Crmgo Blog

iptables zaštita od brute-force napada na SSH

← Blog

renisans

iptables zaštita od brute-force napada na SSH

Опција 1. Ограничење конекција. iptables -A INPUT -p tcp –dport 22 -m recent –name ssh –update –seconds 3600 –hitcount 5 -j REJECT iptables -A INPUT -p tcp –dport 22 -m recent –name ssh –set -j ACCEPT Правило пропушта 5 конекција…

iptables zaštita od brute-force napada na SSH

Опција 1. Ограничавање конекција.

iptables -A INPUT -p tcp –dport 22 -m recent –name ssh –update –seconds 3600 –hitcount 5 -j REJECT iptables -A INPUT -p tcp –dport 22 -m recent –name ssh –set -j ACCEPT

Правило дозвољава 5 конекција на сат, и блокира ако се лимит пређе. У суштини, ово је већ заштита од брут форса, јер је за 5 конекција на сат тешко погодити лозинку.

Опција 2. Обмана скенера порта + ограничење конекције.

iptables -A INPUT -p tcp –dport 22 -m recent –name ssh –update –seconds 3600 –hitcount 8 -j REJECT iptables -A INPUT -p tcp –dport 22 -m recent –name ssh –set iptables -A INPUT -p tcp –dport 22 -m recent –name ssh ! –rcheck –seconds 15 –hitcount 2 -j REJECT iptables -A INPUT -p tcp –dport 22 -j ACCEPT

Редослед акција:
1. Покушај повезивања на порт 22 (обична конекција или скенирање порта)
2. Конекција се одбацује и даје се 15 секунди за пријаву
3. Ако се у року од 15 секунди успешно пријавите – добијате приступ, ако не успете – одбацује се и поново даје 15 секунди.
4. Ако има 8 неуспешних покушаја на сат, блокира се до почетка сата након првог неуспешног покушаја.

Предности ове функције: скенеру порта одмах није јасно да је порт 22 отворен. Такође, брут форс неће успети ако схвате да је порт отворен – 8 покушаја је мало за брут форс.

Мане: ако случајно забаните себе – морате да чекате сат)

Napomena: tekst može biti uz pomoć AI uz ljudsku proveru. Odgovoran: Dmytro Lomaka, Kaltenkirchen.