Dotaz: iptables a ssh

[filbar]

V iptables jsem měl jedno výborné pravidlo pro ssh, které zakazovalo více než tři neúspěšné pokusy o připojení k ssh a pak pakety iptables na nějakou dobu zahazovalo, což velmi zmenšilo pokusy o přihlášení pocházející od nějakých crackerů. Jenomže se mi to pravidlo podařilo při manupulaci s iptables smazat a teď si nemůžu vzpomenout, jak má vypadat. Nevíte někdo, to pravidlo zapsat?

Odpovědi

[oxymoron]

iptables -I input_ext -p tcp --dport 22 -i eth0 -m state --state NEW -m recent --set
iptables -I input_ext -p tcp --dport 22 -i eth0 -m state --state NEW -m recent --update --seconds 60 --hitcount 3 -j DROP

[oxymoron]

to input_ext treba samozrejme nahradit adekvatnym .... pravdepodobne INPUT

[Náhodný návštěvník]

No nevím, ale mám pocit, že se do oněch 3 pokusů počítají i dobrá přihlášení - pak by taková pravidla byla prakticky k ničemu. I když možná těch pár nespokojených uživatelů, kteří například umějí psát skripty či používat ssh-agenta, třeba by se dali v klidu ignorovat nebo zadupat do země ;o)

[Jiří Lisický]

Ano, počítají se i dobrá. Ale to se dá vyřešit tím, že se předřadí pravidlo, které udělá ACCEPT pro známé adresy. Taky se dá změnit počet pokusů a doba po kterou to počítá.

Líbí se mi na tom, že se nemusí instalovat žádný balík, jen se využije modul v iptables.

[Filip Jirsák]

A na MaxAuthTries 3 se vám nelíbí co? Když už tady diskutujeme pod půl roku starým dotazem…

[Jiří Lisický]

To se mi taky líbí, dík
Akorát jsem furt nevěděl jak se ta volba jmenuje - ve Fedoře ani Centosu to v manu není.

A jak byla ta stará diskuse užitečná...

[Jooky (inactive)]

Ta volba neporiesi ten problem uplne. Ja mam nastavene, ze v jednom pokuse ide dat maximalne 3 hesla a opakovat prihlasenie sa da az po 30s (ked posle v tej dobe syn na sshd port ta sa predlzi cas). Normalne prihlasenia to skoro vobec neovplyvni. Od vtedy co som dal tieto pravidla do netfilteru tak som nemal ziadny brute force utok na sshd deamona.

iptables -A INPUT -m state --state NEW -j NEW_CON
...
iptables -A NEW_CON -i wan -p tcp --dport 22 -j SSH_ACCESS # sshd
...
iptables -A SSH_ACCESS -m recent --name ssh_attempt --rsource --update --seconds 30 --hitcount 1 -j DROP
iptables -A SSH_ACCESS -m recent --name ssh_attempt --rsource --set -j ACCEPT

Ono to vyuziva jednu vec. Bezny uzivatel ked zadava heslo, potom nejake prikazy, ... tak 30s je celkom kratky cas na to aby pripajal este raz, ale taky script sa pozrie ze aha sshd port a ide skusat hesla (zo slovniku, ...). Po troch heslach (alebo ziadnych ked najprv skenuje id) ma jednoducho smolu a zacne mu to timeoutovat :o)

[pavel]

fail2ban