Forum Debian Users Gang

Możesz też dać SSH na porcie powyżej 10000, nmap go nie zobaczy.

firewall to podstawa.

A można też dać SSH np na port 11978, wcześniej obejmując porty od 2000 do 25000 na firewallu hashlimitem -3 próby  (połączenia NEW) na godzinę, przy czwartym ban na godzinę.
Potem wpuszczasz SSH na 11978, ale każdy skaner, który próbował wcześniej skanować więcej niż 3 -5 portów, jest już zbanowany.

W ten sposób o SSH się świat przez wiele lat nie dowie. :D

Ostatnio edytowany przez Jacekalex (2014-04-13 02:18:15)

[quote=mati75]http://www.howtoforge.com/changing-apache-server-name-to-whatever-you-want-with-mod_security-on-debian-6 tu jest o zmianie server header[/quote]
Świetnie, co do zmiany na fake 'nazwe' działa z Apachem, choć nie do końca ten tutorial jest poprawny, ponieważ należało dodać "SecServerSignature '' " do mods-enabled/mod-security.conf i wtedy zadziałał :).



[quote=Jacekalex]A można też dać SSh np na port 11978, wcześniej obejmując porty od 2000 do 25000 na firewallu hashlimitem -3 próby  (połączenia NEW) na godzinę, przy czwartym ban na godzinę.
Potem wpuszczasz SSH na 11978, ale każdy skaner, który próbował wcześniej skanować więcej niż 3 -5 portów, jest już zbanowany.

W ten sposób o SSH się świat przez wiele lat nie dowie. :D[/quote]
Gdyby nie to że do tego Serwera mam dostęp jedynie przez SSH to chyba bym się nawet pobawił z tym iptables, a tak to pokręcę reguły i się nie zaloguję :D.
Zresztą ten IPtables straszny się wydaje na początek.

Ostatnio edytowany przez sqrtek (2014-04-12 23:47:44)

[quote=lis6502]Musisz pozostawić sobie jakiegoś backdoora, przetestować to i dopiero zabierać się do zabawy. Niestety, mając swoją maszynę tam gdzieś w świecie znajomość zdalnej konfiguracji potencjalnie blokujących Ci dostęp usług to podstawa. Co z tego że zespoofujesz wersje usług, kiedy one wszystkie dostępne będą dla każdego z zewnątrz, a byle scriptciak z nmapem zrobi Ci ddosa? :P
Wygodne backdoory:
- port knocking (dobijasz się do zdefiniowanych portów w określonym czasie i to odpala np skrypt usuwający reguły firewalla)
- keep alive (serwer cyklicznie np co minutę sprawdza czy ma łączość ze światem, w razie jej braku odpala instancję sshd na awaryjnym porcie)
Jak widzisz, możliwości ograniczna jedynie wyobraźnia :)[/quote]
Hmm zainteresował mnie temat tych backdoorów, i wziąłem się za zrobienie firewalli, zarówno na PC jak i Serwerze ( Najpierw przetestowałem łączność przez SSH na wirtualce :) ).
I dlatego mam pytanie, czy dobrze te firewalle zrobiłem? Jeśli możecie to rzućcie okiem na nie, i ewentualnie napiszcie co jest nie tak.

PC

#!/bin/sh

iptables -F
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT

co do firewalla na PC to mam pytanie czym się różnią te dwie reguły, ponieważ nie wiedziałem którą zastosować :/

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -A INPUT -j ACCEPT -m conntrack --ctstate ESTABLISHED,RELATED

Server

#!/bin/sh

iptables -F
iptables -X
iptables -t nat -X
iptables -t nat -F
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -j ACCEPT -m state --state ESTABLISHED,RELATED
iptables -A FORWARD -j ACCEPT -m state --state ESTABLISHED,RELATED

iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT

iptables -A INPUT -s 10.0.0.0/24 -p tcp --dport 20 -j ACCEPT
iptables -A INPUT -s 10.0.0.0/24 -p tcp --dport 21 -j ACCEPT
iptables -A INPUT -p tcp --dport 1120 -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT
iptables -A INPUT -s 10.0.0.0/24 -p tcp --dport 111 -j ACCEPT
iptables -A INPUT -s 10.0.0.0/24 -p tcp --dport 25 -j ACCEPT
iptables -A INPUT -s 10.0.0.0/24 -p tcp --dport 2049 -j ACCEPT

A co do mojego konfiga Serwera to jeśli można to prosiłbym o wytłumaczenie o co chodzi w tych linijkach kodu:
Czy one w ogóle te linijki kodu są konieczne? Domyślam się że chodzi coś związanego z dostępem publicznym, ale gdy skonfiguruję Router i tam ustawię NATowanie, to po prostu czy ten kod jest poniżej czy nie, to Usługi są dostępne w internecie tak czy siak.

iptables -X
iptables -t nat -X
iptables -t nat -F

Z Góry dziękuję.

Ostatnio edytowany przez sqrtek (2014-04-14 00:10:54)

[quote=uzytkownikubunt]Te trzy linijki z parametrami X i F usuwają poprzednie reguły. Jeśli by tego nie robiły, to regułki by się dopisały do istniejących na końcu co w wielu przypadkach oznaczałoby ich nie użycie, bo regułki są stosowane od początku po kolei.[/quote]
Dzięki za odpowiedź, to jeszcze pytanie czy dobrze są te firwalle skonfigurowane? czy taki na początek i na PC i Serwer wystarczy?