NAS bringt LAN bzw. Router zum Zusammenbruch

[Twostone]

Na ja, die Retransmits könnten nach wie vor auch zu Stande gekommen sein, nachdem die f*box dir Ports dicht gemacht hat. Ich hatte nicht weiter nachgefragt, wie die Packete aussahen, die Du vom Server aufgezeichnet hast. Wenn die nämlich nur an Deinen mac gingen bzw. davon kamen, dann müssten wir doch mal die Variante Switch und Port monitoring wählen, denn dann hat die f*box tatsächlich die einzelnen Anschlüsse gebrückt und die Brücke gefiltert.

Und einen neuen mac kaufen, halte ich für übertrieben: Es ist ja wohl eher ein Problem mit Anfragen über Port 80, bzw. ein fehlendes ACK. Das ist software, das kann man auch ohne Neukauf lösen.

 

[Green Mamba]

Das mit dem Neukaufen war ja auch ein Spaß. In dem Fall hätten aber auch Retransmissions von anderen Geräten auflaufen müssen, oder? Gesehen habe ich aber nur die vom MacBook. Vom Server kam nix. Falls es doch eine andere Ursache ist, wie kann man denn dann weiter vorgehen, bzw. das Problem weiter eingrenzen? Was heißt Switch- Port Monitoring? Port im Sinne von Anschluss an der Fritzbox oder Port im Sinne von bspw. Port 80?

PS: Ich Idiot hab dummerweise vergessen den Traffic zu Speichern in Wireshark.

 

[Twostone]

In dem Fall hätten aber auch Retransmissions von anderen Geräten auflaufen müssen, oder?

Nicht, wenn die f*box eine strikte Anschlusstrennung macht. An meinen switches kann ich normalerweise auch nicht sehen, was andere Clients verschicken. Dazu muß ich erst port monitoring aktivieren. Aber die Switches liegen immerhin einige Preisklassen über einer f*box.

Zum weiteren Vorgehen: Tritt das Problem immer noch auf, wirst Du wohl einen Deiner switches bemühen müssen und Port monitoring/mirroring aktivieren müssen sowie ein passives System aufsetzen, das eben nur lauscht. Dann noch einmal mit wireshark und ntop schauen, was sich da so tut. Danach sehen wir dann mal weiter.

Kannst natürlich auch das NIDS/HIDS der f*box ausschalten als last ditch effort, aber empfehlen würde ich es nicht: Es tut ja, was es soll.

 

[Green Mamba]

Es gibt eine gute und eine schlechte Nachricht. Die gute ist die, dass die Fritzbox die Nacht durchgehalten hat, offensichtlich durch die Abwesenheit des MacBooks. Alles läuft wie gewohnt, der Server lief auch die Nacht durch. Alles in Ordnung soweit.

Heute morgen habe ich allerdings noch eine erschreckende Nachricht vom Synology-Support erhalten. Denen hatte ich vorgestern bereits ein Debug-File von der Syno zugeschickt. Die gehen davon aus, dass der Server gehacked wurde. Angeblich gäbe es viele in der Queue stecken gebliebene Mails und es wären massive Mengen an Spam versendet worden.
Komischerweise sehe ich in der Oberfläche der Syno eine leere Queue und ich kann im Protokoll nachvollziehen, dass da keine abnormalen Mail-Mengen versandt wurden. Können die Hinweise des Supports trotzdem stimmen? Oder wurde gar mein Macbook gehackt und darüber die Mails versandt?
Auf der Syno ist ein Mailserver, der seine Mails allerdings über einen externes Strato-Relay versendet.

Spoiler

Hi Timo,

Thank you for the mail.

1. There might be a lot of mail stuck in the mail queue, it will impact the performance.
See below for complete command lines input into DS in console interface(CLI).

1.Please enable the TELNET or SSH function in Web UI of your Synology NAS . ( [Nework Service] > [Terminal] )
2.
Open Window's Command Line or any other telnet clients (such as PuTTY), Mac's Terminal, or Linux's Console, depending on which platform you are using.
Connect to DiskStation with Telnet/SSH:
telnet 192.168.xxx.xxx (DiskStation's IP address)
Log in with the root account and DiskStation admin's password.
http://putty.managedownloads.com/
http://www.synology.com/support/faq_show.php?q_id=393

4. Execute "/var/packages/MailServer/target/sbin/postsuper -d ALL" to delete all queued(stuck) mails.

This will also delete the non-spam mails which stuck in the queue.

2. Check every account, if the password is too simple to guess (ex: account and password is the same or the password is the continuous number like 1234), please change it.

We also provide firewall and autoblock to strength the security and we will suggest to use strong password for your DS accounts when DS is assessable to WAN at WebUI > Control Panel > User > Password Strength

3. If user doesn't enable auto-block or "Sender name and login name must be identical", please enable it.

Enable auto-block can block those who want to hack your ds, enable "Sender name and login name must be identical" can help to trace the hacked account.

4. The mail server had send a lot of spam mail, it might be add to the spam list.

Contact to ISP and change the IP, or others mail servers which blocked you it might unable to send mails to a lot of mail servers.

5. After clean stuck mails and password check, Now user can enable the smtp or mail server.

6. If you install the 3rd-party software like ipkg, SabNZB, Python, Twonky, OPT, we will first suggest that you make a reset by this way to get a fresh system:
http://www.synology.com/support/tutorials_show.php?q_id=493&
http://www.synology.com/support/faq_show.php?q_id=348&

We do not officially support 3rd-party software and it is violating the warranty policy. We don't officially supported it, so we are unable to ensure its compatibility with the DS and DSM update, not to say it is likely to cause DS to behave abnormally.

Otherwise if you have any spare disk, please try to install the clean system on the spare disk, and let the issue happen once and send us the new log.

If problem still persist after re-install the clean DSM system, please feel free to contact Synology support again.

Ich habe allerdings ausschließlich zufallsgenerierte sichere Passwörter die sich noch nicht mal ähneln. Ich kann das nicht fassen, auch nicht glauben. Auch ist in der Fritzbox kein Traffic zu sehen, wenn das Netz abgeschmiert war.

 

[Twostone]

Standard- Antwort. Ohne weitere log-files des pf würde ich das sowieso nicht glauben. Mit dem schlechten englisch würde ich die Mail gar fast als spam einstufen, wenn Du nicht verifizieren kannst, daß die tatsächlich vom synology-support kommen würde. Wie auch immer, wenn der MTA den backlog voll hat und versucht, herauszukloppen, was geht, doch einfach mal den Zugang der Box zur weltweiten wundertüte blockieren und loggen. Zusätzlich dazu das Log des pf umlegen auf eine leistungsstärkere Maschine mit etwas mehr Speicherplatz, damit Dir die f*box durch die evtl. zu erwartenden großen logfiles nicht abschmiert oder ältere Ereignisse untergehen. Wenn es tatsächlich so sein sollte, daß die box geknackt wurde, würden sich Zugangsversuche auf diese Weise bemerkbar machen.

nötigenfalls den Zugriffsversuchen mit whois oder traceroute oder anderen tools nachspüren, um unkoschere Adressen herauszufinden.

Ich persönlich halte die Antwort des Supports für eine generische Antwort des 1st-level-supports.

 

[Green Mamba]

Je länger ich darüber nachdenke desto eher glaube ich auch an einen Textblock des Supports. Da kann man aber auch paranoid werden wenn man sowas vom Support bekommt. Ich habe trotzdem mal sämtliche Passwörter ersetzt.
Wenn der MTA massenmails versendet, müsste mein Mailserver auch irgendwo geblacklistet sein. Das habe ich überprüft, ist nicht der Fall. Auch ist im Log nix zu sehen. Ich gehe mal davon aus, dass der Mailserver auch alles brav loggt. Zumindest kann ich ja meinen eigenen Mailverkehr im Log nachvollziehen.
Jetzt ist die Frage wie ich an das Log des Paketfilters komme.

//Edit
So, ich konnte Das Problem nun zum wiederholten Male mit dem MacBook in Verbindung bringen. Das wird jetzt erst mal neu installiert, nach 4 Jahren kann man sich das ja auch mal gönnen.

 

[Twostone]

Na dann viel Erfolg.

Wundert mich, daß sich kein einziger f*box-Jünger zu Wort gemeldet hat... Man sollte meinen, daß das Ding hier im Forum oft genug empfohlen wurde und auch genug Besitzer anwesend seien, die evtl. auch ein wenig mehr als nur anstöpseln, einschalten und losfluchen können.

Aber vielleicht kann die f*box dann doch nicht so viel. Irgendwo muß der Preis ja schließlich herkommen.

 

[Green Mamba]

Dem Support ist dieses Fehlerbild wohl komplett neu. Bin gespannt was die dazu sagen. Aber viel mehr hoffe ich ja, dass das Problem jetzt mit dem neu installierten Macbook einfach nicht mehr auftritt.

//Edit
So, ich würde nach etlichen fehlgeschlagenen Versuchen, das Problem einzugrenzen gerne die Elektrik etwas überprüfen. Ich habe einmal beobachtet, wie das WLAN augenblicklich unbenutzbar wurde, als ich ein weiteres Patchkabel in die Fritzbox gesteckt hatte. Nach dem abziehen des Kabels war das WLAN augenblicklich wieder funktionsfähig. Das ganze konnte ich zu dem Zeitpunkt mehrfach nachstellen. Nach einem Neustart der Anlage war das Problem nicht mehr nachvollziehbar.

Dazu habe ich folgende Testgeräte bestellt, mit dem zweiten Gerät kann ich auch noch die Patchkabel durchmessen:
http://www.amazon.de/gp/product/B002WGJ91Q/ref=oh_details_o00_s00_i01?ie=UTF8&psc=1
http://www.amazon.de/gp/product/B002GI4C3U/ref=oh_details_o00_s01_i00?ie=UTF8&psc=1
http://www.amazon.de/gp/product/B007CTW24E/ref=oh_details_o00_s00_i00?ie=UTF8&psc=1

Grundsätzlich habe ich mal vor einigen Jahren eine kleine Ausbildung im Elektrik-Bereich gemacht und auch ein wenig Erfahrung. Ich vermute, dass da irgendwie ein Potentialunterschied zwischen den Geräten herrscht, der sich mit der Zeit weiter aufschaukelt und letztendlich den Switch in der Fritzbox lahm legt.
Auch werde ich das Netzgerät des Synology-NAS durchmessen wollen, ich hatte nämlich auch den Eindruck, dass es einen Unterschied macht, wie herum der Schuko-Stecker des NAS-Netzteils in der Steckdose steckt. Das alles sind allerdings nur diffuse Vermutungen.
Jetzt meine Frage, was kann ich noch mit dem Multimeter nachmessen? Ich möchte jetzt nicht an den Steckdosen rumfummeln, sondern lediglich erst einmal ein paar Messungen durchführen. Kann mir jemand dazu weitere Tipps oder Links geben?

 

[Twostone]

Als Multimeter hätte ich Dir eher ein Fluke 175 empfohlen, kleines Gerät für wenig Geld, aber allen wichtigen Funktionen und auch angenehm langlebig. Eine Amp-Clamp (Zangenamperemeter) würde auch dazu evtl. ganz sinnvoll sein, zumindest, wenn Du Summenströme betrachten möchtest und Leistungsmessungen durchführen willst. Dein LANTest-Kabeltester, den Du aufgeführt hattest in Deiner Stückliste, taugt lediglich was, wenn Du schauen willst, ob die Kabel richtig aufgelegt sind oder ob ein Aderbruch vorhanden ist. Dämpfungsmessungen o.ä. kann das Ding für den Preis natürlich nicht. Hab's allerdings auch und kann sagen, daß es (abgesehen von der miserabel befestigten Batterieklappe) ganz nützlich ist, um "mal eben" festzustellen, ob man richtig verdrahtet hat.

Messungen mit dem Multimeter? Bedenke, ein Voltmeter hat einen sehr hohen Innenwiderstand, ein Amperemeter einen sehr geringen. Spannungen werden demnach parallel gemessen, Ströme in Reihe. Widerstandmessungen erfolgen grundsätzlich stromlos.

Was für Dich interessant ist, wäre die Belastung der Schirmung. Da die Schirmung bei Anschluß an die f*box einseitig nicht aufgelegt ist (weil die f*box imho die Schirmung intern nicht aufgelegt hat da Plastik-Buchsengehäuse, ist ja schließlich ein Gerät der Schutzklasse II (Schaltnetzteil, daher nicht SK III)), kannst Du das so einfach nicht feststellen. Daher wäre das Zangenamperemeter nicht verkehrt, um hier eine Summenstrombetrachtung der einzelnen Leiterpaare durchzuführen. Für alle weiteren Sachen bräuchtest Du dann ein Oszi.

Für Messungen an Netzteilen würde ich Dir allerdings empfehlen, eine erfahrene Fachkraft damit zu beauftragen. Kleine Fehler können sehr schnell zu einem leichten Anfall von Tod führen.

Was Du auch machen kannst, wäre, die Schirmung der Cat-Kabel über einen Koppelkondensator direkt vor der f*box auf Bezugspotential zu zwingen. Wäre zwar immer noch nicht die beste Lösung, da ja die f*box dann immer noch nicht über das Bezugspotential Deines Rechners und ggf. der NAS verfügt, es würde aber zumindest die Effizienz der Schirmung ein wenig heben.

Eines noch: Gute Werkzeuge und Messgeräte (richtig verwendet) erhöhen auch Deine Lebenserwartung. Kann man nicht oft genug sagen.

 

[Green Mamba]

Vielen Dank für deine Erläuterungen. Am Netzteil möchte ich lediglich den Niedervolt-Ausgang zum NAS hin messen, da kann ich mich weder verletzen noch umbringen. Das müsste auch SK III sein da Metallgehäuse.
Bzgl. dem Multimeter hab ich noch Luft nach Oben, im Notfall kann ich mir ein größeres Messgerät mit Stromzange leihen. Ich möchte also erst mal das aus den verfügbaren Geräten herausholen was geht. Bin auch erst am Mittwoch Abend wieder daheim, bis dahin kann ich mich also noch weiter Informieren.

 

[Twostone]

Wenn es ein Schaltnetzteil ist, ist es eben nicht SK III, da keine galvanische Trennung vorliegt. Es stellt sich da nur die Frage nach SK I oder II. Deinen Aussagen entnehme ich, daß es wohl eher SK I ist, da leitfähiges Außengehäuse. Es muß also zwingend ein Schutzleiter mitverlegt werden. Entsprechend interessant ist dann auch, ob dieser vorbelastet wird oder nicht.

Ist es eigentlich ein internes NT oder ein separates/externes?

 

[Green Mamba]

Es ist ein separates Netzteil. Ich habe ein Bild gefunden welches meinem Netzteil sehr nahe kommt.
http://cdn0.brack.ch/images/1/2/127354/synology-netzteil-12v-dc-70w-6a-001.o.jpg

 

[Twostone]

Ah. Na, dann weißt Du ja, welche Kabel Du demnächst mal auf Brüche und Querschnittsänderung überprüfen darfst.