База знаний
Мой сервер заблокировали за сканирование портов или сетевую атаку?
У нас работает автоматическая система отслеживания вредоносного и нежелательного трафика, в т.ч. трафика, генерируемого при сетевом сканировании портов или сетей, tcp флуде и т.д. (исходящая сетевая атака). В случае обнаружения такого трафика, в личном кабинете клиента будет создан тикет с подобностями, а сетевой доступ к VDS будет заблокирован.
Почему мой сервер заблокировали?
Мы блокируем такой сервер для поддержания стабильности сети, а также для защиты владельцев соответствующих серверов. Например, блокируя сервер мы предотвращаем возникновение ненужного паразитного трафика. Более того, существует опасность того, что скомпрометированный сервер будет использован для незаконных действий, что может привести к искам о компенсациях. Блокирование сервера помогает защитить наших клиентов от подобных угроз. Для анализа причин блокирования в оповещающее email сообщение будет включен лог файл с детальной информацией.
Существует три различных типа логов:
Информация о портах / Netscan
################################################################### # Netscan detected from host x.x.x.x # ################################################################### time src_ip dest_ip:dest_port ------------------------------------------------------------------- Thu Nov 13 18:14:27 2008: x.x.x.x => 65.98.236.0: 22 Thu Nov 13 18:14:27 2008: x.x.x.x => 65.98.236.1: 22 Thu Nov 13 18:14:27 2008: x.x.x.x => 65.98.236.2: 22 Thu Nov 13 18:14:27 2008: x.x.x.x => 65.98.236.3: 22 .
Этот лог отображает только исходящие подключения. В нём описаны IP-адреса назначения или использующиеся порты на IP-адресах назначения. Это поможет вам легко обнаружить проблему.
Краткий отчёт о превышениях количества пакетов.
Direction OUT Internal x.x.x.x Sum 62.790 packets/s , 14 MBit/s External 125.162.12.67, 62.770 packets/s , 13 MBit/s External 72.14.220.136, 3 packets/s , 0 MBit/s External 66.249.72.235 3 packets/s , 0 MBit/s
В этом логе не перечисляется каждое подключение но в нём содержится отчёт о трафике для каждого IP-адреса. Этот лог отображает возникший трафик, количество подключений и общую скорость. Это открывает цель атаки и даёт вам возможность понять, какое приложение могло участвовать в атаке. В этом случае вы также видите только исходящие подключения.
Подробная статистика трафика
21:44:53.145756 IP x.x.x.x.55008 > 76.9.23.182.29615: UDP, length 9216 21:44:53.145883 IP x.x.x.x.55030 > 76.9.23.182.45527: UDP, length 9216 21:44:53.146007 IP x.x.x.x.55046 > 76.9.23.182.1826: UDP, length 9216 21:44:53.146126 IP x.x.x.x.55064 > 76.9.23.182.34940: UDP, length 9216 21:44:53.146249 IP x.x.x.x.55080 > 76.9.23.182.20559: UDP, length 9216 21:44:53.146371 IP x.x.x.x.55093 > 76.9.23.182.31488: UDP, length 9216 21:44:53.146493 IP x.x.x.x.55112 > 76.9.23.182.56406: UDP, length 9216 21:44:53.146616 IP x.x.x.x.55132 > 76.9.23.182.43714: UDP, length 9216 21:44:53.146741 IP x.x.x.x.55147 > 76.9.23.182.64613: UDP, length 9216
В этом логе отображается подробная статистика трафика на входящих и исходящих подключениях. Здесь вы можете видеть следующую информацию: IP-адрес и порт назначения, размер и тип пакетов. Отображение статистики по каждому пакету было бы огромным количеством информации. Поэтому отображается только малая часть трафика. Эти данные помогут вам распознать закономерности и использовать их для дальнейшего анализа.
Когда мой сервер снова будет в сети?
Сначала нужно устранить проблему. Только после устранения проблемы ваш сервер снова будет в сети. Вы должны предоставить нам объяснения, в котором описать как вы устранили проблему и что вами сделано для того чтобы такая проблема не повторилась впредь.
Tакие меры предпринимаются в следующих случаях:
- С сервера была произведена атака
- С сервера производилось сканирование сети
- Прочие злоупотребление
Для устранения причины блокирования вам будет предоставлен доступ к VNC консоли VDS сервера для устранения проблемы. Только лишь если вы абсолютно уверены в том, что проблема устранена, мы можем разблокировать сервер. В противном случае сервер может продолжить, например атаку, и мы будем вынуждены его заблокировать опять.
В случае, если мы будем регулярно фиксировать подобную активность с вашего сервера или получать жалобы — мы будем вынуждены отказать вам в дальнейшем обслуживании без возврата средств!
Я не запускал никакого сканирования, не знаю что это такое. Что мне делать?
Значит ваш сервер был взломан (скомпроментирован) или заражен каким-то вредоносным ПО. При этом вы, как администратор сервера, несете ответственность за любые возможные последствия. Мы настоятельно рекомендуем:
- Регулярно устанавливать все доступные обновления безопасности
- Следить за выявлеными уязвимости в используемом на сервере ПО и своевременно обновлять его
- Не использовать простые (небезопасные) пароли или одинаковые пароли в разных местах
- Не посещать никакие вебсайты в броузере с сервера, кроме доверенных
- Не загружать и не запускать на сервере никаких потенциально опасных программ полученных из сомнительных источников
- Никому не предоставлять доступ к серверу без весомых причин на то
- Если вы все-таки вынуждены посещать посторонние вебсайты или загружать файлы на сервере — и спользуйте антивирусную защиту с регулярными обновлениями
- Ознакомиться с полным перечнем рекомендаций по безопасности
После обнаружения источника проблемы встаёт вопрос — что делать? Самым безопасным было-бы переустановить операционную систему. Очень опасно продолжать использование скомпрометированной системы. Вы не сможете быть абсолютно уверены в отсутствии на сервере вредоносного ПО. Переустановка ОС будет иметь смысл только в случае, когда вы нашли точную причину, повлекшую блокирование. Иначе переустановка бесполезна, так как система может быть скомпрометирована через эту же брешь снова. После переустановки ОС можно восстановить данные из ваших резервных копий. Пожалуйста, будьте осторожны. Вредоносное ПО может оказаться и в ваших резервных копиях.
Как открыть или закрыть порт в брандмауэре Windows?
Читайте, как открыть или закрыть порты на компьютере или ноутбуке с Windows 10, 8 или 7. Как проверить открыт ли нужный порт, как посмотреть состояние всех портов, и как узнать какой порт использует конкретная программа.
Введение
Операционная система Windows 10, управляющая компьютерными устройствами и следящая за корректным исполнением всех запушенных процессов, обладает мощной встроенной службой комплексной защиты «Защитник Windows». Одним из элементов предустановленной службы, оберегающем пользователей от множественных разнообразных сетевых угроз в «Интернете» (как от входящего потока данных, так и от разнообразных локальных приложений, пытающихся получить несанкционированный доступ), является «Брандмауэр Windows». Защитный инструмент ограничивает доступ для всех объектов, кроме разрешенных. И если пользователю необходимо разрешить сетевую передачу данных без ограничения брандмауэром, то потребуется соответствующим образом открыть в настройках порт.
Перейти к просмотру
Это одно их важных условий создания устойчивого соединения, ведь когда устройство подключается к другому устройству в сети (включая сеть «Интернет»), оно указывает номер порта, что позволяет принимающему устройству корректно обрабатывать передачу данных. Если «IP-адрес» выступает сетевым идентификатором устройства и показывает конкретное местоположение устройства, то номер порта позволяет принимающему устройству определить, какая программа настроена на получение входящего информационного потока.
По умолчанию, большая часть входящих нежелательных сетевых пакетов данных из Интернета блокируется «Брандмауэром Windows». Но если пользователи увлекаются играми и планируют создать собственный игровой сервер или регулярно и на постоянной основе пользуются файлообменниками (например, торрентами), то для успешного исполнения намеченных действий необходимо открыть порт, чтобы пропустить требуемую информационную пакетную передачу данных без блокировки брандмауэром.
Примечание. В данной статье показано, как открыть порт в брандмауэре конкретного компьютера, чтобы разрешить сетевую передачу. Если доступ в «Интернет» происходит через маршрутизатор (один из самых распространенных способов), также будет необходимо разрешить пропуск данных и в маршрутизаторе путем установления соответствующей переадресации.
Как открыть порт в «Windows 10»?
Перейти к просмотру
Выполнить непосредственную процедуру по открытию порта в операционной системе «Windows 10» можно в соответствующем мониторе брандмауэра с привилегированным режимом повышенной безопасности. Открыть необходимый раздел приложения можно разными способами. Но в нашей статье мы остановимся лишь на двух возможных вариантах.
Способ 1. Нажмите на «Панели задач» в нижнем левом углу рабочего стола на кнопку «Пуск» и откройте главное пользовательское меню «Windows». В основном перечне установленных приложений и системных служб, используя колесо управления манипулятора (компьютерной мыши) или задействуя бегунок полосы прокрутки, перемещайтесь по списку, отыщите и откройте раздел «Служебные-Windows». Во вложенной всплывающей вкладке выберите, из доступных вариантов, раздел «Панель управления», которая содержит все основные служебные инструменты управления настройками операционной системой.
Затем, в открывшемся окне элементов управления, выберите из списка предложенных инструментов раздел «Брандмауэр Защитника Windows».
Или введите в строку поискового запроса, расположенную на «Панели задач» в нижнем левом углу экрана рядом с кнопкой «Пуск», фразу «Брандмауэр Защитника Windows». В поисковой панели в разделе «Лучшее соответствие» будет представлен искомый инструмент. Щелкните его левой кнопкой мыши или в правом боковом меню управления нажмите на кнопку «Открыть», и искомое приложение будет запущено.
В новом окне панели управления системой, ответственном за надлежащую организацию защиты компьютера от злоумышленников и вредоносных программ в «Интернете» или локальной сети, нажмите на текстовую ссылку «Дополнительные параметры», расположенную в левом боковом меню.
Способ 2. На «Панели задач» в правом нижнем углу рабочего стола нажмите на кнопку представления всплывающей панели «Отображать скрытые значки», и щелкните левой кнопкой мыши значок «Безопасность Windows», выполненный в виде щита.
В открывшемся окне сведений системы о состоянии безопасности и работоспособности устройства выберите раздел «Брандмауэр и безопасность сети».
Затем в новом окне нажмите на текстовую ссылку «Дополнительные параметры», расположенную в нижней части окна, для непосредственного перехода в требуемый раздел.
Воспользовавшись любым из описанных способов, пользователи смогут открыть окно «Монитор брандмауэра Защитника Windows в режиме повышенной безопасности», регулирующий политики режимов защиты компьютерных устройств, функционирующих под управлением операционной системы «Windows 10».
Выберите в левой боковой панели окна раздел «Правила для входящих подключений», полный список которых будет мгновенно отображен в центральной панели окна. А затем нажмите в правой боковой панели раздел «Создать правило».
Если возникла необходимость создать правило для исходящего потока информационных данных, то в левой боковой панели вместо раздела «Правила для входящих подключений» выберите вариант «Правила для исходящего подключения». Большинство приложений довольно хорошо умеют создавать свои собственные исходящие правила при первоначальной установке, но иногда пользователи могут столкнуться с ситуацией, когда необходимо выполнить открытие порта для исходящего потока самостоятельно вручную.
В новом окне «Мастер создания правила для нового входящего подключения» на странице «Тип правила» выберите раздел «Для порта», установив в соответствующей ячейке индикатор выбора (точку), и нажмите на кнопку «Далее».
На следующей странице пользователям необходимо выбрать, будет ли открываемый порт использовать протокол управления передачей TCP (основной распространенный протокол управления потоковой передачей данных) или протокол пользовательских датаграмм UDP (значимый элемент набора сетевых протоколов, использующий датаграммный, в виде отдельных сообщений, интерфейс обмена данными). К сожалению, точно указать, какой конкретно протокол использовать мы не можем, потому что различные приложения используют разные протоколы, индивидуальные для каждой программы. Номера портов могут варьироваться от «0» до «65535», причем порты до «1023» зарезервированы для привилегированных услуг. Пользователи могут найти неофициальный список большинства, доступных для использования, портов формата «TCP» и «UDP» на соответствующей странице «Википедии» с указанием возможного зарезервированного приложения. Если не удалось определить конкретный протокол, который будет использоваться для приложения, можно создать два новых правила для входящих подключений – одно для протокола «TCP» и второе, соответственно, для «UDP».
Выберите параметр «Определенные локальные порты», установив в связанной ячейке индикатор выбора (точку), а затем введите номер порта в соответствующее поле. Если планируется открыть более одного порта, можно разделить их запятыми, а для диапазона портов необходимо использовать дефис («-»). Потом нажмите на кнопку «Далее» для продолжения.
На следующей странице установите индикатор выбора (точку) в ячейке раздела «Разрешить подключение», а затем нажмите кнопку «Далее».
Примечание. В данном руководстве мы будем использовать параметр «Разрешить подключение», поскольку доверяем соединению, для которого создаем правило. Если присутствуют определенные опасения, то можно выбрать вариант правила «Разрешить безопасное подключение», которое осуществляет проверку подлинности и использует параметры безопасности «IPSec» для аутентификации соединения. Однако данный параметр многие приложения могут не поддерживать. Поэтому, если при выборе более безопасного варианта приложение не сможет осуществлять подключение, всегда можно вернуться и перейти на менее защищенный вариант.
На следующей странице укажите профили, к которым будет применено выбранное правило, установив рядом с каждым подходящим вариантом индикатор выбора («галочку») в соответствующей ячейке, и нажмите на кнопку «Далее» в подтверждение своего решения. На выбор пользователям представлено три возможных профиля, и можно отметить как один, так и все из следующих видов:
- Доменный: когда персональный компьютер подключен к контроллеру домена, операционная система «Windows» может аутентифицировать доступ к домену.
- Частный: персональный компьютер подключен к частной сети, например, к «Домашней сети» или сети, которой вы доверяете.
- Публичный: применяется в случае, когда персональный компьютер подключен к открытой общественной сети, например, в кафе, аэропорту или библиотеке, где любой может присоединиться, и безопасность вам неизвестна.
В заключительном окне присвойте новому правилу имя и дополнительно укажите, при желании, более подробное описание. Затем по окончанию, нажмите на кнопку «Готово», и правило с заданными параметрами будет создано.
В случае необходимости, пользователи могут отключить созданное или любое из доступных правил в любой момент. Отыщите требуемое правило в центральной панели главного окна, предварительно отметив раздел «Правила для входящих подключений» или «Правила для исходящего подключения» в левой боковой панели, щелкните его название правой кнопкой мыши и, во всплывающем контекстном меню, выберите из вариантов доступных действий раздел «Отключить правило», и команда будет исполнена незамедлительно.
На этом процедура по открытию порта в операционной системе «Windows 10» окончена.
Более подробно ознакомиться с возможными способами открытия или закрытия портов на персональном настольном компьютере или ноутбуке под управлением операционной системы «Windows 10» (и более ранних версий исполнения), методами проверки состояния всех доступных портов и порядком получения сведений об использовании портов каждой конкретной программой можно на нашем видеоканале в руководстве: «Как открыть, закрыть порты, узнать какие порты открыты на ПК с Windows 10, 8, 7 или роутере в 2019».
Перейти к просмотру
Заключение
Стремительное развитие компьютерных устройств, широкое распространение и общедоступность международной сети «Интернет», практически полный перевод информационных материалов в цифровой формат и огромное предложение разнообразного программного обеспечения способствовало значительному росту повседневного применения компьютеров во многих областях деятельности пользователей.
Такая популярность вынуждает пользователей, для обеспечения надлежащего уровня безопасности используемых данных, применять современное программное обеспечение, оснащенное встроенными инструментами защиты, одним из которых (самым распространенным) является операционная система «Windows 10» с предустановленным защитным решением «Защитник Windows».
Отдельный инструмент защитника (брандмауэр) следит за безопасностью данных и сетей и открывает доступ только привилегированным разрешенным приложениям и процессам.
Используя представленный алгоритм действий, пользователи смогут открыть требуемый порт и обеспечить доступ выбранному приложению в сеть, в случае, если такое разрешение не было получено автоматически, установив соответствующее правило безопасности. Или закрыть порт простым способом при возникшей необходимости.
Автор: Andrey Mareev, Технический писатель
В далеком 2005 году, я получил диплом по специальности «Прикладная математика» в Восточноукраинском национальном университете. А уже в 2006 году, я создал свой первый проект по восстановлению данных. С 2012 года, начал работать в компании «Hetman Software», отвечая за раскрутку сайта, продвижение программного обеспечения компании, и как специалист по работе с клиентами.
Редактор: Michael Miroshnichenko, Технический писатель
Мирошниченко Михаил – одни из ведущих программистов в Hetman Software. Опираясь на пятнадцатилетний опыт разработки программного обеспечения он делится своими знаниями с читателями нашего блога. По мимо программирования Михаил является экспертом в области восстановления данных, файловых систем, устройств хранения данных, RAID массивов.
- Обновлено:
- 12.10.2023 15:04
Заблокированные порты
Чтобы обезопасить инфраструктуру Selectel от вредоносной сетевой активности, ограничен доступ к некоторым TCP/UDP-портам.
Блокируется входящий и исходящий трафик в момент прохождения бордеров (пограничных маршрутизаторов) на границе интернет-сети Selectel. Для 25 TCP-порта блокируется только исходящий трафик.
| UDP-порты | TCP-порты | TCP/UDP-порты | |
|---|---|---|---|
| Заблокированные порты | 17, 111, 427, 389, 520, 1900, 3702, 11211 | 25 (исходящий трафик) | 135, 137, 138, 139, 445 |
| Можно разблокировать | ✗ | Можно разблокировать для публичной выделенной подсети выделенного сервера и публичной подсети облачного сервера. Для разблокировки создайте заявку на разблокировку 25 TCP-порта | Можно разблокировать для публичной выделенной подсети выделенного сервера и публичной подсети облачного сервера. Для разблокировки создайте тикет |
Если порт не попадает под указанные ограничения, проверьте его доступность со стороны ОС при помощи утилиты Nmap .
Почтовые рассылки
Для предупреждения несанкционированных почтовых рассылок, 25 TCP-порт заблокирован для исходящих соединений в направлении публичных IPv4 и IPv6 адресов. В качестве альтернативы рекомендуем использовать почтовый сервис Selectel, а также почтовые соединения по TCP-портам 587 и 465 или сервисы отправки почтовых сообщений:
- Mailganer,
- Sendsay,
- DashaMail,
- UniSender,
- почта Google Workspace,
- почта Microsoft Office 365,
- почта Яндекс 360.
Подробнее о настройке отправки почты через SSMTP в инструкции Настройка отправки почты через SSMTP.
Если вам требуется отправлять почту напрямую, и почтовый сервис Selectel или иные сервисы отправки почтовых сообщений вам не подходят, можно создать заявку на разблокировку 25 TCP-порта.
Создать заявку на разблокировку 25 TCP-порта
Каждая заявка будет рассмотрена индивидуально, разблокировка не гарантируется.
- Убедитесь, что у вас есть выделенная подсеть, в которую вы можете перенести свои почтовые серверы:
- для выделенного сервера — публичная выделенная подсеть;
- для облачного сервера — публичная подсеть.
- Если выделенной подсети нет, закажите ее.
- Создайте тикет в техническую поддержку. В тикете укажите выделенную подсеть, для которой нужно разблокировать 25 TCP-порт.
- Дождитесь ответа технической поддержки о разблокировке подсети.
- Перенесите свои почтовые серверы в выделенную подсеть.
- Почтовые рассылки
- Создать заявку на разблокировку 25 TCP-порта
Kerio vpn client и Dr.Web
- Posters
- 58 Сообщений:
Отправлено 21 Июнь 2019 — 10:15
Доброго дня. Имеется проблема подключения по VPN с помощью Kerio Control Vpn Client разных версий к серверу при установленном DrWeb Security Space или агенте DrWeb ESS современных версий. То есть без Доктора подключение есть, с Доктором нет, пишет «невозможно организовать туннелирование данных, возможно, заблокирован трафик UDP». Полностью отключал все компоненты Доктора, добавлял в исключения C:\Program Files (x86)\Kerio\VPN Client\kvpncsvc.exe во все компоненты, в Брандмауере разрешал трафик VPN: L2TP VPN и Gateway: ICS Gateway — безрезультатно, а в агенте Брандмауер вообще не установлен и Spider Gate тоже. Отключал превентивную защиту. Как побороть ситуацию ?
#2 
VVS
Отправлено 21 Июнь 2019 — 10:22
Ну, наверно, начать с того, что воспроизвести проблему на агенте, а потом сформировать отчёт доктора и приложить его сюда с указанием точного времени когда наблюдалась проблема (по часам компьютера с точностью до нескольких секунд).
меня вот что возмутило. что даже не начинают толком диалог сразу дампы. © alehas777
———————————
Антивирус это как ремень безопасности — всего лишь увеличивает шансы выжить или получить менее тяжкую травму при аварии.
Есть, однако, категория людей, которые рассматривают средства безопасности как ауру неуязвимости. © basid
#3 Skirunner76
Skirunner76
Отправлено 21 Июнь 2019 — 10:43
С DrWeb SS 12.0 кажется разобрался. Достаточно было в искл. Spider Mail и Gate добавить C:\Program Files (x86)\Kerio\VPN Client\kvpncsvc.exe, а трафик VPN и Gateway можно не включать. Все компоненты работают, к vpn коннектится. Сейчас с агентом разберусь.
#4 VVS
Отправлено 21 Июнь 2019 — 10:53
С DrWeb SS 12.0 кажется разобрался. Достаточно было в искл. Spider Mail и Gate добавить C:\Program Files (x86)\Kerio\VPN Client\kvpncsvc.exe, а трафик VPN и Gateway можно не включать. Все компоненты работают, к vpn коннектится.
Угу, всё правильно, что-то такое я и предполагал.
меня вот что возмутило. что даже не начинают толком диалог сразу дампы. © alehas777
———————————
Антивирус это как ремень безопасности — всего лишь увеличивает шансы выжить или получить менее тяжкую травму при аварии.
Есть, однако, категория людей, которые рассматривают средства безопасности как ауру неуязвимости. © basid
#5 Skirunner76
Skirunner76
Отправлено 21 Июнь 2019 — 11:37
А с агентом все посложнее. Добавлял в искл. Mail и Gate файлы kvpncsvc.exe, kvpncadm.exe, kvpncgui.exe — не помогло. Привожу отчет. Время установки (ошибки) соединения — 11:22:37.
Прикрепленные файлы:
- MARINA_mari_210619_112909.zip14,07Мб 2 Скачано раз
#6 VVS
Отправлено 21 Июнь 2019 — 11:47
\Program Files\Kerio\VPN Client\kvpncsvc.exe не добавили.
Сообщение было изменено VVS: 21 Июнь 2019 — 11:47
меня вот что возмутило. что даже не начинают толком диалог сразу дампы. © alehas777
———————————
Антивирус это как ремень безопасности — всего лишь увеличивает шансы выжить или получить менее тяжкую травму при аварии.
Есть, однако, категория людей, которые рассматривают средства безопасности как ауру неуязвимости. © basid
#7 Skirunner76
Skirunner76
Отправлено 21 Июнь 2019 — 12:31
\Program Files\Kerio\VPN Client\kvpncsvc.exe не добавили.
да, был косяк, подправил для 32-битной винды. Теперь связь устанавливается, почему-то агента DrWeb к серверу обрывается в этот момент, потом минут через 5 восстанавливается. После установления VPN-подключения не пингуется внутреннний нужный адрес тамошней сети. И через пару минут VPN связь обрывается.
#8 VVS
Отправлено 21 Июнь 2019 — 13:00
IMHO имеет смысл перенести эту тему в ES, что я и сделал.
Ну и ждём стафов.
меня вот что возмутило. что даже не начинают толком диалог сразу дампы. © alehas777
———————————
Антивирус это как ремень безопасности — всего лишь увеличивает шансы выжить или получить менее тяжкую травму при аварии.
Есть, однако, категория людей, которые рассматривают средства безопасности как ауру неуязвимости. © basid
#9 basid
Отправлено 21 Июнь 2019 — 13:24
У меня (64-разрядная винда, автономный DrWeb) и Kerio VPN 9.0.26 работает после исключение из проверки Gate/Mail:
%ProgramFiles(x86)%\Kerio\VPN Client\kvpncsvc.exe
всего трафика на конкретный хост.
Версия старше 9.0.26 на «моём» подключении не будет работать вне зависимости от наличия DrWeb.
Возможно, что «режим мигалки» именно этим и объясняется.
#10 techdir
Отправлено 22 Июнь 2019 — 20:58