Onderwerp: IP Blocken op VPS wegens attack

Hallo Allemaal,

Ik heb vorige week mijn poort nummers gewijzigd en was eindelijk af van de brute force ssh attacks.

Nu zie ik dat sinds vannacht iemand het weer probeert.

Hoe kan ik deze IP's blocken ?

Ik heb een VPS met CentOS.

Installeer een firewall, zoals CSF+LFD, en laat dit automatisch uitvoeren bij een brute force aanval.

werkt wel wat dreamhost zegt maar is niet helemaal een antwoord op de vraag. Werkt wel overigens, wij gebruiken het pakket ook.

uit mijn hoofd:

iptables -a INPUT -s x.x.x.x -j DROP
iptables-save

Maar zoek even op iptables block ip adres, dan weet je het zeker.

ja ik zat net iets te lezen over fail2ban of zo iets dergelijks is dat misschien beter of ?

Fail2Ban is ook mogelijk. Maar is alleen SSH.

Fail2ban kan voor ieder soort dienst worden gebruikt, niet alleen voor SSH. Fail2ban goed configureren is wel iets dat je niet even in een uurtje doet, als het erom gaat om *nu* bepaalde IP-adressen te blokkeren dan kun je beter zelf de benodigde firewall-rules toevoegen met iptables. Om dergelijke blokkades in de *toekomst* te automatiseren is fail2ban (of een andere soortgelijke oplossing) handig.

oke thanks , nou ben benieuwd of het werkt. ALs het goed is het ip nu geblocked.

oke over fail2ban gesproken dan, iemand een idee waar ik een hele goede uitleg erover kan vinden ?

Je kan in IPtables het beste al het verkeer voor poort 22 blokkeren met als uitzondering voor je eigen IP's
Zet dan meteen Password login uit en gebruik SSH keys.

ja maar er gaat bij mij niets meer via port 22 ;-)

Met een poort scan heb ik binnen een paar seconden je SSH poort.

Je kan het beter afschermen zodat enkel toegestaande IP-adressen erbij kunnen.
Daarbij komt dat het ook een stuk makkelijker is als SSH gewoon op poort 22 draait.

Kijk eens zoals eerder aangegeven naar CSF. Dit is een vrij compleet pakket voor een basis beveiliging, zie http://configserver.com/cp/csf.html

Oke en hoe kan ik dat dan doen dat alleen ik op ssh kan inloggen ?

iptables -P INPUT DROP
iptables -A INPUT -p tcp -s 123.123.123.123 --dport 22 -j ACCEPT

De eerste regel blokkeert al het inkomende verkeer. De tweede regel geeft toegang op poort 22 voor IP adres 123.123.123.123
Kijk wel uit met dit soort regels als je op afstand werkt. Als je nu ssh op een andere poort hebt draaien en je voert bovenstaande regels uit, dan kom je niet meer bij je server als je via ssh verbonden was.

CSF is voor dit dan wel handig, heb je toevallig cPanel, DirectAdmin of Webmin? CSF ondersteund die namelijk. Dan kun je gewoon in je panel de poorten en IPs regelen. Mocht je bijv. maar een dynamisch thuis IP hebben dan kan je in het geval dat hij veranderd die gewoon nog aanpassen in het panel.