Afdrukvoorbeeld
Hier ook een ESXi bak die vrolijk meedeed, gelukkig snel door. NTP stond altijd uit, maar bij een upgrade was het ding stellig weer aangegaan. Op servers waar NTP op draait is het de recentste versie of staan de door systemdeveloper genoemde punten in de config.
Shit happends :) Gehackte Joomla meuk is dagelijkse kost, dit is eens een niet standaard melding :)
Het gequote stukje over filtering is onjuist, of in elk geval onvolledig.Citaat:
Oorspronkelijk geplaatst door Domenico
Wat iedereen _zou_ moeten doen is *egress* filtering op het uitgaande pad richting Internet, en alles met een source die NIET 'eigen' is droppen.
Geen bron zijn van gespoofed verkeer dus.
Hoe dichter bij de bron van IP verkeer, des te beter. De internet border router/firewall is de laatste plek, maar nog beter is om het al op de access laag te zorgen dat alleen de sources die daarachter horen doorgelaten worden.
Dat is 'BCP 38' .
http://tools.ietf.org/html/bcp38
Het is niet verkeerd om inkomend verkeer vanaf Internet wat als source je eigen IP space heeft te droppen (dat kan ook niet goed zijn), maar in deze context helpt dat niet.
Niet om nu pietje precies uit te hangen maar in ESXi staat het default uit. Verder heb ik helaas ook een concullega moeten helpen met een aantal machines die hier helaas aan meeden. NTP is een vrij krachtig protocol voor DDOS, SNMP schijnt nog erger te zijn.Citaat:
Oorspronkelijk geplaatst door xaban
Hier vandaag ook een ESXi machine waarbij het blijkbaar aan stond en werd misbruikt.
Volgens mij alleen standaard in ESXi 4 en ouder.
Of je moet het zelf hebben aangezet in ESXi 5.
Hebben jullie dan geen firewall hangen vóór de machines die misbruikt worden?
Dat kan in principe een hele simpele machine zijn met 2 nics en een bridged firewall die je transparant voor je rack switch hangt.
Administrators die snmp op een open een bloot publiek netwerk draaien zonder firewall of management/local lan verdienen een kogel door hun kop. Een NTP server heeft nog een publiek nut voor andere, SNMP heeft enkel nut voor de administrators zelf en heeft niemand anders iets op te zoeken.Citaat:
Oorspronkelijk geplaatst door T. Verhaeg
Klopt, maar ESX(i) 4 had dan ook geen firewall aanboord zoals ESXi 5 dat wel heeft, en dat is de reden waarom het in 5 default uitstaat. En blij toe, dat ze dat extra stukje security teruggebracht hebben.Citaat:
Oorspronkelijk geplaatst door dennis0162
Eens, kan het niet anders zeggen. Maar toch heb je ze er tussen :)Citaat:
Oorspronkelijk geplaatst door The-BosS
Volgens mij staat het bij ESXi 5 ook standaard aan, niet? Kan dat ik het mis heb hoor, kon niet zo snel een link vinden.Citaat:
Oorspronkelijk geplaatst door T. Verhaeg
Kan als je je eigen apparatuur hebt, maar als jij duizenden servers verhuurd, aan honderden verschillende klanten zijn de wensen niet altijd hetzelfde. Dus dan kan het zomaar zijn dat je tientallen servers/switches hebt waar NTP aan staat :)Citaat:
Oorspronkelijk geplaatst door systemdeveloper
Mja, bij ons zit colo ook achter een firewall. Gewoon een kwestie van even met je klanten afspreken. Ik heb iig. geen enkele klant die 64k aan poorten open moeten hebben.Citaat:
Oorspronkelijk geplaatst door xaban
Van de andere kant... als iemand mijn vraagt voor een irc server of zoals pas geleden nog om mysql poort open te zetten dan stuur ik die meestal wel naar dit forum :)
Vraag mij af wat dat niet allemaal moet kosten aan cloudflare voor hun klanten.