Onderwerp: SSH inlogspamm?

Hoe ik het doe : een kleine simpele vps gehuurd die ik verder amper gebruik (nuja...wat opslag van dingetjes) en enkel van dat ip adres kan men op mijn servers (ssh keys). De vps zelf accepteert alle verbindingen.

PF is absoluut de favoriet op het BSD platform, dat is ook de reden dat FreeBSD de port gedaan heeft.

Om je een idee te geven hoe simpel PF is:

1) zet PF aan (geen idee op FBSD, maar zal in /etc/rc.xxx moeten)
2) vi /etc/pf.conf
3)

Code:

# dit is een alias voor je netwerk kaart
ext_if="rl0" 

# aliassen voor 'veilige' servers die niet geblocked kunnen worden
# zodat je jezelf nooit per ongeluk uit je eigen machine kunt locken
safe_servers="{ 194.109.XXX.XXX, 194.109.XXX.XXX, 194.109.XXX.XXX }"

# dit is een tabel die de overtreders onthoudt
# kan ook direct naar file worden geschreven overigens
# voor eventuele vervolg akties (reporting, distributie over servers etc)
table <sshd_attackers> persist

# Blokkeer automatisch elk ip dat meer dan 3 keer per minuut probeert
# in te loggen op de (in dit geval standaard) SSH poot (= 'port ssh')
pass in on $ext_if proto tcp to $ext_if port ssh flags S/SA \
        keep state (max-src-conn-rate 3/60, overload <sshd_attackers>)
  block in log on $ext_if proto tcp from <sshd_attackers> to $ext_if port ssh

# exclude al je safe servers 
pass in on $ext_if proto tcp from $safe_servers to $ext_if port ssh

Maar je kunt natuurlijk ook

Code:

block in log on $ext_if proto tcp from <sshd_attackers> to $ext_if port ssh

veranderen in

Code:

block in log on $ext_if proto any from <sshd_attackers> to $ext_if any

om zo iedereen in de sshd_attackers tabel totale toegang tot je machine te blocken, op alle poorten en alle protocollen. Dan is het feest meteen over voor je nieuwe vrienden.

Zie ook http://www.freebsd.org/doc/en_US.ISO...ewalls-pf.html, mijn voorbeeld is OBSD maar de syntax zal niet verschillen.