Administrace komentářů

No, v podstatě jde o to, že na tom serveru běží webhosting. Pro upload / download souborů se používá SFTP. Autorizace pro SSH je pouze na úrovni SSH klíčů - tedy přes jméno a heslo se k SSH jako takovému nelze přihlásit. Autorizace pro SFTP přístup "běžných uživatelů" je přes jméno / heslo s následným chrootem.

cat /etc/ssh/sshd_config
Port 22
AddressFamily inet
SyslogFacility AUTH
LogLevel INFO
MaxAuthTries 3
MaxSessions 20
ChallengeResponseAuthentication no
UsePAM yes
X11Forwarding yes
PrintMotd no
MaxStartups 1:30:100
AcceptEnv LANG LC_*

Subsystem sftp internal-sftp
AllowGroups group1 group2 group3

Match group group1
        ChrootDirectory /var/www/%u
        X11Forwarding no
        AllowTcpForwarding no
        ForceCommand internal-sftp

Match group group2
        ChrootDirectory /var/www2/%u
        X11Forwarding no
        AllowTcpForwarding no
        ForceCommand internal-sftp

...

A tady konfig Fail2Ban

cat /etc/fail2ban/jail.local
#
# JAILS
#

#
# SSH servers
#

[sshd]

# To use more aggressive sshd modes set filter parameter "mode" in jail.local:
# normal (default), ddos, extra or aggressive (combines all).
# See "tests/files/logs/sshd" or "filter.d/sshd.conf" for usage example and details.
mode   = ddos
port    = ssh
logpath = %(sshd_log)s
backend = %(sshd_backend)s
enabled = true


[dropbear]

port     = ssh
logpath  = %(dropbear_log)s
backend  = %(dropbear_backend)s


[selinux-ssh]

port     = ssh
logpath  = %(auditd_log)s

Fail2Ban jako takový funguje, viz...

iptables -L -v -n
...
Chain f2b-sshd (1 references)
 pkts bytes target     prot opt in     out     source               destination
    0     0 REJECT     all  --  *      *       106.52.183.129       0.0.0.0/0            reject-with icmp-port-unreachable
    0     0 REJECT     all  --  *      *       106.52.181.142       0.0.0.0/0            reject-with icmp-port-unreachable
    0     0 REJECT     all  --  *      *       106.52.145.100       0.0.0.0/0            reject-with icmp-port-unreachable
    0     0 REJECT     all  --  *      *       106.52.125.223       0.0.0.0/0            reject-with icmp-port-unreachable
    0     0 REJECT     all  --  *      *       106.52.107.254       0.0.0.0/0            reject-with icmp-port-unreachable
    0     0 REJECT     all  --  *      *       106.52.107.123       0.0.0.0/0            reject-with icmp-port-unreachable
    0     0 REJECT     all  --  *      *       106.51.3.214         0.0.0.0/0            reject-with icmp-port-unreachable
    0     0 REJECT     all  --  *      *       106.51.168.98        0.0.0.0/0            reject-with icmp-port-unreachable
    0     0 REJECT     all  --  *      *       106.37.72.112        0.0.0.0/0            reject-with icmp-port-unreachable
    0     0 REJECT     all  --  *      *       106.252.20.88        0.0.0.0/0            reject-with icmp-port-unreachable
    0     0 REJECT     all  --  *      *       106.251.237.171      0.0.0.0/0            reject-with icmp-port-unreachable
    0     0 REJECT     all  --  *      *       106.248.231.66       0.0.0.0/0            reject-with icmp-port-unreachable
    0     0 REJECT     all  --  *      *       106.246.224.154      0.0.0.0/0            reject-with icmp-port-unreachable
    0     0 REJECT     all  --  *      *       106.241.54.211       0.0.0.0/0            reject-with icmp-port-unreachable
...

Nějaký nápad ?

Jak doporučuje "X" - bohužel, v tuto chvíli nemohu změnit port SSH a ani SSH omezit na určitou skupinu IP.
Bohužel, potřebujeme to mít v tuto chvíli vystavené do internetu.

Díky,
Petr