Komentarze i odpowiedzi, posortowane dla odmiany chronologicznie do strony:

misz

2005-12-02 11:41:00

Cos nie?

Hmm, dlaczego jak wpisuje te regułi do IPTABLES to wywala mi błąd, że + iptables -A INPUT -m state --state RELATED, ESTABLISHED -j ACCEPT iptables v1.2.10: Bad state `'

Odpowiedź Lemata:

a jakbyś dodał -p tcp ?

misz

2005-12-03 00:04:33

a tak?

+ iptables -A INPUT -m state --state RELATED -j ACCEPT + iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT W ten sposob przyjęło polecenie, ale czy działa tak samo?

Odpowiedź Lemata:

tak

lybex

2005-12-04 04:56:30

odpowiedz do powyższego:

Błąd jest spowodowany zbędną spacją po przecinku.

aceJacek

2006-05-28 23:23:59

Nie działa z vsftpd

Vsftpd nie ma odpowiednika funkcji MaxLoginAttempts. Jeżeli skanujący sam się nie odłączy, może próbować i do końca świata. Sprawdzone w wersji 2.0.3

Odpowiedź Lemata:

właśnie sprawdziłem vsftpd 2.0.6 ma max_login_fails

Nicram

2007-02-14 17:21:13

Zabezpieczenie przed skanowaniem FTP

A można to zrobić dla ftp, smtp i ssh jednocześnie??

Odpowiedź Lemata:

Tak, wystarczy powielić regułki zmieniając porty i nazwy łańcuchów, chyba, że chcesz wrzucić np. do jednego worka i próba logowania na ftp blokuje jednocześnie ssh - wtedy jeden łańcuch. Natomiast nie wiem czy dla SMTP to dobry pomysł.

Night

2007-04-02 09:29:07

Działa, ale...

Witam. Zastosowanie metody ogranicza masta hakierow, ale, podczas 1 minuty może dojść do tylko jednego połączenia na porcie 21 (bynajmniej tak to wygląda u mnie). Można to przekształcić w taki sposób, aby w ciągu tych 60 sekund było możliwe nawiązanie 3 połączeń z jednego ip? Albo jeszcze lepiej (ale to już wątpie): żeby osoba, która już ma połącznie na porcie 21 (zalogowana do FTP) mogła bezproblemowo rozpoczynać nowe połączenia. Np. Transfer w tle w total commander. Pozdrawiam

Odpowiedź Lemata:

iptables -m recent -h --hitcount hits For check and update commands above. Specifies that the match will only occur if source address seen hits times. May be used in conjunction with the seconds option. trzeba dołączyć do pierwszej regulki blokującej - trzecia linia.

2007-04-13 13:36:34

MaxAuthTries 1

IMO niezbyt mądry pomysł (zmacane własnoręcznie). IIRC, jeśli klient będzie próbował kilku metod uwierzytelnienia (np. klucze, challenge-response, hasło), to normalnie po pierwszej nieudanej przejdzie do następnej. Tu odpadłby po pierwszym razie, dalej już nie próbując (efektem jest niemożność zalogowania się).

xxx-

2008-10-13 18:49:34

dobra porada lemata:port inny niz standartowy

i najpeiej filtr ze łączyc sie mozna z jego ipka :)to taka moja porada.

danki

2009-02-22 16:53:28

denyhost

no fajowskie te rozwiazania, ale takie pytanko czy lemat zna cos takiegu jak denyhosts i co sadzi o tym rozwiazaniu.. ja osobiscie uzywam i dosc dobrze wykonuje swoje zadanie... P.S. super stronka, duzo sie z niej nauczylem, dzieki :-)

Odpowiedź Lemata:

Znam to za dużo powiedziane - wiem co robi i jak robi ale nie używam. Minusem denyhosta jest pewne opóźnienie reakcji, ponieważ musi on przeanalizować logi. Zaletą jest pamiętanie wrednych IPków i rozróżnianie błędnych prób zalogowania od próby utworzenia kilku sesji na raz. Podrzucę jeszcze jedną nazwę - fail2ban oraz coś, co działa na innej zasadzie - http://pl.wikipedia.org/wiki/Port_knocking

Krzysiek

2011-07-31 19:51:06

fail2ban

A nie prosciej uzyc fail2ban? Male opoznienie jest ale do przyjecia. mozna tez w bindzie stosowac do uwalania tych co pytaja za czesto a nei maja prawa, w dovecot do zlych autoryzacji. do wszystkiego:)