Pingviini veeb

nonsents

Ma tegin vanast kastist kontorisse gateway, tulemüüri ja dhcp serveri.
Kasutasin FreeBSD -d mulle meeldib, et FreeBSD lubab kontrollida igat aspekti
installi ajal midagi ei installita ilma sinu teadmata.
Ei ole ju olemas mingit keskmist kasutajat kelle järgi süsteem on by default
confitud.

Kast on nüüd surisenud mingi aasta aega kontori nurgas, proovisin mingi päev puttyga sisse logida aga ei kasutajanimi ega salasõna pole enam meeles.

Meil oli ennem mingi ruuter millele pidi kogu aeg resette tegema kuna ühendus kadus ära. Nüüd kasutajad tõmbavad oma windoozad käima ja kõik töötab..

nonsents

Laadisin uued ipfw tulemüüri reeglid toimib nagu kell:

allow tcp from { 85.156.0.0/16 or 85.157.0.0/16 } to me 22

Kuna ipfw on kompileeritud kernelisse by default keelab kõik
siis nüüd ainult soome ip -ga saab sisse logida teiste jaoks
on port 22 shielded.
Ftp ja http on lahti kõigi jaoks.

muidugi Soomes on veel c kategooria ip -sid neid võib siis reeglitesse
lisada kui vaja või kui sõidan Eestisse siis lisan eesti ip -d.

nonsents

Uniz, ma saatsin sulle privaatsõnumi

johnsmith, iptablesi geoip mooduliga ei pea käsitsi ip vahemikke määrama.Näiteks reegel keelab kõik sissetulevad ühendused pordile 22 kui päring ei tule Soome ip-lt.

Asjalik, ainult siinkohal pole FreeBSD ja Linuxi kernel ühilduvad.
Netfilter on osa linuxi kernelit ja selle kompileerimine FreeBSD
kernelisse pole ilmselt võimalik.

Peale nende reeglite sisestamist pole mul enam rünnakuid olnud.
Kahjuks pole maakohased ip-d ühes tükis nii, et töökindlus võib
kannatada ipfw -d kasutades.
Arin peab ilmselt andmebaasi kõikidest maakohastest ip -dest.
Iptablesid kasutades seda probleemi ilmselt pole ja sellise
reegli kasutamine on igatpidi mõistlik.

nonsents

Kui tulemüüris kõik mittevajalik ära keelata, kontodele korralikud paroolid valida (mitte kasutaja "test", parool "test"), igasuguste anomaaliate avastamiseks logcheck käima lükata, ning kord-paar nädalas uuendused peale tõmmata, siis saan mina öösiti magada küll.

Kui lõputu SSH kallal kangutamine närvidele hakkab käima, siis piiran ühenduskatsete arvu kahele minutis. Palun väga, eks proovige brute-force rünnakut kiirusega kaks korda minutis

Plaanis on ka port knocking. See on veidi ebamugav, aga väga-väga tõhus. Põhimõte on selles, et enne kui SSH jaoks TCP port lahti tehakse, tuleb teha ühenduskatsed paari määratud porti. Koputad näiteks portide 9988 ja 1243 pihta ning selle peale avatakse sulle 5 minutiks port 22.

Ma tõstsin omal ssh teise pordi otsa ja rünnakud sinna on olematud.
Käsitsi ei viitsi keegi rünnata, tuleb ikka "robotiga" 22 pordi peale.

DDoS kaitse ka on või? Ma panin just peale.