Dotaz: ssh a iptables?

[georgo23]

Zdravim a chci se zeptat , radne jsem si prostudoval fora tady nez jsem rozhodnul polozit tento dotaz: Chci aby z internetu mnelo pristup pouze jedna MAC adresa jak na to?? po procteni vseho moznoho jsem dosel tu k tomuto ale nefrka to iptables to spapaj ale nejede :

 iptables -I INPUT -i eth1 -p tcp\
 --dport ssh  -m mac --mac-source xx:xx:xx:xx:xx:xx -j ACCEPT

mozna jsem hledal zle prosim poradte ci opravte díky .

Odpovědi

[Igor]

Puvodni zdrojova MAC adresa se zahazuje na nejblizsim routeru. Na tvuj stroj prichazeji ramce se zdrojovou MAC adresou routeru skrz ktery prisly.

[georgo23]

a jak totedy udelat aby byl pristup pouze z jednoho úpocitace??? a zvlast kdyz mame v praci dsl???? takze static Ip je utopie .!!

[jm]

Napr. pouzivat autentizace pomoci klice a neumoznovat prihlaseni heslem. Nebo jsou obskurnejsi metody, jako je port knocking.

[Igor]

napada me: a) jmeno + heslo b) nejaky tunel

[georgo23]

hmmm tak z toho jsem si vazne nic nevzal. jmeno heslo????? tunel??? a co je potom ssh???jedna se mi o autentizaci z netu , ale puze z jedne masiny.Ale presto dík snad vás i mne neco napadne.

[Igor]

Asi jsem byl opravdu nesrozumitelny :) Variantou a) jmeno + heslo jsem myslel nechat to pouze na jmeno a heslo. Pokud hesla budou netrivialni, bude to fungovat dostatecne bezpecne. Variantou b) jsem myslel vybudovat tunel (nemusi to byt ani vpn) jako dodatecny mechanizmus ekvivalentni kontrole MAC nebo ip adresy. Nejlepsi smysl zatim dava to, co ti radi jm - autorizovat ssh klicem. Rozhodne pokud nemate statickou verejnou ip, tak iptables je na nic. Jinak v pripade dsl sluzby, ktere telecom rika "... broadband ..." lze verejnou ip adresu ziskat ( narozdil od dsl sluzby "... express ...") Pokud byste tu verejnou adresu ovsem meli, nebylo by to stejne s iptables o moc bezpecnejsi.

[unchallenger]

Jméno a heslo?

Co píše jm, tedy zákaz autentizace heslem a povolení autentizace jen veřejnými klíči + passphrase, je IMHO základní opatření na každý počítač, kam se nemá přihlašovat půlka vesmíru. Jaké klíče si tam dáš, takové tam máš. Port je v tom případě samozřejmě otevřený, takže remote exploit na sshd by tě dostal; podle míry paranoie strč sshd na jiný port nebo použij port-knocking.

[Igor]

A jo, remote exploit ! No jo. A co atomovka ? Nepsal tu nekdo prednedavnem neco o zaplatovani, jak je to veledulezite ? Jaky je rozdil mezi remote exploitem na ssh a na http ? A jak to, ze bezi spousta hhtp serveru ?

[unchallenger]

Mohl bys upřesnit, na vlastně co reaguješ?

Rozdíl mezi sshd a httpd je mj. v uživateli, pod kterým běží.