Forum Debian Users Gang

[quote=Jacekalex]Po X błędnych haseł to SSH ma zamknąć połączenie, a hashlimit zakomunikować, że "zapraszamy za godzinkę".

Fail2ban Tobie jest potrzebny, jak łysemu grzebień.

W ogóle nie czaję, po cholerę do ICMP próbowałeś pchać haslimit, co sensu nie ma żadnego, za to do SSH, gdzie hashlimit sprawdza się cudownie (po to właśnie powstał), wolisz Fail2bana.

Nie próbuję tego zrozumieć, nie jestem psychoanalitykiem. ;)[/quote]
tu nie ma co próbować zrozumieć. dawno nie bawiłem się iptables, zawsze był mi potrzebny do podstawowych opcji: zablokuj, odblokuj :)
po prostu skopiowałem regółkę z jakiegoś tutoriala. nie wiem jak który moduł dokładnie działa, czy wrzuca do pamięci i nie znam "good practices", ale dzięki takim osobom jak Ty, to poznaje i ciesze się, że w ogóle są chętni by podpowiedzieć co nie co.

ps. właśnie "studiuję" Twój wpis z podanego linku z ipsetem i muszę przyznać, że jest tam logika


--

hmm, zrobiłem sobie testowo analogicznie, tak samo jak w Ty i odrazu wpada mi do bana a do tego nie ma timeouta :/

# Generated by iptables-save v1.4.21 on Fri Feb 26 21:05:23 2016
*raw
:PREROUTING ACCEPT [607:44924]
:OUTPUT ACCEPT [617:46644]
-A PREROUTING -m set --match-set wypad src -j SET --add-set wypad src --exist --timeout 86400
-A PREROUTING ! -i lo -p tcp -m multiport --dports 22 -j SET --add-set wypad src --timeout 3600
-A PREROUTING -m set --match-set wypad src -j DROP
COMMIT
# Completed on Fri Feb 26 21:05:23 2016
# Generated by iptables-save v1.4.21 on Fri Feb 26 21:05:23 2016
*filter
:INPUT ACCEPT [8100:627593]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [7831:626125]
COMMIT
# Completed on Fri Feb 26 21:05:23 2016

ipset list wypad
Name: wypad
Type: hash:net
Revision: 6
Header: family inet hashsize 1024 maxelem 65536
Size in memory: 448
References: 0
Members:
192.168.57.1

Ostatnio edytowany przez Nicram (2016-02-26 21:21:06)

[quote=Jacekalex]Ten wpis z ipsetem na porcie 22 zastosuj w sytuacji, kiedy SSH wystawiasz  na porcie losowym, np 3893 - chroniony hashlimitem.[/quote]
Qrde, chyba z powodu choroby mam problem ze zrozumieniem tego Twojego zdania :/
to ssh ma słuchać na dwóch portach? na 22 ipseta a na losowym hashlimit? bo nie kumam

[quote=Jacekalex]Jeśli pacjentom udostępniasz powłokę SSH, to możesz w nim w ogóle wyłączyć logowanie na roota, a dla roota osobno wystawić np [b]Dropdbear[/b] na porcie wylosowanym w totolotku, chronionym hashlimitem i obsługującym logowanie wyłącznie kluczami SSH2.[/quote]
standardowo mam wyłączoną możliwość logowania dla roota.

Aaa, już teraz kumam :-)
Tylko z tym ipsetem próbuje ale już pierwsza linijka wrzuca mi do hash a ostatnia blokuje. No i nie widać timeouta :-(

[quote=Jacekalex]PS.
Jeśli np:

net.netfilter.nf_conntrack_max = 65536
net.netfilter.nf_conntrack_icmp_timeout = 30

to ile pakietów ICMP na sekundę trzeba mu wysłać, żeby zapchać tablicę conntrack i praktycznie wyłączyć sieć na serwerze?

Z całą pewnością nie miliard (starczy nawet komórka z netem LTE na kartę), dlatego lepiej nie używać [b]conntrack --ctstate[/b] do ICMP.
Filtrowanie protokołów bezpołączeniowych przez conntrack nieźle się sprawdza w przypadku bezpiecznego desktopa, ale na serwerze, który udostępnia usługi w necie i wpuszcza takie pakiety, nie ma w ogóle  co liczyć na ten mechanizm.

Jeśli ktoś chce dokładnie limitować liczbę wpisów dla np icmp w ip_conntrack, to polecam moduł [b]connlimit[/b] z opcją [b]--connlimit-mask=0[/b].[/quote]
O ile dopuszczasz możliwość pingowania serwera. Ja mam u siebie zrobione tak, że tylko zaufane maszyny mogą pingować. xD Ale nawet jeśli, by to zostawić i zezwolić wszystkim, to coś mi nie chce ten conntrack zostawić tych ICMP w spokoju. xD

Mam niby takie regułki jako pierwsze w INPUT:

-A INPUT -p icmp -m limit --limit 20/sec -j icmp-in
-A INPUT -p icmp -j DROP
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

Tam w icmp-in mam te reguły, które zezwalają tym zaufanym hostom pingować. Loguję się na jednego z tych hostów i pinguję tę maszynę. W conntracku pojawia się wpis z ICMP. Wszystkie pakiety ping są złapane przed tą regułą z ESTABLISHED,RELATED w INPUT, w OUTPUT nie ma reguł. Zatem WTF? xD U was nie pojawiają się wpisy w conntracku?

[quote=Nicram]Aaa, już teraz kumam :-)
Tylko z tym ipsetem próbuje ale już pierwsza linijka wrzuca mi do hash a ostatnia blokuje. No i nie widać timeouta :-([/quote]
U mnie też na jaju 4.4 nie pokazuje timeouta, nie wiem dlaczego, bo jeszcze niedawno pokazywał.
Jak ten stan się utrzyma na jaju 4.5, to będzie trzeba w tej sprawie trochę narozrabiać. :D

Ostatnio edytowany przez Jacekalex (2016-02-26 22:00:23)

iptables -t raw -S | grep  wypad
-A PREROUTING -m set --match-set wypad src -j SET --add-set wypad src --exist --timeout 86400
-A PREROUTING ! -i lo -p tcp -m multiport --dports 22,113,445,1433,1512,2175,2176,3306,5432 -j SET --add-set wypad src --timeout 3600
-A PREROUTING -m set --match-set wypad src -j DROP

Musisz tylko pamiętać, że w tej wersji - jak zawołasz o połączenie na port pułapki - np 22 albo 3306, to przez godzinę albo cały dzień na żadnym porcie się nie połączysz.

Dlatego testuj to w domu, a na serwer wrzuć gotową i sprawdzoną wersję.

Zasada działania była i jest taka, na pierwszej próbie połączenia pacjent dostaje bana na 3600 sekund, jak w tym czasie spróbuje, to ma już bana na 86400 sekund.

Tak to działało do niedawna, ale teraz coś się zmieniło w ipsecie, już pokazuje timeouty (jak w poleceniu tworzenia dałem [b]timeout 3600[/b]), ale nikt jeszcze nie dostał 86400, więc nie wiem, czy bierze 3600 z domyślnej wartości, czy z regułki nr 2 w przykładzie.
Jutro będę znał więcej szczegółów. :D

Ostatnio edytowany przez Jacekalex (2016-02-26 22:52:14)