Re[2]: [gentoo-user-ru] port forwarding to loopback

[Sergey A. Kobzar]

Tuesday, April 28, 2009, 5:52:02 PM, Konstantin wrote:

> Hello Sergey,

> Tuesday, April 28, 2009, 17:18:27, you wrote:
>> Приветствую.

>> Надоели bruteforce атаки на 22 порт. Хотелось бы его перевесить на
>> другой порт средствами фаервола. Есть такое правило:

>> iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 7722 -j DNAT --to 127.0.0.1:22

>> но оно не работает. Google говорит что ядро блокирует пакеты на
>> лупбэк если src ip != 127/8.

>> Конфиг sshd править каждый раз после апдейта не хочется, xinetd
>> заводить тоже.

>> Есть еще варианты?

> Вариантов много. Наиболее популярные на мой взгяд:

> 1. Сменить порт, на котором будет sshd можно поменяв параметр Port 22
> в файле /etc/ssh/sshd_config

Этого то как раз и хочется избежать - старый стал, память плохая -
обновил ssh, забыл конф поменять, рестартанул демон и закончился
коннект :)


> 2. Кому-то больше нравится устанавливать denyhosts или fail2ban.
> Denyhosts например сканирует лог подключений и в случае 3 неудачных
> попыток заносит ip в файл /etc/hosts.deny в результате чего с этого IP
> станет невозможным установить SSH соединение.

Где-то с месяц назад у меня практически на всех серверах была
bruteforce атака - по 3-5 коннектов с одного хоста, перебор по
алфавиту, далее эстафету продолжает уже другой бот.

В данный момент самое эфективное - слушать другой порт.


> 3. Различные игры с iptables и возможно даже ipset. Можно написать
> множество хитрых правил, которые в самом простом случае будут просто
> ограничивать кол-во входящих SSH соединений с одного IP в минуту. И
> так далее.

Ограничение числа коннектов с одного адреса - плохой вариант.



-- 
Sergey