Еще раз про SSH и iptables

На просторах линуксфорума нашел:

iptables -A INPUT -p tcp -m state — -state NEW - -dport 22 -m recent — -update - -seconds 20 -j DROP
iptables -A INPUT -p tcp -m state — -state NEW -
-dport 22 -m recent — -set -j ACCEPT

Все кто ломятся быстрее 20 сек — отлетают, т.е. определяются как боты-брутфорсеры. Просто и эффективно.

Вы можете оставить комментарий, или поставить трэкбек со своего сайта.

7 комментариев(я)

  • 26.06.2008 08:39, www2 сказал:

    Полезно. Некоторые перевешивают SSH на другой порт. Я в своём по-умолчанию закрытом фаерволле проковыриваю дырочки для доступа только из тех подсетей, откуда захожу сам. Вообще не считаю нужным светить SSH всему Интернету, пусть даже и на нестандартном порту. Точно также настраиваю доступ к остальным непубличным серверам: TFTP, RADIUS, NetFlow-коллекторы, Web-серверы со статистикой, APT-кэшер и т.п.

    • 29.06.2008 07:45, Защита SSH сервера | Записки старого сисадмина сказал:

      […] Теперь нам надо бы еще закрыть доступ для всяких ботов-брутфорсеров. Как это сделать я описывал в этой заметке. […]

      • 29.06.2008 10:18, NanoRobocop сказал:

        Что это за «тире» в командах iptables?? Уже можно UTF-8 в командах:))

        И неплохо-бы ссылки на источник давать

        • 29.06.2008 13:58, Silver Ghost сказал:

          NanoRobocop, да опять же та же проблема с автоправкой кода ВП… он меня устал уже с этим глюком.

          Про ссылку — я давно это нашел и давно юзаю. Ссылка потерялась уже давно. А где брал — указал. Кому надо — тот найдет.

          • 08.01.2009 17:01, PadonaK сказал:

            iptables -A INPUT -p tcp -m state -state NEW -dport 22 -m recent -update -seconds 20 -j DROP
            Bad argument `NEW’

            Даже без тире — не работает . Надо МАN почитать…

            • 09.01.2009 10:01, www2 сказал:

              man’ы вообще читать полезно. Ну а для того чтобы понять как правильно записать опции, достаточно изучить стиль задания опций в программах GNU.

              В программах GNU однобуквенные опции начинаются со знака минуса. Нескольк однобуквенных опций, не имеющих дополнительных аргументов, можно указывать друг за другом после единственного минуса. Длинные опции начинаются с двух знаков минуса.

              Там где стоит одинокий минус, он на самом деле идёт подряд со следующим минусом.

              (Обязательно)
              (Обязательно, не публикуется)

              Создавая новую Папку, не считайте себя Создателем, это право Вам дано Админом!
              Яндекс.Метрика beget