Forum Mjukvara Linux och övriga operativsystem Tråd Inlägg

Spärra felaktiga ssh-inloggningar i brandväggen?

1
Skriv svar
Permalänk
Medlem
●

Spärra felaktiga ssh-inloggningar i brandväggen?

På min server får jag ständigt en massa försök till inloggningar med konton som inte finns (och självklart root). Jag har fixat med ssh-grupper så det bara är mitt konto som kan logga in, men jag skulle vilja ha något som automatiskt blockar alla som försöker logga in med ett konto som inte tillåts. I auth.log får jag x antal sådana här rader:

Sep 19 07:37:27 kaipa sshd[10808]: Failed password for illegal user admin from 218.93.124.211 port 33068 ssh2

Har funderat på att eventuellt skriva någon liten demon i bash eller perl som hela tiden tailar den filen och lägger en DROP i iptables på IP-adressen, men det borde väl finnas någon färdig lösning på detta?
Har letat, men jag hittar inget...
Kör Debian Sarge (PPC) på burken.

Redigera
Citera flera Citera
Permalänk
Medlem
●

om du då själv skriver fel när du gör en fjärrinloggning så blir du ju också utelåst..

du kan ju byta port för sshd eller köra med någon slags portknocking

Visa signatur

4 datorer: 9 cpuer (plats för 4 till), 10scsi+1satadisk, 7.75gb ram, bara Linux
http://isitfika.net http://code.kryo.se

Redigera
Citera flera Citera
Permalänk
Medlem
●

Det är en risk jag kan ta. Så svårt är mitt loginnamn inte att stava.
Visst kan man byta portar och lite sånt, men det känns lite krångligt. Men kanske är det vad man får göra för att slippa sånt här skit.

Redigera
Citera flera Citera
Permalänk
Medlem
●

Du kan inte spärra alla ip:n förutom ditt egna till sshd i hosts.allow?

Visa signatur

.::Man kan inte bromsa sig ur en uppförsbacke::.

Redigera
Citera flera Citera
Permalänk
Medlem
●

Njäe, jag vill kunna logga in var som helst.

Redigera
Citera flera Citera
Permalänk
Medlem
●

sshd_config

AllowUsers <login>@*

Tror dock inte det gör någon skillnad för dig, man kommer ju fortfarande fram till burken och kan testa olika kombinationer.

Visa signatur

Old math teachers never die, they just tend to infinity.

Redigera
Citera flera Citera
Permalänk
Medlem
●

Som det är nu är det bara ett enda konto som går att logga in med. Det jag vill göra är att "ge en smäll på fingrarna" till alla som försöker med något annat konto.

Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Citat:

Ursprungligen inskrivet av nillon
Som det är nu är det bara ett enda konto som går att logga in med. Det jag vill göra är att "ge en smäll på fingrarna" till alla som försöker med något annat konto.

Regel #1431, skicka aldrig något tillbaka till scriptkiddies (även om det där verkar vara en mask), dom blir bara sura och griniga och får sand i trosorna.

Redigera
Citera flera Citera
Permalänk
Medlem
●
Citat:

Ursprungligen inskrivet av Neco
Regel #1431, skicka aldrig något tillbaka till scriptkiddies (även om det där verkar vara en mask), dom blir bara sura och griniga och får sand i trosorna.

Med smäll på fingrarna menar jag en DROP i min brandvägg, inget annat.

Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Citat:

Ursprungligen inskrivet av nillon
Med smäll på fingrarna menar jag en DROP i min brandvägg, inget annat.

cat, grep, awk magi på auth.log och pipea till något?

[6:06][neko@obaasan ~]% sudo bzcat /var/log/auth.log.3.bz2 | grep -i illegal | awk '{print $10}' | uniq
61.166.6.60
69.28.69.138
203.246.69.90
202.133.104.27
61.174.170.38

Redigera
Citera flera Citera
Permalänk
Medlem
●

Jag tror Snort skulle kunna hjälpa till med sånt.

Redigera
Citera flera Citera
Permalänk
Medlem
●
Citat:

Ursprungligen inskrivet av Karlsson
Jag tror Snort skulle kunna hjälpa till med sånt.

Problemet är att datat som skickas är krypterat.

Ett förslag är väl att skapa ett syslog entry som skickar auth-data till en fifo som du sedan läser från med en liten daemon istället för att öppna de vanliga loggfilerna i onödan. Då slipper du även problemet med att logrotate byter fil efter ett tag som gör att cat/less slutar att fungera.

Senast redigerat
Visa signatur

This is a UNIX virus. Please remove all your files and copy this message to friends.
(Citera mig om du förväntar dig svar)

Redigera
Citera flera Citera
Permalänk
Medlem
●
Citat:

Ursprungligen inskrivet av Neco

cat, grep, awk magi på auth.log och pipea till något?

[6:06][neko@obaasan ~]% sudo bzcat /var/log/auth.log.3.bz2 | grep -i illegal | awk '{print $10}' | uniq
61.166.6.60
69.28.69.138
203.246.69.90
202.133.104.27
61.174.170.38

Jag har en lösning liknande det nu som snurrar i crontab någon gång i timmen. Men det känns bättre om man kunde fixa det i realtid.

Citat:

Ursprungligen inskrivet av zeth
Problemet är att datat som skickas är krypterat.

Ett förslag är väl att skapa ett syslog entry som skickar auth-data till en fifo som du sedan läser från med en liten daemon istället för att öppna de vanliga loggfilerna i onödan. Då slipper du även problemet med att logrotate byter fil efter ett tag som gör att cat/less slutar att fungera.

Det var ett bra förslag! Ska ta en titt på det.

Redigera
Citera flera Citera
1
Skriv svar