Re[4]: [gentoo-user-ru] port forwarding to loopback

[Sergey A. Kobzar]

Tuesday, April 28, 2009, 6:21:13 PM, Konstantin wrote:

>>> 2. Кому-то больше нравится устанавливать denyhosts или fail2ban.
>>> Denyhosts например сканирует лог подключений и в случае 3 неудачных
>>> попыток заносит ip в файл /etc/hosts.deny в результате чего с этого IP
>>> станет невозможным установить SSH соединение.

>> Где-то с месяц назад у меня практически на всех серверах была
>> bruteforce атака - по 3-5 коннектов с одного хоста, перебор по
>> алфавиту, далее эстафету продолжает уже другой бот.

>> В данный момент самое эфективное - слушать другой порт.

> Имею в наличии достаточно много серверов в различных странах, с таким
> сканированием от ботнетов не сталкивался. Но вполне допускаю
> возможность.

К сожалению сейчас показать не могу - логи и репорты месяц только
хранятся, но блокирование по числу коннектов с IP в единицу времени
не спасало...


>>> 3. Различные игры с iptables и возможно даже ipset. Можно написать
>>> множество хитрых правил, которые в самом простом случае будут просто
>>> ограничивать кол-во входящих SSH соединений с одного IP в минуту. И
>>> так далее.

>> Ограничение числа коннектов с одного адреса - плохой вариант.

> Тогда можно написать правило, которое просто добавит назойливый IP в
> определённый ipset. И другое правило iptables будет c IP из этого
> ipset'а обращаться более грубо.

> Тогда может в вашем случае лучшим решением будет установка
> net-misc/knock ? ;)

:) еще один демон в системе...

Ладно, буду думать. Просто в других OS'ях все обходилось одним-двумя
правилами фаера, а вот ядро Linux решило что умнее меня и принимать на
лупбэк пакеты с src ip !=127/8 не хочет. Не люблю когда за меня решают.


-- 
Sergey