да, чем мучить iptables лучше запретите root'а и сделайте авторизацию по ключу.
С рутом понятно, а вот ключ надо при себе иметь, в нужный момент его обязательно не будет :rolleyes:
Самый простой вариант это port knocking
Господа профи, подскажите, какую строчку вставить в код файла правил /etc/iptables.up.rules, чтобы количество подключений к ssh было, например, не более 8 в мин, а также, какую еще одну строчку в файл правил вставить, чтобы запретить для подключения перечень ip, пытающихся ломать?
я разве не по-русски сказал? это НЕ НУЖНО.
]]>xlin пишет:$IPT -A INPUT -p tcp -m state --state NEW --dport 22 -m recent --update --seconds 20 -j DROP $IPT -A INPUT -p tcp -m state --state NEW --dport 22 -m recent --set -j ACCEPTВот это может поможет. Разрешает логиниться не более одно раза в 20 секунд.
Много читал умных мыслей на эту тему. В сухом остатке вынес следующее: сам sshd умеет делать это не хуже, а даже и лучше, чем iptables. А именно - в sshd.conf можно беспроблемно выставить нужный таймаут "на длинные ногти операционистки". Что есть для данной попытки соединения полный аналог блокирования соединения по iptables. Однако (что лучше) это блокирование совершенно не блокирует иные легальные соединения, которые возможны в это время. А вот блокировка по iptables такие легальные соединения будет пропускать с интервалом в 20 секунд. Когда ты один - это не имеет значения. А если на сервер ходит много народу (например, по ремутному доступу через NX сколько времени потребуется для регистрации 20-30 душ юзеров? Да они полдня будут в ремутную сессию заходить). Единственный недостаток блокирования брутфорса в sshd.conf, что я вижу - забивание регистрационных журналов регистрацией этой хрени.
Извините за глупый вопрос, но какой директивой в sshd_config нужно задавать этот timeout.
Я перелопатил маны по по ssh_config sshd_config
Какие из этих директив или их пары Вы имели в виду, когда говорили о возможности установить timeout?
ClientAliveInterval
ClientAliveCount
ClientAliveInterval
ServerAliveCount
ConnectTimeout
Господа профи, подскажите, какую строчку вставить в код файла правил /etc/iptables.up.rules, чтобы количество подключений к ssh было, например, не более 8 в мин, а также, какую еще одну строчку в файл правил вставить, чтобы запретить для подключения перечень ip, пытающихся ломать?
что вы так к iptables привязались, одного iptables будет мало.
далее man sshd_config
так же смотрим
/etc/host.alloe
/etc/host.deny
на наличие sshd
еще один вариант:
в /etc/inetd.conf ищем ssh и привидем к такому виду:
ssh stream tcp nowait/0/3 root /usr/sbin/sshd sshd -i -4это означает лимит 3 соединения в минуту с одного IP-адреса, и не забудем перезапустить inetd:
killall -HUP inetd еще вариант, это прикрутить sshdguard .
Вам уже дали массу примеров как это реализовать. вы хоть что нибудь сделали ???
]]>$IPT -A INPUT -p tcp -m state --state NEW --dport 22 -m recent --update --seconds 20 -j DROP $IPT -A INPUT -p tcp -m state --state NEW --dport 22 -m recent --set -j ACCEPTВот это может поможет. Разрешает логиниться не более одно раза в 20 секунд.
Много читал умных мыслей на эту тему. В сухом остатке вынес следующее: сам sshd умеет делать это не хуже, а даже и лучше, чем iptables. А именно - в sshd.conf можно беспроблемно выставить нужный таймаут "на длинные ногти операционистки". Что есть для данной попытки соединения полный аналог блокирования соединения по iptables. Однако (что лучше) это блокирование совершенно не блокирует иные легальные соединения, которые возможны в это время. А вот блокировка по iptables такие легальные соединения будет пропускать с интервалом в 20 секунд. Когда ты один - это не имеет значения. А если на сервер ходит много народу (например, по ремутному доступу через NX сколько времени потребуется для регистрации 20-30 душ юзеров? Да они полдня будут в ремутную сессию заходить). Единственный недостаток блокирования брутфорса в sshd.conf, что я вижу - забивание регистрационных журналов регистрацией этой хрени.
]]>$IPT -A INPUT -p tcp -m state --state NEW --dport 22 -m recent --update --seconds 20 -j DROP
$IPT -A INPUT -p tcp -m state --state NEW --dport 22 -m recent --set -j ACCEPTВот это может поможет. Разрешает логиниться не более одно раза в 20 секунд.
]]>Но вот на первый мой вопрос так никто из спецов и не ответил
Господа профи, подскажите, какую строчку вставить в код файла правил /etc/iptables.up.rules, чтобы количество подключений к ssh было, например, не более 8 в мин, а также, какую еще одну строчку в файл правил вставить, чтобы запретить для подключения перечень ip, пытающихся ломать?
И еще, достаточно ли будет только этих двух строчек в файле правил, не заблокирую ли я свой удаленный сервер, если не буду указывать ничего более, кроме этих двух строчек, я себя конечно кроном буду страховать, чтобы затирал эти правила раз в 5-10 мин на время отладки, но все равно впервые это делать страшновато
просто хотелось знать мнение профессионалов, почему без рестарта апача у меня не обошлось,
причем здесь apache? oO Вроде бы речь идет об ssh, или я что то упустил?
]]>Новый порт ssh 1289 заработал в обе стороны
Браво, и теперь все знают ваш порт smile , хотя бы написали бы так: Новый порт ssh заработал в обе стороны Хотя ни кто вам не мешает перевесить на другой порт smile
]]>Короче, путем экспериментов дошел до следующего. Новый порт ssh 1289 заработал в обе стороны (с сервера на клиент и обратно) только после того, как исправил во всех четырех вышеперечисленных конфигах ssh порт 22 на порт 1289 , а потом рестартовал апач и на сервере, и на клиенте. Рестарта ssh было недостаточно.
Как должно быть у опытных- не знаю, но у меня вышло только так.
При попытке подсоединиться с suse на debian по ssh и наоборот с debian на suse выдает сообщение "connection refused on Port 22" , подскажите, пожалуйста, что делаю не так?
на клиенте настраивается ~/.ssh/config
на сервере настраивается /etc/ssh/sshd_config
одна машина == сервер, другая == клиент. Клиент подсоединяется к серверу.
]]>смысла перевешивать с 22 порта на какой то другой не вижу.
про это есть старый еврейский анекдот...
ваше дело, не хотите закрывать на цепочку - не надо.