Onderwerp: iptables vraag

Ik ben bezig om een nieuw iptables script te schrijven. Ons huidige script werkt goed maar geeft bijvoorbeeld alleen SSH toegang voor een beperkt aantal IP adressen. Dit zijn de thuis adressen van collega's en de adressen die we op de zaak hebben. Dit werkt prima maar als ik bij een klant op locatie iets wil aanpassen, moet ik eerst een server op de zaak overnemen voordat ik verbinding kan maken. Dat is soms niet handig.

Nu kwam ik in een artikel de volgende iptabels rules tegen:

iptables -A INPUT -p tcp -i eth0 -m state --state NEW -m recent --set
iptables -A INPUT -p tcp -i eth0 -m state --state NEW -m recent --update --seconds 30 --hitcount 10 -j DROP

Volgens het artikel blokkeert dit portscanners, als ze meer dan 10 verbindingen op een willekeurig poortnummer maken. Ik heb het nog niet getest maar volgens mij gaat dat wel werken.

Als ik dit aanpas naar minder pogingen in een groter tijdbestek:

iptables -A INPUT -p tcp -i eth0 -m state --state NEW -m recent --set
iptables -A INPUT -p tcp -i eth0 -m state --state NEW -m recent --update --seconds 180 --hitcount 3 -j DROP

Zijn er situaties te bedenken waarin je op een normale/legale manier meer dan 3 nieuwe verbindingen naar een server maakt, binnen 3 minuten?
Dit werkt toch ook voor SSH brute force pogingen? Een blokkade van 3 minuten lijkt me voldoende om de meeste aanvallers te stoppen. Mocht dit niet zo zijn, dan hebben ze na 3 minuten weer 3 pogingen. Dat lijkt me acceptabel?

Graag jullie mening!

je filtert sowieso geen poort, dus dan ben je met 3 http requests al de pineut

In je vraag met betrekking tot met een afwijkend IP toch toegang tot de server te krijgen is Port Knocking wellicht een optie? Zie: http://www.portknocking.org/

Oorspronkelijk geplaatst door davinci

je filtert sowieso geen poort, dus dan ben je met 3 http requests al de pineut

Maar normaal doet een IP adres toch maar 1 NEW request?

Portnocking is inderdaad wel een goede optie. Dat gebruiken we ook om 2003 Terminal Servers via internet toegankelijk te maken.

Oorspronkelijk geplaatst door Patrick_st

Maar normaal doet een IP adres toch maar 1 NEW request?

Niet echt, elk bestand dat opgehaald wordt (images, css, javascript) heeft een socket nodig. Ik zou zeggen test het eens uit en dan zul je het wel vlug ondervinden, ik had hetzelfde probleem met mijn firewall waar een klant zeer kleine bestanden aan het uploaden/downloaden was via ftp en ook telkens geblokt werd.