1 |
Tuesday, April 28, 2009, 5:52:02 PM, Konstantin wrote: |
2 |
|
3 |
> Hello Sergey, |
4 |
|
5 |
> Tuesday, April 28, 2009, 17:18:27, you wrote: |
6 |
>> Приветствую. |
7 |
|
8 |
>> Надоели bruteforce атаки на 22 порт. Хотелось бы его перевесить на |
9 |
>> другой порт средствами фаервола. Есть такое правило: |
10 |
|
11 |
>> iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 7722 -j DNAT --to 127.0.0.1:22 |
12 |
|
13 |
>> но оно не работает. Google говорит что ядро блокирует пакеты на |
14 |
>> лупбэк если src ip != 127/8. |
15 |
|
16 |
>> Конфиг sshd править каждый раз после апдейта не хочется, xinetd |
17 |
>> заводить тоже. |
18 |
|
19 |
>> Есть еще варианты? |
20 |
|
21 |
> Вариантов много. Наиболее популярные на мой взгяд: |
22 |
|
23 |
> 1. Сменить порт, на котором будет sshd можно поменяв параметр Port 22 |
24 |
> в файле /etc/ssh/sshd_config |
25 |
|
26 |
Этого то как раз и хочется избежать - старый стал, память плохая - |
27 |
обновил ssh, забыл конф поменять, рестартанул демон и закончился |
28 |
коннект :) |
29 |
|
30 |
|
31 |
> 2. Кому-то больше нравится устанавливать denyhosts или fail2ban. |
32 |
> Denyhosts например сканирует лог подключений и в случае 3 неудачных |
33 |
> попыток заносит ip в файл /etc/hosts.deny в результате чего с этого IP |
34 |
> станет невозможным установить SSH соединение. |
35 |
|
36 |
Где-то с месяц назад у меня практически на всех серверах была |
37 |
bruteforce атака - по 3-5 коннектов с одного хоста, перебор по |
38 |
алфавиту, далее эстафету продолжает уже другой бот. |
39 |
|
40 |
В данный момент самое эфективное - слушать другой порт. |
41 |
|
42 |
|
43 |
> 3. Различные игры с iptables и возможно даже ipset. Можно написать |
44 |
> множество хитрых правил, которые в самом простом случае будут просто |
45 |
> ограничивать кол-во входящих SSH соединений с одного IP в минуту. И |
46 |
> так далее. |
47 |
|
48 |
Ограничение числа коннектов с одного адреса - плохой вариант. |
49 |
|
50 |
|
51 |
|
52 |
-- |
53 |
Sergey |