Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

OpenNews: Блокирование подбора паролей с помошью пакетного фильтра PF, opennews (?), 06-Май-06, (0) [смотреть все] Имхо проще перенести sshd на нестандартный порт , Алхимик (?), 16:09 , 06-Май-06, (1) // IMHO такие вещи лучше решать с помощью файрвола А сканить будут один фиг по диа, CrazyF (?), 16:53 , 06-Май-06, (6) // Я чего-то остро недопонимаю - сканят, да пусть хоть обсканятся наизнанку Не хани, Квагга (?), 00:26 , 07-Май-06, (23) // Не мог бы кто-нибудь ткнуть меня носом, как именно это сделать в манах нету, в , Krieger (?), 23:05 , 12-Дек-06, (69) Поддерживаю , 5trovi4 (??), 10:36 , 10-Май-06, (63) а для iptables как подобного добиться , Аноним (-), 16:10 , 06-Май-06, (2) Поддерживаю - перенес sshd на нестандартный порт и все , Аноним (-), 16:49 , 06-Май-06, (4) // iptables -A INPUT -p tcp --syn --dport 22 -m recent --name radiator --setiptable, Stinky (?), 14:33 , 07-Май-06, (41)   // на 2 4 31 это работать должно у меня не пускает ни разу по этой паре правил , Settler (?), 17:19 , 08-Май-06, (53)   и на 2 6 16 7 тоже дропаются соединения вы это проверяли может еще что-то допи, Settler (?), 17:23 , 08-Май-06, (54)   // Это точно работает так, как задумано на 2 6 12 iptables 1 3 4 то что сейчас кру, Stinky (?), 18:01 , 08-Май-06, (55)   включено эксперимент на 2 6 16 7 14 - показал что это больше не работает ipta, Settler (?), 19:05 , 08-Май-06, (57)   очень уж хочется, что-бы это работало может я торможу и там само-собой еще к, Settler (?), 20:04 , 08-Май-06, (58)   Дык, блин Ну конечно ACCEPT после этих правил должен идти Что-нить стандартно, Stinky (?), 13:27 , 09-Май-06, (61)   угу, уже работает, догадался спасибо хорошая штука вообще удобный модуль пос, Settler (?), 14:47 , 09-Май-06, (62)   Кстати, сперто отсюдаhttp www linux org ru view-message jsp msgid 1320671, Stinky (?), 18:05 , 08-Май-06, (56)   man iptables--- limit This module matches at a limited rate using a toke, Аноним (-), 16:51 , 06-Май-06, (5) // Интересно, а как модуль limit сможет отличить авторизацию на ssh, от работы уже , satelit (?), 04:25 , 07-Май-06, (31) // --syn Only match TCP packets with the SYN bit set and the , daff (?), 12:29 , 07-Май-06, (35) // Тогда получиься задержка не на каждую авторизацию, а на каждую вторую авторизаци, satelit (?), 17:38 , 07-Май-06, (42) Что-то мне все эти лимиты не нравятся Лучше уж разрешить доступ только для опре, Mikk (?), 17:59 , 06-Май-06, (7) пожалуйста, не пишите ересь про перенос на нестандартный порт это помогает толь, keyhell (??), 19:02 , 06-Май-06, (8) Под BSD найти бы такое iptables -A INPUT -d INADDR -m state --state NEW -m tc, MacCook (?), 20:30 , 06-Май-06, (9) // Очень интересный пример кстати , pro (??), 21:01 , 06-Май-06, (10) usr ports security doorman - не поможет , Userr (?), 23:05 , 06-Май-06, (19) Я чуть-чуть доработал пример - иначе nmap открывает порт iptables -A INPUT -d I, Андрей (??), 14:41 , 08-Май-06, (52) Ещё один вариант http ethernet org brian src timelox и небольшой комментарий , fb (??), 21:18 , 06-Май-06, (13) Для IPTables есть hashlimit, который уже, даже, включен стд релиз http www net, mofs (?), 21:28 , 06-Май-06, (15) Почти такое же решение, но своего производства , использовал на фре Потом отк, Аноним (-), 22:28 , 06-Май-06, (16) Основное тут, то что можно и нужно не блокировать, а затормозить и выдать ошибоч, BB (??), 22:33 , 06-Май-06, (17) // Ну для особо боязливых я к ним отношусь существует portsentry Бывае иногда чт, dem (?), 23:47 , 06-Май-06, (20) pf рулит однако хотя с другой стороны дыры php на хостинговом сервере таким о, dvg_lab (??), 00:19 , 07-Май-06, (22) Ребятя, а про sshlockout уже все забили Или никто и не знал , Adil_18 (?), 00:45 , 07-Май-06, (24) // Какой именно Гугл показал несколько версий, например http www xyz com progs s, greyork (??), 01:09 , 07-Май-06, (25) // Любой, главное у тебя есть открытый код который можно локализировать под свои ну, Adil_18 (?), 01:49 , 07-Май-06, (26) // Вы совершенно правы Но, аргументы вроде этого apt-cache search sshlockout пус, greyork (??), 02:02 , 07-Май-06, (27) include stdio h include stdlib h include unistd h include string h incl, Adil_18 (?), 00:23 , 08-Май-06, (50) нестандартный порт и сообщений об ошибочной авторизации более чем достаточно для, RedEyes (?), 04:15 , 07-Май-06, (30) 1 xinetd, я так понимаю, никто не использует, и не знает о его параметре only_f, Аноним (-), 10:59 , 07-Май-06, (33) ну тупой, ну тупой - америкосы рядом даже не валялись прочитай внимательно Пере, злобный (?), 21:15 , 07-Май-06, (46) Для подобных целей использую софтинку по имени fail2ban Весьма удобно и конфигу, StSphinx (??), 21:18 , 07-Май-06, (47) // Вот тоже как вариант usr ports security bruteforceblocker BruteForceBlocker is a, dukie (??), 04:37 , 08-Май-06, (51) По моему такие вещи должны решаться на уровне самого sshd , аноним (?), 05:24 , 09-Май-06, (59) первый человек, смотрящий в корень проблемы , Аноним (-), 11:44 , 09-Май-06, (60) // Вопрос в том, почему до сих пор разработчики SSHD не предусмотрели возможность б, Andrey (??), 13:42 , 10-Май-06, (64) // еще бы chroot сделали из коробочки , Settler (?), 18:40 , 10-Май-06, (65) от нафлудили а доступ по паре клюучей сделать слабо, да или серты это типа то, Аноним (-), 00:13 , 11-Май-06, (66) Мне кажется тут в запарке забыли, что бывает не только скан 64к портов на одном , mic (??), 21:31 , 01-Июн-06, (67) // А если создать эмитатор подключения к sshd и редиректить на этот порт атакующего, Ce (ok), 04:01 , 09-Июн-06, (68) 1,2,4,5,7,8,9,13,15,16,17,22,24,30,33,46,47,59,60,67

Сообщения

[Сортировка по времени | RSS]

	41. "Блокирование подбора паролей с помошью пакетного фильтра PF"	+/–
	Сообщение от Stinky (?), 07-Май-06, 14:33
	iptables -A INPUT -p tcp --syn --dport 22 -m recent --name radiator --set iptables -A INPUT -p tcp --syn --dport 22 -m recent --name radiator --update --seconds 60 --hitcount 4 -j DROP Три соединения (новых) в минуту пускает нормально, дальше дропает. Если минуту не дергаться, соответственно можно опять подключаться. Переборшиков блокирует на ура.
	Ответить | Правка | Наверх | Cообщить модератору

	53. "Блокирование подбора паролей с помошью пакетного фильтра PF"	+/–
	Сообщение от Settler (?), 08-Май-06, 17:19
	на 2.4.31 это работать должно? у меня не пускает ни разу по этой паре правил.
	Ответить | Правка | Наверх | Cообщить модератору

	54. "Блокирование подбора паролей с помошью пакетного фильтра PF"	+/–
	Сообщение от Settler (?), 08-Май-06, 17:23
	и на 2.6.16.7 тоже дропаются соединения. вы это проверяли? может еще что-то дописать нужно?
	Ответить | Правка | К родителю #41 | Наверх | Cообщить модератору

	55. "Блокирование подбора паролей с помошью пакетного фильтра PF"	+/–
	Сообщение от Stinky (?), 08-Май-06, 18:01
	Это точно работает так, как задумано на 2.6.12/iptables 1.3.4 (то что сейчас крутится) "recent match support" включено?
	Ответить | Правка | Наверх | Cообщить модератору

	57. "Блокирование подбора паролей с помошью пакетного фильтра PF"	+/–
	Сообщение от Settler (?), 08-Май-06, 19:05
	включено. эксперимент на 2.6.16.7/14 - показал что это (больше) не работает. iptables v1.3.5
	Ответить | Правка | Наверх | Cообщить модератору

	58. "Блокирование подбора паролей с помошью пакетного фильтра PF"	+/–
	Сообщение от Settler (?), 08-Май-06, 20:04
	*очень уж хочется, что-бы это работало :)* может я торможу и там само-собой еще какие-нибудь правила нужно дописать? где собственно оно пускает-то? accept где будет?
	Ответить | Правка | К родителю #55 | Наверх | Cообщить модератору

	61. "Блокирование подбора паролей с помошью пакетного фильтра PF"	+/–
	Сообщение от Stinky (?), 09-Май-06, 13:27
	Дык, блин... Ну конечно ACCEPT после этих правил должен идти. Что-нить стандартное типа `-dport 22 -j ACCEPT`.
	Ответить | Правка | Наверх | Cообщить модератору

	62. "Блокирование подбора паролей с помошью пакетного фильтра PF"	+/–
	Сообщение от Settler (?), 09-Май-06, 14:47
	угу, уже работает, догадался :) спасибо. хорошая штука. вообще удобный модуль (посмотрел его сайт - мне понравился пример с блокированием всего от того, кто стукнулся на не тот порт).
	Ответить | Правка | Наверх | Cообщить модератору

	56. "Блокирование подбора паролей с помошью пакетного фильтра PF"	+/–
	Сообщение от Stinky (?), 08-Май-06, 18:05
	Кстати, сперто отсюда http://www.linux.org.ru/view-message.jsp?msgid=1320671
	Ответить | Правка | К родителю #54 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема