Dotaz: obmedzenie ssh

[secido]

Potreboval by som pomocu iptables alebo nejako inak nastaviť čas medzi opakovaným pripojeniami cez ssh. Logy sú plné pokusov z rôznych adries. Najlepšie ak sa niekto pripojí povedzme 10x za minútu, tak si musí dať hodinu pauzu. Dá sa to?

Odpovědi

[B0biN]

Mno a nebylo by lepší nastavit jen určité IP adresy, které se mohou na ssh zalogovat? Nebo to je nějaký open ssh server?

[Petr Šobáň]

Dá man iptables

limit
       This  module  matches  at  a  limited rate using a token bucket filter.  A rule using this extension will
       match until this limit is reached (unless the ‘!’ flag is used).  It can be used in combination with  the
       LOG target to give limited logging, for example.

       --limit rate
              Maximum  average  matching  rate:  specified  as  a number, with an optional ‘/second’, ‘/minute’,
              ‘/hour’, or ‘/day’ suffix; the default is 3/hour.

       --limit-burst number
              Maximum initial number of packets to match: this number gets recharged by one every time the limit
              specified above is not reached, up to this number; the default is 5.

# Retezec pro stanoveni limitu prichozich SYN konexi (ochrana pred SYN floods)
# propusti pouze 4 SYN segmenty/sec
$IPTABLES -N syn-flood
$IPTABLES -F syn-flood
$IPTABLES -A syn-flood -m limit --limit 1/s --limit-burst 4 -j RETURN
$IPTABLES -A syn-flood -j DROP

# Odfiltrovat pokusy o syn-flooding
$IPTABLES -A INPUT -p tcp --syn --dport ssh -j syn-flood

Samozřejmě si to musíš upravit podle sebe.

[Josef Kufner]

Obavam se, ze tohle neresi uspesnost prihlaseni, coz by mohlo byt celkem neprijemne, ale pri rozumnem limitu...

[Semo]

Tento problem sa tu rozobera raz za dva mesiace. Trocha prehladaj historiu.

[Stanislav Petr]

Odpoved je zde: http://denyhosts.sourceforge.net/

[Jan Martinek]

Existuje tisíc a jeden skript, co se snaží ssh útoky nějak řešit. Jenže buď toho umí málo nebo je jejich návrh (podle mě) nesystémový. Asi jsem divnej, ale parsování logů (obecně) považuji za nešťastnou věc, které dříve či později povede k problémům s přenositelností. No a když má celou věc na starosti periodicky(crontabem) spouštěný skript, tak je to prostě zbastlené. Takže dle mého soudu rozumné řešení zatím neexistuje, a tak se ptám - uměl by někdo napsat modul do PAMu, který by komunikoval s démonem, co by následně modifikoval pravidla iptables, přičemž by si schovával informace někde jinde než v logu?