Dotaz: SASL smtpd postfix dovecot

[Kall Ell]

Ahojte, mám dotaz. Stavím si mail server na debianu. Postfix/dovecot/mysql. Nastavil jsem si SASL a najednou se mě v logu začaly hromadit záznamy z nějakých serveru o pokusu přihlášení k smtpd pod různými jmény. A jako hodně. A teď otázka. Lze nějak blokovat tyto IP adresy automaticky? Řekněme, že se z nějaké IP adresy pokouší přihlásit pomocí nesmyslného jména, tak aby se po určitém počtu tahle IP adresa blokovala? Podle toho co vidím v logu tak se ty IP adresy opakuji a zkoušejí po určité době znovu. Problém je, že jich je víc a není možný je blokovat manuálně jednu po druhé

Odpovědi

[kozzi]

Tak bud muzes zmenit port na nejaky netypicky, tim se to vetsinou znacne procisti, ale muze to byt otrava zadvat netypicke porty v klientech.

Nebo analyzovat ty logy a dle toho pridavat pravidla do firewallu

Urcite uz nekde existuji nejake blacklisty, otazka je jak moc je to aktualni atd.

[kozzi]

http://www.cyberciti.biz/tips/postfix-spam-filtering-with-blacklists-howto.html

[panCHrz]

fail2ban

[Petr Šobáň]

Já mám ve firewallu něco takového:

echo "Inicializace ipset IPv4..."

# inicializace ipset 
$IPSET destroy zakazane
$IPSET create zakazane hash:ip family inet timeout 172800
$IPSET destroy zakazane_ssh
$IPSET create zakazane_ssh hash:ip family inet timeout 1800
$IPSET destroy cz.zone.ipv4
$IPSET create cz.zone.ipv4 hash:net family inet



# Omezení počtu spojení na port 25 SMTP
$IPTABLES -A INPUT -p tcp --dport 25 -m state --state NEW -m set --match-set zakazane src -j DROP
$IPTABLES -A INPUT -p tcp --dport 25 -m state --state NEW -m hashlimit --hashlimit-above 1/min --hashlimit-burst 3 --hashlimit-mode srcip --hashlimit-name ALL-bruteforce -j SET --add-set zakazane src
$IPTABLES -A INPUT -p TCP --dport 25 -m state --state NEW -j ACCEPT  #SMTP server

Pak taky mám zablokované komplet čínu a rusko, a pak ještě blokované ručně zadané sítě z kterých jsou útoky.

A pak jednotlivé servery a uživatele v souboru /etc/postfix/access

[Max]

To je věčné téma. Jedni zarytě používají fail2ban apod. programy k blokaci adres. Druzí se tomu jen diví, protože zase nevidí smysl v nějaké blokaci, protože si tím člověk zase zadělává na jiné problémy (viz NAT a různé podvrhy IP => blokace regulérních klientů).
Přiznám se, že já spadám do druhé skupiny, ale vesměs je to každého věc.
Zdar Max

[Kall Ell]

Díky moc za nakopnutí, mrkni na to fali a i ten firewall. Obecně se mě moc bolokvat nechce, ale zase když to někdo bude neustále zkoušet, tak se mu to může zaprvé podařit a za druhé to zpomalí internet.