|
Coś w rodzaju Fail2ban
|
| Bartko |
Dodano 15-12-2008 23:53
|
User
Posty: 56
Dołączył: 20/03/2008 23:14
|
Czy jest dostępne gdzieś wbudowane w Tomato coś w rodzaju Fail2ban? Jeśli nie to czy i jak można by coś takiego zrobić.
Chodzi o to, żeby chronić się przed próbami włamań (bruteforce lub słownikową).
Jakiś makaroniarz usilnie próbuje "zgadnąć" moje hasło do ssh.
Odrazu mówie, że w hosts.deny już go dadałem ale przydałoby się na przyszłość, żeby przykładowo po 3 błędnych hasłach odcinał dostęp na jakiś klientowi co je wpisywał.
Może w dropbear jest taka opcja do włączenia?
No i takie próby też wpływają na niepotrzebne obciążenie łącza, jeśli są dość brutalne jak ktoś ma słabe łącze.
Edytowany przez Bartko dnia 15-12-2008 23:56
|
| |
|
|
| mykhal |
Dodano 16-12-2008 03:04
|
User
Posty: 26
Dołączył: 20/06/2008 13:04
|
Jeżeli bardzo Ci jest potrzebny dostęp z zewnątrz to ustaw demona SSH, aby nasłuchiwał na nietypowym dla siebie porcie.
Jeśli chcesz się bawić w Fail2ban czy Portsentry to polecam OpenWRT. Portsentry masz paczkach, a o fail2ban najlepiej zapytać na forum openwrt. Może ktoś kompilował ze źródeł.
WRT54GL v 1.1 - Tomato 1.19
La Fonera - DD-WRT v24
|
| |
|
|
| local |
Dodano 16-12-2008 08:33
|
User
Posty: 139
Dołączył: 17/06/2008 12:04
|
http://en.wikibooks.org/wiki/Tomato_F...re#Scripts
Trzeci przykładowy skrypt blokuje źródłowe ip (atakującego) po 3 nieudanych próbach w ciągu 90 sekund. Blokada trwa 90 sekund.
Tu znajdziesz bardziej rozbudowany skrypt, ale nie wiem czy będzie działać pod Tomato.
http://wiki.x-wrt.org/index.php/HowTo...g_dropbear |
| |
|
|
| Bartko |
Dodano 04-02-2009 21:36
|
User
Posty: 56
Dołączył: 20/03/2008 23:14
|
WANIP=$(nvram get wan_ipaddr)
iptables -t nat -A PREROUTING -p tcp -d $WANIP --dport 22 -j DNAT --to 192.168.1.1:22
iptables -A INPUT -d 192.168.1.1 -p tcp --dport 22 -m state --state NEW -m recent --set --name SSH_LIMIT --rsource
iptables -A INPUT -d 192.168.1.1 -p tcp --dport 22 -m state --state NEW -m recent --update --seconds 90 --hitcount 4 --name SSH_LIMIT --rsource -j DROP
iptables -A INPUT -d 192.168.1.1 -p tcp --dport 22 -j ACCEPT
Mógłby ktoś przetestować u siebie? U mnie nie działa. Mam najnowszą wersję TrzepakoTomato, na wcześniejszym oryginalnym Tomato też nie działało.
Może wyjaśnie dokładnie mój problem, o co mi się rozchodzi...
Jakiś czas temu zaczęło mi zamulać łącze. Mam ładnie wszystko polimitowene per user więc szukam przyczyny gdzie indziej. Żadne p2p nie było w stanie mi zamulić łącza. Patrze na wykres Bandwidth/Real-time a tu 1/10 wykorzystania. Więc odrazu wiem, że to łącze nie wyrabia pakietowo (kablówka 1Mb/s ale wiadomo, że nie przepuści tyle pakietów co np. stary poczciwy Polpak). No to szybko w logi i tam co? Jakiś pie****ny makaroniarz non stop próbuje przez ssh na root się zalogować.
Huh, się rozgadałem. ;-D
Od otworzenia tematu sytuacja się uspokoiła, ale tak na przyszłość można by się zabezpieczyć. Ma ktoś jakieś pomysły jak kogoś zbanować na 90 sekund jeśli wpisze hasło 3 razy źle w ciągu 120 sekund? |
| |
|
|
| shibby |
Dodano 05-02-2009 14:52
|
SysOp
Posty: 17143
Dołączył: 15/01/2009 20:30
|
u mnie ten skrypt tez nie dziala. udostepnilem sobie ssh tylko z danych adresow ip z ktorych sie lacze do routerka. |
| |
|
|
| shibby |
Dodano 10-05-2009 16:02
|
SysOp
Posty: 17143
Dołączył: 15/01/2009 20:30
|
podaje rozwiazanie (oczywiscie calosc do firewalla):
Cytat
modprobe ipt_recent
iptables -t nat -A PREROUTING -p tcp ! -s 192.168.0.0/24 --dport 22 -j DNAT --to 192.168.0.1:22
iptables -I INPUT -p tcp --dport 22 -m state --state NEW -m recent --set
iptables -I INPUT -p tcp --dport 22 -m state --state NEW -m recent --update --seconds 180 --hitcount 2 -j DROP
iptables -A INPUT -d 192.168.0.1 -p tcp --dport 22 -j ACCEPT
192.168.0.0/24 - podsiec zmienic na swoja
192.168.0.1 - ip routera, zmienic na swoj
u mnie dziala rewelacyjnie.
Router: Unifi Cloud Gateway Max
Switch: Unifi USW-Lite-16-PoE
Switch: Unifi USW-Flex-Mini - szt. 2
Wi-Fi: Unifi U6-Lite - szt. 2
Proxmox VE: i5-13400T, 64GB RAM, 2x 512GB NVMe, 3x 2TB SSD
VM #1: Synology SA6400
VM #2: Debian, WWW
VM #3: Home Assistant OS
|
| |
|
|
| local |
Dodano 10-05-2009 22:06
|
User
Posty: 139
Dołączył: 17/06/2008 12:04
|
@shibby
Wyłączyłeś dostęp ssh przez gui jak radzi wiki Tomato? |
| |
|
|
| shibby |
Dodano 10-05-2009 22:12
|
SysOp
Posty: 17143
Dołączył: 15/01/2009 20:30
|
mam tak
Router: Unifi Cloud Gateway Max
Switch: Unifi USW-Lite-16-PoE
Switch: Unifi USW-Flex-Mini - szt. 2
Wi-Fi: Unifi U6-Lite - szt. 2
Proxmox VE: i5-13400T, 64GB RAM, 2x 512GB NVMe, 3x 2TB SSD
VM #1: Synology SA6400
VM #2: Debian, WWW
VM #3: Home Assistant OS
|
| |
|
' target='_blank'>Link
