Dotaz: Ochránění postfix pred DoS

[mytrix]

Dneska jsem se dival do maillogu a zjistil jsem ze se nekdo pokousel hodne vytrvale prihlasit na SMTP (pouzivam SASL + MySQL). Jeho frekvence byla cca (10 pokusu za 2 minuty) cimzpadem pak zacal MySQL server odmitat pripojeni. (Too many connections... blabla). Lze se nejak proti tomu branit? Asi by bylo nejlepsi kdyby SMTP server danou IP po urcitych neplatnych pokusech (napr 5ti) zablo-koval a dal se s ni nebavil. Lze toho nejak docilit? Dekuji za radu + pripadny link :o)

Odpovědi

[Kamorek]

Měl jsem za to, že platí: http://www.abclinuxu.cz/news/show/49613.

Jaké máš jádro?

[Jarek Šeděnka]

s timhle postfix pocita. v main.cf u vsech radku

virtual_* = mysql:/cesta/soubor

to zmen na

virtual_* = proxy:mysql:/cesta/soubor

kvuli tomu nebu postfix pri kazdem mailu vytvaret nove mysql spojeni, ale bude si na mysql dotazy drzet nejakeho vlastniho demona, ktery bude pripojeny k databazi trvale (nebo aspon dlouhodobeji). Par set dotazu za minutu MySQL v pohode zvladne, pokud to neni hodne stary stroj.

[jm]

Na to bacha, tohle vetsinou konci nejak takhle:

proxy map is not allowed for security sensitive data 
warning: request for unapproved table: "mysql:/etc/postfix/mysql-virtual-uid.cf"
warning: to approve this table for proxymap access, list 
proxy:mysql:/etc/postfix/mysql-virtual-uid.cf in main.cf:proxy_read_maps
warning: process /usr/lib/postfix/virtual pid 24047 exit status 1

Pro alias_maps nelze proxymap pouzivat vubec, ostatni je nutno pridat do proxy_read_maps. Navic dokumentace k tomuhle stoji dost za houby.

[Kamorek]

Ale spise by se Vam hodil tento clanek. Takhle to mam ve firewallu ja.

http://www.root.cz/clanek/137

Pokud budete mit zajem, poslu Vam vypis z iptables tykajici se SYN-FLOOD

[mytrix]

Aha.. omlouvam se za mensi nepresnost/neuvedeni dostatecnych info. Potfix jede na FreeBSD 5.2.1,jako FW se pouziva IPFilter . A menis oprava k zadani misto "cca (10 pokusu za 2 minuty)" melo byt 100pokusu ;)

Kazdopadne podle logu to vypada tak ze je to pouze spamersky pokus odesilat zpravy. Tzn ze se musi nalogovat na SMTP (dotycny zkousi ruzne uzivatele ktere by potencialne mohli byt bez hesla atd..) takze bud by bylo nejlepsi, kdyby úprimo postfix obsahoval neco, co by dokazalo omezit pocet loginu a po napr 5 pokusech dotycenho "odriznul". Mozna jeste lepe by bylo, kdyby nejaky externi skript/program pridal to ipf.conf pravidlo pro blokaci dane IP .. reseni je zda se dost, ale ani jedno nevim jak udelat :) dik

[michalst]

Zdravim, zkus to udelat takhle: mam firewalovy script nad iptables,kde je nasledujici:
(eth0 - karta intranet, eth1 - internet)
#Ochrana pred syn_flood
iptables -N syn_flood #nove pravidlo
iptables -A syn_flood -m limit --limit 1/s --limit-burst 5 -j RETURN #pravidla pro pocet pokusu - cas
iptables -A syn_flood -j DROP #zahozeni paketu
iptables -A INPUT -i eth1 -p tcp --syn -j syn_flood # uplatneni pravidla

[Jarek Šeděnka]

s timhle nastavenim jsem narazil na problemy pir pouzivani FTP (pri kopirovani hodne souboru na rychle lince to netfilter oznacil za utok a odrizl me)