存取日誌每分鐘出現 SMB「登入失敗」訊息,來源 IP 為 NAS 本身

自從2月27日以來,我的TVS-671的存取日誌就一直在被「登入失敗」的錯誤訊息塞滿(有2萬行),連線類型是SMB。這些失敗連線所用的使用者帳號是admin,但我在多年前買這台機器時就已經停用了admin(現在還是停用狀態)。最詭異的是,顯示為失敗連線來源的IP地址竟然是NAS本身!為什麼NAS會開始嘗試自己跟自己建立SMB連線?我有一台Windows機器,用個人帳號把私有共享資料夾映射成磁碟機代號,這部分一直都能正常運作。

我原本在看其他東西時,看到有人建議設定靜態IP。我試了一下,結果NAS就連不上了,所以我把網路線換到另一個埠,希望能分配到新IP。結果NAS真的分配到新IP,我也能重新登入,而且SMB錯誤訊息也停止了。不過,從Windows那邊映射磁碟機就失效了,所以我又把網路線插回原本的埠。我的路由器又重新分配回原本的IP,結果SMB錯誤訊息又回來了!這到底是哪門子的邏輯?

順帶一提,NAS重開機後我發現Virtualization Station啟動時卡住了,所以我把它解除安裝,但沒幫上忙。我也關掉了AI影像掃描/索引功能,但也沒用。

有什麼高見請不吝指教!

請確保像 Security Counsellor 這類應用程式已被停用,它們通常會使用管理員帳戶進行「安全檢查」(而且管理員帳戶仍然是啟用狀態,因為它被用於內部流程,並且在某些 NAS 救援/故障排除操作中可能非常重要,所以你一定要重新啟用它)

就像我說的,我一直以來都依照大多數建議將管理員帳號停用,直到2月27日之前都沒有遇過問題。話雖如此,我還是嘗試停用了安全檢查、殺毒軟體和惡意程式移除工具,看看會發生什麼事,但錯誤依然持續。我還是不明白為什麼NAS會用SMB嘗試登入自己,所以我又重新啟用了安全應用程式。我注意到新韌體提到了認證機制和SMB的問題,所以我會看看安裝後會發生什麼事。SMB這項特別有趣,因為它提到會讓NAS無法回應,而昨天我在排查問題時,系統運作非常慢,還收到交換記憶體已滿的警示(這也是第一次發生)。這讓我懷疑SMB登入嘗試是否導致了記憶體洩漏之類的問題。再觀察看看吧!

如前所述……帳戶在內部從未被停用……而且絕大多數人根本不了解他們在說什麼。

https://www.qnap.com/en/how-to/faq/article/why-is-admin-still-accessing-my-device-after-i-disabled-the-admin-account

我重新啟用了管理員帳戶,然後登入失敗的 severity=warning 訊息就停止了。現在 severity=information 的日誌顯示 NAS 每分鐘都會以 SMB 連線類型成功登入自己,但我仍然不知道原因。希望有人能給我一些建議,幫我找出原因並停止這個行為,因為 a) 我想阻止它浪費資源,也不想讓我的日誌充滿成千上萬條 SMB 登入訊息,b) 這樣我就能按照 QNAP 強烈建議(也是這個問題發生前多年一直的做法)重新停用管理員帳戶。有一個奇怪的現象是,日誌裡報告的 IP 地址是 NAS 的 192.168.x.x 地址,而不是 127.0.0.1。

那個(不必要地)被遮蔽的內部 IP,是你的 NAS 的 IP 嗎?

幾年前曾有個問題,某些 QTS 的組件會不斷產生日誌,除非你在更新後登入一次(像是 Security Counselor 或 MalwareRemover 之類的)。我現在已經找不到相關的新聞公告了。

是的,192.168.1.21 是 NAS 由 DHCP 指派的位址(這不是刻意隱藏,而是為了說明)。家裡只有兩台電腦會將 NAS 的共享資料夾掛載為網路磁碟機:其中一台就是我現在正在使用的這台(192.168.1.15),另一台我在兩天前就關機了,已經排除在外。我在 QuLog Center 找到了韌體安裝的紀錄,最後一次是在 1 月 16 日,所以這也可以排除是問題來源。

我已經停用了 Security Center、Malware Remover 和 ClamAV 的所有掃描功能,以及多媒體索引和 AI 功能。我原本就不認為這些會有影響,因為想不到它們為什麼會使用 SMB 服務,果然停用後也沒有改善,所以現在都已經重新啟用了。

也許只要向 QNAP 開個工單就好。大約兩年前也有發生過同樣的問題,當時的「解決方法」很簡單(我記得是用 ‘admin’ 帳號登入後,開啟一次那個「probing」應用程式)。但我現在就是找不到或想不起來具體是什麼方法。

QNAP 支援應該要透過韌體或程式更新來修正這個問題,避免它再次變成更大的麻煩……有其他版主還記得嗎?