Fórum Root.cz
Hlavní témata => Server => Téma založeno: CPU 13. 08. 2024, 15:30:19
-
Neměl by SSH server už podporovat Fail2Ban nativně? Nemělo se to integrovat přímo dovnitř? Nechtěli to tam přidat by default?
Nějak nevidím vhodné parametry.
-
Jako ze by to DOSovalo samo sebe? Bezva napad!
-
Vývojáři to mají skutečně připravené (https://www.root.cz/zpravicky/openssh-zavadi-moznosti-blokovani-pokusu-o-hadani-hesla/) a mělo by to být součástí příštího vydání OpenSSH 7.6. Hlavní volby jsou PerSourcePenalties a PerSourcePenaltyExemptList.
-
Aha, ok, tak to se mi předchází hodinky ;D
@Petr Krčmář: Díky!
-
Vývojáři to mají skutečně připravené (https://www.root.cz/zpravicky/openssh-zavadi-moznosti-blokovani-pokusu-o-hadani-hesla/) a mělo by to být součástí příštího vydání OpenSSH 7.6. Hlavní volby jsou PerSourcePenalties a PerSourcePenaltyExemptList.
Aktuální vydání má číslo 9.8 a tuhle funkci už obsahuje (https://www.openssh.com/releasenotes.html#9.8p1:~:text=*%20sshd(8)%3A%20as%20described%20above%2C%20sshd(8)%20will%20now%20penalise%20client%0A%20%20%20addresses%20that%2C%20for%20various%20reasons%2C%20do%20not%20successfully%20complete%0A%20%20%20authentication.%20This%20feature%20is%20controlled%20by%20a%20new%20sshd_config(5)%0A%20%20%20PerSourcePenalties%20option%20and%20is%20on%20by%20default.).
-
Kdyz blokovat zavadnej traffic, tak co nedrive. Proc by to melo prechazet celym sitovym stackem, kdyz se to da odfiltrovat jiz na urovni firewallu? Nez zbytecne navazovat spojeni se sshd-serverem (kterej to pak zablokuje) je lepsi to zahodit jiz na vstupnich pravidlech...
-
Protože zapnout pár voleb v sshd_config je o dost jednodušší, než propojovat ssh s firewallem. Nic nikomu nebrání si to propojení udělat, když ho chce.
-
Ono to Fail2ban neodstaví (že by ho nešlo použít), dá se použít i tak, třeba po 20. pokusu. (při přihlašování heslem)
Samozřejmě je lepší přihlášení certifikátem a trochu víc utažená pravidla.
-
Kdyz blokovat zavadnej traffic, tak co nedrive. Proc by to melo prechazet celym sitovym stackem, kdyz se to da odfiltrovat jiz na urovni firewallu? Nez zbytecne navazovat spojeni se sshd-serverem (kterej to pak zablokuje) je lepsi to zahodit jiz na vstupnich pravidlech...
A on ten utok muze prijit jen z venku?
-
A ono se na ssh da pripojit jinak nez po siti?