam и порт 5000

[Radiohead 0]

В NAS меняете порт 5000 на любой другой. В модеме открываете порт 5000.

Только что на своём NAS проверил. Работает.

Вебморда не доступна, а DS cam работает.

В DS cam ввёл имя.synology.me, можно и просто внешний ip.

 

Ну в общем, на всякий случай просканировал открытые порты NAS.

Вот так выглядит скан когда DSM имеет порты по умолчанию (5000 и 5001):

 

nmap -T4 -A -v 192.168.0.10

Starting Nmap 7.91 ( https://nmap.org ) at 2020-10-23 13:57 MSK

NSE: Loaded 153 scripts for scanning.

NSE: Script Pre-scanning.

Initiating NSE at 13:57

Completed NSE at 13:57, 0.00s elapsed

Initiating NSE at 13:57

Completed NSE at 13:57, 0.00s elapsed

Initiating NSE at 13:57

Completed NSE at 13:57, 0.00s elapsed

Initiating Ping Scan at 13:57

Scanning 192.168.0.10 [2 ports]

Completed Ping Scan at 13:57, 0.00s elapsed (1 total hosts)

Initiating Parallel DNS resolution of 1 host. at 13:57

Completed Parallel DNS resolution of 1 host. at 13:57, 0.02s elapsed

Initiating Connect Scan at 13:57

Scanning 192.168.0.10 [1000 ports]

Discovered open port 554/tcp on 192.168.0.10

Discovered open port 80/tcp on 192.168.0.10

Discovered open port 445/tcp on 192.168.0.10

Discovered open port 443/tcp on 192.168.0.10

Discovered open port 22/tcp on 192.168.0.10

Discovered open port 139/tcp on 192.168.0.10

Discovered open port 5001/tcp on 192.168.0.10

Discovered open port 5566/tcp on 192.168.0.10

Discovered open port 5000/tcp on 192.168.0.10

Discovered open port 161/tcp on 192.168.0.10

Discovered open port 50002/tcp on 192.168.0.10

Discovered open port 3261/tcp on 192.168.0.10

Discovered open port 50001/tcp on 192.168.0.10

Discovered open port 548/tcp on 192.168.0.10

Discovered open port 5510/tcp on 192.168.0.10

Completed Connect Scan at 13:57, 0.14s elapsed (1000 total ports)

 

Порты 5000 и 5001 как видим присутствуют.

 

Теперь в DSM меняем стандартные порты (5000 и 5001) на допустим 10000 и 10001

Сканируем:

 

nmap -T4 -A -v 192.168.0.10

Starting Nmap 7.91 ( https://nmap.org ) at 2020-10-23 14:01 MSK

NSE: Loaded 153 scripts for scanning.

NSE: Script Pre-scanning.

Initiating NSE at 14:01

Completed NSE at 14:01, 0.00s elapsed

Initiating NSE at 14:01

Completed NSE at 14:01, 0.00s elapsed

Initiating NSE at 14:01

Completed NSE at 14:01, 0.00s elapsed

Initiating Ping Scan at 14:01

Scanning 192.168.0.10 [2 ports]

Completed Ping Scan at 14:01, 0.00s elapsed (1 total hosts)

Initiating Parallel DNS resolution of 1 host. at 14:01

Completed Parallel DNS resolution of 1 host. at 14:01, 0.02s elapsed

Initiating Connect Scan at 14:01

Scanning 192.168.0.10 [1000 ports]

Discovered open port 445/tcp on 192.168.0.10

Discovered open port 443/tcp on 192.168.0.10

Discovered open port 139/tcp on 192.168.0.10

Discovered open port 554/tcp on 192.168.0.10

Discovered open port 80/tcp on 192.168.0.10

Discovered open port 22/tcp on 192.168.0.10

Discovered open port 10000/tcp on 192.168.0.10

Discovered open port 5510/tcp on 192.168.0.10

Discovered open port 548/tcp on 192.168.0.10

Discovered open port 10001/tcp on 192.168.0.10

Discovered open port 50002/tcp on 192.168.0.10

Discovered open port 161/tcp on 192.168.0.10

Discovered open port 3261/tcp on 192.168.0.10

Discovered open port 50001/tcp on 192.168.0.10

Discovered open port 5566/tcp on 192.168.0.10

Completed Connect Scan at 14:01, 0.14s elapsed (1000 total ports)

 

Как и предполагалась, стандартные порты DSM (5000 и 5001) закрылись.

 

В связи с этим мне совершенно непонятно как оно у вас работает. Если вы пробрасываете на своем "модеме" порт 5000, ничего не должно работать так как на целевом хосте (NAS) этого порта теперь просто не существует.

Можете просканировать свой NAS на предмет открытых портов?

Может у вас на "модеме" еще какие-то порты проброшены помимо 5000 и 5001?

Может UPNP на модеме включен?

 

ЗЫ

Есть у меня подозрение, что даже если вы на своем модеме отключите проброс пятитысячных портов, ваш DS Cam все равно будет работать)

[Radiohead 0]

В NAS меняете порт 5000 на любой другой. В модеме открываете порт 5000.

Только что на своём NAS проверил. Работает.

Вебморда не доступна, а DS cam работает.

В DS cam ввёл имя.synology.me, можно и просто внешний ip.

Ну в общем на всякий случай попробовал вашу схему на трех разных серверах в трех разных сетях с разными маршрутизаторами.

Не работает ваша схема...

[Radiohead 0]

1. Qc всегда вначале осуществляет редирект на nas по ip. И без разницы внутри сети или вне. Внутри сети пойдет loopback... Но только после запроса через вне, с получением ip. Если бы было как думаете вы, то роутер не смог бы сделать loopback, без ip это невозможно...

Никакого трафика при этом через сервера syno не идёт. Только запрос актуального адреса для нужной службы.

 

Возвращаюсь к вашему варианту)

Вдруг заработает?

 

Я понимаю что QC всегда пытается сначала зайти по IP. А когда это невозможно (закрыт нужный порт), заворачивает трафик через свой ВПН.

Если вы уверены что в вашем случае QC перенаправляет все напрямую, у вас и по айпи все должно работать.

Если вы в DS Cam вместо адреса QC напишите айпишник - работает?

 

И второй вопрос - что конкретно вы прописываете в адресной строке DS Cam? адресQC/cam?

[Tirex 0]

Но вообще, мне непонятно как оно может работать...

Когда вы меняете порт 5000 на какой-то другой, пятитысячный по идее должен автоматически отключатся.

Зато мне сейчас стало понятно, что я туплю

У меня тупо шла ретрансляция через сайт Synology.

 

[Radiohead 0]

Зато мне сейчас стало понятно, что я туплю

У меня тупо шла ретрансляция через сайт Synology.

Напрямую оно гораздо шустрее работать будет)

У меня на одном из объектов интернет хреновенький, и когда трафик идет не напрямую а через quickconnect (ВПН от Synology) все дико тормозит.

Но вот как это сделать так что-б вебморда DSM не светила на весь интернет...

[Tirex 0]

Напрямую оно гораздо шустрее работать будет)

Я разницу не замечал. Может то что серваки в Германии.

Я сам в NAS по VPN хожу. Для моего модема специальная эпка есть. Работает в два клика.

[Radiohead 0]

Я разницу не замечал. Может то что серваки в Германии.

Я сам в NAS по VPN хожу. Для моего модема специальная эпка есть. Работает в два клика.

Так если вы напрямую на NAS по персональному ВПН-у заходите, то ничего тормозить и не будет)

А вот если через гермаааанию....

Но в моем случае ВПН к сожалению не вариант.

[Tirex 0]

Так если вы напрямую на NAS по персональному ВПН-у заходите, то ничего тормозить и не будет)

Пробовал то я конечно без VPN.

Я и сейчас пишу через Германию, живу я тут, может поэтому и

quickconnect фурычит лучше. Хотя может и от нагрузки сервера зависит.

 

 

 

 

[freewind 0]

Возвращаюсь к вашему варианту)

Вдруг заработает?

 

Я понимаю что QC всегда пытается сначала зайти по IP. А когда это невозможно (закрыт нужный порт), заворачивает трафик через свой ВПН.

Если вы уверены что в вашем случае QC перенаправляет все напрямую, у вас и по айпи все должно работать.

Если вы в DS Cam вместо адреса QC напишите айпишник - работает?

 

И второй вопрос - что конкретно вы прописываете в адресной строке DS Cam? адресQC/cam?

А вот не факт.

Там же не только ip. Принцип аналогичный с генерацией ссылки на доступ к файлу. Который наконец то починили.

Я прописываю только имя qc. Без порта.

Я проверял на videostation. Внутренний трафик уходит на loopback, а это только при нормальном входе через внешний ip возможно.

[Radiohead 0]

А вот не факт.

Там же не только ip. Принцип аналогичный с генерацией ссылки на доступ к файлу. Который наконец то починили.

Я прописываю только имя qc. Без порта.

Я проверял на videostation. Внутренний трафик уходит на loopback, а это только при нормальном входе через внешний ip возможно.

Вот не уверен я...

 

У вас есть чем на роутере проверить как трафик бегает?

 

Например на микротике - IP - Firewall - Connections.

Там я четко вижу что при подлючении DS Cam через QC, мой NAS отправляет весь трафик на сервер в германию на адрес 195.181.161.112 на 443-й порт. Естественно смартфон с которого я подключаюсь находится ВНЕ сети в которой находится NAS. Отключаю вайфай и хожу через Билайн.

 

Когда вместо QC я подключаюсь напрямую к IP NAS-а (на роутере проброшен порт 9901) - вижу как трафик летит на смартфон напрямую.

 

Есть у меня подозрение что и у вас трафик не напрямую бежит когда вы подключитесь через QC и НЕ находитесь в одной сети с вашим NAS.

 

ЗЫ.

Я решительно не понимаю как включение пользовательского псевдонима для приложений в панели управления NAS-а может повлиять на хождение трафика. Особенно если на маршрутизаторе наглухо закрыты все порты...

Внешнему приложению просто некуда подключатся! Порты-то закрыты.

Как это работает?

 

ЗЗЫ

В принципе можно легко проверить как ВАШ NAS раздает файлы.

Дайте мне ссылка на какой-то большой файл с вашего NAS-а, а я при скачке увижу с какого айпишника он льется. С немецкого или с вашего.

[kucher 0]

Я решительно не понимаю как включение пользовательского псевдонима для приложений в панели управление NAS-а может повлиять на хождение трафика. Особенно если на маршрутизаторе наглухо закрыты все порты...

Внешнему приложению просто некуда подключатся! Порты-то закрыты.

Как это работает?

На примере OpenVPN для исходящего подключения - мне на роутере клиента не обязательно открывать порты, чтобы он мог подключиться к серверу OpenVPN. Как только установлен тоннель, весь трафик льётся через него и нет разницы какие там порты открыты на роутерах, если подсеть туннеля маршрутизируется к локалке NAS и доступ из этой локалки в нём не запрещён.

Плюсы и минусы QC - тема отдельная, но это однозначно работает по принципу VPN.

Надеюсь, я верно истолковал Ваш вопрос. Или я не про то?

[Radiohead 0]

На примере OpenVPN для исходящего подключения - мне на роутере клиента не обязательно открывать порты, чтобы он мог подключиться к серверу OpenVPN. Как только установлен тоннель, весь трафик льётся через него и нет разницы какие там порты открыты на роутерах, если подсеть туннеля маршрутизируется к локалке NAS и доступ из этой локалки в нём не запрещён.

Плюсы и минусы QC - тема отдельная, но это однозначно работает по принципу VPN.

Надеюсь, я верно истолковал Ваш вопрос. Или я не про то?

Тут немного не так)

 

Человек подключается через QC, и трафик идет не через QC (VPN) а напрямую в обход QC хотя все порты закрыты.

[freewind 0]

Естественно смартфон с которого я подключаюсь находится ВНЕ сети в которой находится NAS.

 

В такой ситуации у вас трафик может бежать как угодно. У меня на работе например все порты кроме 80 и 443 закрыты и при белом ip трафик может бежать только через сервера сино.

Я же говорю про ситуацию когда DS CAM, DC Video находятся в одной сети с NAS, обращение идет по QC имени (роутер не может ни коим образом осуществить по этому имени маршрутизацию, только loopback (особенно чтобы смотреть 4K). Соединения при этом только локальные, хотя вхожу везде по QC.

 

Есть у меня подозрение что и у вас трафик не напрямую бежит когда вы подключитесь через QC и НЕ находитесь в одной сети с вашим NAS.

тогда каким образом я работаю в рамках своей сети по QC?

 

как включение пользовательского псевдонима для приложений в панели управления NAS-а может повлиять на хождение трафика

Вы ссылки общего доступа использовали в Сино? Они обезличены и обращаются на сервера сино по "косым" доменным именам. Сервера сино в результате выдают путь до файла с учетом псевдонима, без портов или с портами, как настроено.

Одно время этот механизм был сломан и вместо правильного пути выдавалась строка браузера по которой зашли на сино, сейчас починили вроде как...

 

только что посмотрел специально. Вхожу в DC cam с использованием имени QC. На роутере смотрю соединения для планшета, с которого зашел. есть соединение <внешний IP>:<мой открытый HTTPS порт DSM отличный от штатного>, но потом по loopback улетает, а внутренняя маршрутизация в простой смотрелке кинетика не видна.

 

<мой открытый HTTPS порт DSM отличный от штатного> я ни в одном приложении не вписывал.

[Radiohead 0]

В такой ситуации у вас трафик может бежать как угодно. У меня на работе например все порты кроме 80 и 443 закрыты и при белом ip трафик может бежать только через сервера сино.

Я же говорю про ситуацию когда DS CAM, DC Video находятся в одной сети с NAS, обращение идет по QC имени (роутер не может ни коим образом осуществить по этому имени маршрутизацию, только loopback (особенно чтобы смотреть 4K). Соединения при этом только локальные, хотя вхожу везде по QC.

 

Да елки-палки...

Что-ж вы сразу не сказали что ходите ВНУТРИ своей сети?!

А я тут голову ломаю...

 

Внутри сети вы конечно можете ходить как угодно. Хоть по QC, хоть по IP, хоть вообще по nas.local и при этом не пробрасывая никаких портов. Оно вообще без маршрутизатора и интернета так работать может. Разве что без QC.

 

Но мне-то надо СНАРУЖИ!

У меня куча овнеров "на багамах сидит" которые хотят через DS Cam смотреть что происходит в их московских ресторанах. И локалка как вы понимаете тут вообще не в кассу.

Вот я и ищу способ как мне заставить DS Cam напрямую (без QC) ходить на NAS по IP, но так что-б этот NAS не светил свою вебморду на открытом порту.

 

Потому что когда открываешь наружу порт на вебморду NASа (5001 или какой-то нестандартный), рано или поздно происходит примерно следующее:

 

Внимание Подключение 2020-08-18 12:35:13 admin User [admin] from [104.248.133.41] failed to log in via [DSM] due to authorization failure.

Внимание Подключение 2020-08-18 12:33:29 admin User [admin] from [3.208.54.226] failed to log in via [DSM] due to authorization failure.

Внимание Подключение 2020-08-18 12:31:46 admin User [admin] from [165.22.191.125] failed to log in via [DSM] due to authorization failure.

Внимание Подключение 2020-08-18 12:29:30 admin User [admin] from [106.15.198.21] failed to log in via [DSM] due to authorization failure.

Внимание Подключение 2020-08-18 12:28:26 admin User [admin] from [18.207.219.73] failed to log in via [DSM] due to authorization failure.

Внимание Подключение 2020-08-18 12:26:38 admin User [admin] from [93.180.54.197] failed to log in via [DSM] due to authorization failure.

Внимание Подключение 2020-08-18 12:24:54 admin User [admin] from [181.40.66.97] failed to log in via [DSM] due to authorization failure.

 

И так до посинения....

[Radiohead 0]

Кстати этот конкретный NAS таки хакнули)

[kucher 0]

Radiohead

Слабо представляю как можно что-то спрятать, при этом выставляя на всеобщее обозрение. Вижу 2 варианта - или VPN (я ставил на свой Андроид клиент OVPN, вполне успешно, но не обязательно поднимать клиента именно на смартфоне, можно маршрутизировать к NAS домашний роутер) или статический IP у тех кто подключается (и на Сино разрешить подключение с этих IP онли).

По логам - злостный брутфорс, видимо кто-то знает куда лезет.

[Radiohead 0]

Radiohead

Слабо представляю как можно что-то спрятать, при этом выставляя на всеобщее обозрение. Вижу 2 варианта - или VPN (я ставил на свой Андроид клиент OVPN, вполне успешно, но не обязательно поднимать клиента именно на смартфоне, можно маршрутизировать к NAS домашний роутер) или статический IP у тех кто подключается (и на Сино разрешить подключение с этих IP онли).

По логам - злостный брутфорс, видимо кто-то знает куда лезет.

Да спрятать было-бы легко если-б вебморда DSM и DS Cam использовали РАЗНЫЕ порты для работы.

Например DS Cloud использует порт 6690 который можно в общем случае безболезненно открывать. На этом порту емнип не висит вебморда DSM и логинится просто некуда)

 

А тут DS Cam использует именно порт DSM :-(

 

ВПН не вариант. Люди просто не поймут как им пользоватся. Там все на уровне "ткнул пальцем и заработало".

Статика тоже не вариант так как у мобилок все время разные айпишники. Они гуляют по разным странам)

 

Пока как промежуточное решение открыл порт 9901. DS Cam c ним прекрасно работает хотя в документации об этом молчок. На нем висит вебморда не всего DSM а только SS. Но уже хоть что-то...

Есть идея просто поломать вебморду SS) Она мне не особо нужна. А в случае необходимости всегда можно будет через SS-клиента на компе зайти)

[kucher 0]

Да спрятать было-бы легко если-б вебморда DSM и DS Cam использовали РАЗНЫЕ порты для работы.

Например DS Cloud использует порт 6690 который можно в общем случае безболезненно открывать. На этом порту емнип не висит вебморда DSM и логинится просто некуда)

 

А тут DS Cam использует именно порт DSM :-(

 

ВПН не вариант. Люди просто не поймут как им пользоватся. Там все на уровне "ткнул пальцем и заработало".

Статика тоже не вариант так как у мобилок все время разные айпишники. Они гуляют по разным странам)

 

Пока как промежуточное решение открыл порт 9901. DS Cam c ним прекрасно работает хотя в документации об этом молчок. На нем висит вебморда не всего DSM а только SS. Но уже хоть что-то...

Есть идея просто поломать вебморду SS) Она мне не особо нужна. А в случае необходимости всегда можно будет через SS-клиента на компе зайти)

Обсуждали как-то похожую проблему и пришли к выводу: просто забить. Порты на нестандартные сменить, стандартные учётки выключить, на остальные учётки - пароли поустойчивее. И пусть себе долбятся. Вебку конечно можно поломать, но лично я как-то привык к ней. Да и по работе иногда ссылки на доступ к данным народу кидаем.

[Radiohead 0]

Обсуждали как-то похожую проблему и пришли к выводу: просто забить. Порты на нестандартные сменить, стандартные учётки выключить, на остальные учётки - пароли поустойчивее. И пусть себе долбятся. Вебку конечно можно поломать, но лично я как-то привык к ней. Да и по работе иногда ссылки на доступ к данным народу кидаем.

Так я хочу сломать не вебморду всего DSM а только морду Surveillance Station. На 9901 именно она висит.

[freewind 0]

Да елки-палки...

Что-ж вы сразу не сказали что ходите ВНУТРИ своей сети?!

А я тут голову ломаю...

 

Внутри сети вы конечно можете ходить как угодно. Хоть по QC, хоть по IP, хоть вообще по nas.local и при этом не пробрасывая никаких портов. Оно вообще без маршрутизатора и интернета так работать может. Разве что без QC.

 

Но мне-то надо СНАРУЖИ!

У меня куча овнеров "на багамах сидит" которые хотят через DS Cam смотреть что происходит в их московских ресторанах. И локалка как вы понимаете тут вообще не в кассу.

Вот я и ищу способ как мне заставить DS Cam напрямую (без QC) ходить на NAS по IP, но так что-б этот NAS не светил свою вебморду на открытом порту.

 

Потому что когда открываешь наружу порт на вебморду NASа (5001 или какой-то нестандартный), рано или поздно происходит примерно следующее:

 

Внимание Подключение 2020-08-18 12:35:13 admin User [admin] from [104.248.133.41] failed to log in via [DSM] due to authorization failure.

Внимание Подключение 2020-08-18 12:33:29 admin User [admin] from [3.208.54.226] failed to log in via [DSM] due to authorization failure.

Внимание Подключение 2020-08-18 12:31:46 admin User [admin] from [165.22.191.125] failed to log in via [DSM] due to authorization failure.

Внимание Подключение 2020-08-18 12:29:30 admin User [admin] from [106.15.198.21] failed to log in via [DSM] due to authorization failure.

Внимание Подключение 2020-08-18 12:28:26 admin User [admin] from [18.207.219.73] failed to log in via [DSM] due to authorization failure.

Внимание Подключение 2020-08-18 12:26:38 admin User [admin] from [93.180.54.197] failed to log in via [DSM] due to authorization failure.

Внимание Подключение 2020-08-18 12:24:54 admin User [admin] from [181.40.66.97] failed to log in via [DSM] due to authorization failure.

 

И так до посинения....

 

 

Ещё раз повторюсь. Я вхожу по qc имени. Обращение идёт на ВНЕШНИЙ АДРЕС , выдаваемый провайдером и внешний порт. Какая разница откуда вход изнутри или извне. Не знает роутер ничего про имена qc он по ним ни как не маршрутищирует. Обращение идёт на сервера Сино.

Если я провод wan выну, то работать ничего вообще не будет. Можно по qc имени долбится всю жизнь. Ещё раз qc имя это не имя ddns от Сино.

 

Dc cam работает через http/https, так что без ВЭБ вы им пользоваться не сможете. Там нет других протоколов.

Мне не понятно как у вас произвольный порт dsm определяют. У меня за 2 года до произвольного порта ни разу не достучались.

[Tirex 0]

Мне не понятно как у вас произвольный порт dsm определяют. У меня за 2 года до произвольного порта ни разу не достучались.

Зная ip адрес, открытый порт можно узнать с помощью сканера.

 

Кстати этот конкретный NAS таки хакнули)

Интересно как?

 

[Radiohead 0]

Интересно как?

Перебором скорее всего.

Там тысячи таких записей как я выше показал.

Но глубоко я не копал так как сервер второстепенный. Его падение никто и не заметит)

А заметил потому что сервак перестал меня пускать.

Оказалось что были отключены ВСЕ учётные записи кроме SynologyCMS. Она меня и спасла от дальней дороги. Через групповые политики CMS подсунул другую учетку на этот сервак и он меня впустил)

[freewind 0]

Зная ip адрес, открытый порт можно узнать с помощью сканера.

 

это красио звучит на словах. В реальности на переборе портов целевого адреса вас будет блокировать не только самый тупой оконечный роутер, но и вся цепочка управляемых маршрутизаторов провайдера. Есть конечно атака с рандомным IP но что то сомневаюсь, что кому-то нужен пользователь нас, чтобы натравливать на него бот сеть.

 

а вот то что у какого то пользователя подключающегося к нас Radiohead вирусня, вот из-за этого атаки точно будут идти... Я тут пару свежих комплексов со сканером систем видел, пересылающих пакет целевых объектов на центр управления....

[Tirex 0]

Есть конечно атака с рандомным IP

Судя по логам выше, именно так и добились.

 

Я как-то тоже пробовал просканировать свой ip на наличие открытых портов (сканировал из другой сети), уже через пару минут отвалился интернет, потом ещё раз, а после пятой попытки интернет пропал на час. Провайдер интернет отрубил. Где то на немецком сайте читал, что за такое сканирование можно и финансовое замечание получить.

 

Ну и вопрос ближе к теме.

Можно свой QC замутить и подключить к нему NAS ?

[freewind 0]

Судя по логам выше, именно так и добились.

Там по логам перебор пароля шел из бот сети. Т.е. порт/ip/тип устройства уже были известны. Обычно такое бывает при обращении с зараженной машины...