Так а что подробней то??? в файрволе надо создать правила которые запретят соединения на SSH / FTP порты со всех ИП адресов кроме ваших.... А дальше определитесь что у вас за ОС, от этого зависит что у вас за Файрвол, дальше будет видно.... Если вы говорите что CSF уже стоит... надо изучать отдельно, так как я не помню там такого положения....... надо будет создавать отдельные правила и как-то скрещивать это с работой самого CSF... А то он иногда перезапускается, правила меняет, надо что бы конфликтов не было и ваши личные правила не удалялись...
-Leon-: Да, у меня статический IP и на сервер захожу только я.
Наверно это лучший вариант для меня.
Как разрешить свои IP, а другие запретить для ftp и ssh?
foxi: Или поставить свой локальный днс, который будет рекурсивно дальше запрашивать то что у него нету и кешировать.
Тут на сколько я понимаю нужно разделение направления DNS запросов в зависимости от запрашиваемого имени... все бы ничего если бы не:
что-то типа
*.vpn1 1.2.3.4 #dns.vpn1
*.vpn2 5.6.7.8 #dns.vpn2
Я не знаю, что именно имел ввиду ТС ;) Для того что бы делить запросы надо иметь какие-то списки с которыми будет происходить сравнение, а так же нужен сам механизм сравнения... мне такой пока в голову не приходят, я конечно вижу вариант в виде врапера для DNS запросов (самописного естественно).. но это не совсем "готовое решение" и не совсем "бесплатное" :)
ТС, не могли бы вы прокомментировать мои вопросы в ваш адрес :D ? Станет чуточку ясней :D
---------- Добавлено 12.09.2013 в 01:06 ----------
Pilat:
Это не подойдёт.
Ну тогда решения нет.
.....
.....
С такими ответами.... как бы ... зачем вы пришли спрашивать ?
Задам резонный на мой взгляд вопрос: По какой причине не подойдет?
foxi: у моего провайдера разброс ипов сильный, придется указывать очень много подсетей, что совсем не улучшит безопасность. ну или взять вдс, настроить как впн, и ходить только через него 🤪
Полный список ИП вашего провайдера есть в официальных источниках типа ARIN / RIPE и доступен публично, если взять во внимание то , что общий сегмент ipv4 составляет ~4.2 миллиарда адресов, то сети какого-то регионального провайдера это пшик.... в лучшем случае это 0.00000001% от общего числа ИП адресов..... ну допустим у вашего провайдера /11 , это всего лишь 2 миллиона адресов.... Оцените кто брутфорсит обычно? Это те кто далеко и очень далеко от вас, еще не стречал широкомасштабных брутов с сетей например своего домашнего провайдера... да какие-то зараженные участники какого-то ботнета.... но это 2 миллиона ИП из 4х миллиардов..... ;)) Я не думаю что это брешь в безопасности, если конечно вы не Пентагон или правительство США ;) И еще раз повторюсь: Если вы видите брутфорс с ИП адресов вашего провайдера (имею ввиду региональную принадлежность) то можно действовать в рамках закона !!!
/// Пересчитал интереса ради, 2 миллиона от 4.2 миллиардов это ~ 0.048% :)
Jovian: Ну тогда вообще без пассворда - только через ключики. :)
С одной стороны верно (правда, далеко не /17), но с другой -- я хочу иметь доступ в любое время и с любого АйПи, любого провайдера...
Если мы сейчас попытаемся поговорить о безопасности, то я склоняюсь к методике, когда у вас есть несколько боксов разных где-то... которые онлайн постоянно, сервера друзей, знакомых, купленные шелл акаунты и прочее.... их так же можно помещать в список разрешенных и в те случае когда вы на Евересте решите посетить свой сервер вы пройдетесь транзитом через еще 1 девайс, зато целевой узел по прежнему будет не преступен.... Могу еще предложить пару алгоритмов зависящих от даты, времени и прочих параметров, которые позволят вам получить доступ только в совокупности известных вам факторов. Ну а про ключи вы верно подметили, но как я уже говорил , это не исключает брутфорс.... потому что ключ, это по сути тот же пароль только "более умный" скажем так, но кто сказал что ключи не воруют и ключи не перебирают? У вас есть сервера с авторизацией исключительно по ключам?
foxi: Romka_Kharkov, на стандартный 22 ломятся каждые 5 минут, на что-нибудь типа 1234 раз в несколько дней, причем как-то вяло, если еще запретить логиниться рутом и сделать имя юзера не стандартное, так вообще ничего не стоит бояться.
Я понимаю о чем вы, теперь расскажите об этом ТС-у :)))
Я лишь держу сторону - что бы все было правильно, если сервер приватный, то смысла менять порт нет, достаточно просто ограничить список ИП... а если публичный, тогда конечно надо "что-то мутить" :) :)
---------- Добавлено 11.09.2013 в 23:09 ----------
Jovian: Это - самый лучший выход, если забить на тот факт, что у многих динамические АйПи. ;)
И что, какие в этом проблемы? Я думаю что даже , если открыть диапазон типа /17 своего домашнего провайдера - это решает вопрос. По крайней мере брутить смогут только соседи, к которым в общем-то уже и законы можно будет применять....
AGHost: Для директадмина есть еще замечательный плагин CSF для настройки файрволла на сервере. Что бы не тошнило на почту письмами в directadmin.conf добавляем
Рекомендация конечно толковая, но судя по уровню знаний ТС его самого отстрелит CSF через полчаса работы с сервером :D Но штука мощная , спору нет. !
---------- Добавлено 11.09.2013 в 22:58 ----------
foxi: Отказывайтесь от ftp, юзайте sftp, или смените стандартный 21 порт на что-нибудь другое, типа 10121 смените ssh порт с 22 на также что-нибудь не стандартное. и никто вас не будет брутфорсить.
Смена порта сама по себе ничего не даст, его просканят и будут брутить по любому порту, хоть 5555. Но если в совокупности с вашим советом что-то от скана использовать тогда может помочь.
Скажу честно, на всех серверах на SSH разные порты, стоит CSF.... Сканы ловит, но бруты бывают !!! Или кто-то из клиентов сливает, или скан происходит в несколько очередей с разных ИП по разным диапазонам.... стало быть через 2 дня сканов и 1000 забаненных ИП зловреды все таки узнают порт SSH ;) Ну а менять его раз в неделю тоже не айс :D
Если сервер приватный - т.е входить должны только вы, рекомендую FTP И SSH зарезать вообще по IP. Т.е разрешать только нужные (свои) ИП, остальные вообще в лес....
Прочитайте внимательно что надо для того что бы все работало, если вы просто запустили fail2ban то он ничего не делает там... так как его еще надо настроить.
А те сообщения которые вы получаете на почту, генерирует вам не fail2ban А сам DirectAdmin и они являются следствием того, что fail2ban не работает а директадмин продолжает фиксировать попытки подбора пароля о чем вас и уведомляет.
Сегодня за аналогичное умудрился с просонья заработать 10$ , если готовы, давайте сделаю и вам, если не готовы, внимательно изучайте статью, там все описано.
Пожалуйста, можно подробней...
Так а что подробней то??? в файрволе надо создать правила которые запретят соединения на SSH / FTP порты со всех ИП адресов кроме ваших.... А дальше определитесь что у вас за ОС, от этого зависит что у вас за Файрвол, дальше будет видно.... Если вы говорите что CSF уже стоит... надо изучать отдельно, так как я не помню там такого положения....... надо будет создавать отдельные правила и как-то скрещивать это с работой самого CSF... А то он иногда перезапускается, правила меняет, надо что бы конфликтов не было и ваши личные правила не удалялись...
Да, у меня статический IP и на сервер захожу только я.
Наверно это лучший вариант для меня.
Как разрешить свои IP, а другие запретить для ftp и ssh?
Файрвол.... Больше ничего не надо ;)
Или поставить свой локальный днс, который будет рекурсивно дальше запрашивать то что у него нету и кешировать.
Тут на сколько я понимаю нужно разделение направления DNS запросов в зависимости от запрашиваемого имени... все бы ничего если бы не:
что-то типа
*.vpn1 1.2.3.4 #dns.vpn1
*.vpn2 5.6.7.8 #dns.vpn2
Я не знаю, что именно имел ввиду ТС ;) Для того что бы делить запросы надо иметь какие-то списки с которыми будет происходить сравнение, а так же нужен сам механизм сравнения... мне такой пока в голову не приходят, я конечно вижу вариант в виде врапера для DNS запросов (самописного естественно).. но это не совсем "готовое решение" и не совсем "бесплатное" :)
ТС, не могли бы вы прокомментировать мои вопросы в ваш адрес :D ? Станет чуточку ясней :D
---------- Добавлено 12.09.2013 в 01:06 ----------
Это не подойдёт.
Ну тогда решения нет.
.....
.....
С такими ответами.... как бы ... зачем вы пришли спрашивать ?
Задам резонный на мой взгляд вопрос: По какой причине не подойдет?
Вы же ничего не поясняете...
/etc/hosts ?
у моего провайдера разброс ипов сильный, придется указывать очень много подсетей, что совсем не улучшит безопасность. ну или взять вдс, настроить как впн, и ходить только через него 🤪
Полный список ИП вашего провайдера есть в официальных источниках типа ARIN / RIPE и доступен публично, если взять во внимание то , что общий сегмент ipv4 составляет ~4.2 миллиарда адресов, то сети какого-то регионального провайдера это пшик.... в лучшем случае это 0.00000001% от общего числа ИП адресов..... ну допустим у вашего провайдера /11 , это всего лишь 2 миллиона адресов.... Оцените кто брутфорсит обычно? Это те кто далеко и очень далеко от вас, еще не стречал широкомасштабных брутов с сетей например своего домашнего провайдера... да какие-то зараженные участники какого-то ботнета.... но это 2 миллиона ИП из 4х миллиардов..... ;)) Я не думаю что это брешь в безопасности, если конечно вы не Пентагон или правительство США ;) И еще раз повторюсь: Если вы видите брутфорс с ИП адресов вашего провайдера (имею ввиду региональную принадлежность) то можно действовать в рамках закона !!!
/// Пересчитал интереса ради, 2 миллиона от 4.2 миллиардов это ~ 0.048% :)
Ну тогда вообще без пассворда - только через ключики. :)
С одной стороны верно (правда, далеко не /17), но с другой -- я хочу иметь доступ в любое время и с любого АйПи, любого провайдера...
Если мы сейчас попытаемся поговорить о безопасности, то я склоняюсь к методике, когда у вас есть несколько боксов разных где-то... которые онлайн постоянно, сервера друзей, знакомых, купленные шелл акаунты и прочее.... их так же можно помещать в список разрешенных и в те случае когда вы на Евересте решите посетить свой сервер вы пройдетесь транзитом через еще 1 девайс, зато целевой узел по прежнему будет не преступен.... Могу еще предложить пару алгоритмов зависящих от даты, времени и прочих параметров, которые позволят вам получить доступ только в совокупности известных вам факторов. Ну а про ключи вы верно подметили, но как я уже говорил , это не исключает брутфорс.... потому что ключ, это по сути тот же пароль только "более умный" скажем так, но кто сказал что ключи не воруют и ключи не перебирают? У вас есть сервера с авторизацией исключительно по ключам?
Romka_Kharkov, на стандартный 22 ломятся каждые 5 минут, на что-нибудь типа 1234 раз в несколько дней, причем как-то вяло, если еще запретить логиниться рутом и сделать имя юзера не стандартное, так вообще ничего не стоит бояться.
Я понимаю о чем вы, теперь расскажите об этом ТС-у :)))
Я лишь держу сторону - что бы все было правильно, если сервер приватный, то смысла менять порт нет, достаточно просто ограничить список ИП... а если публичный, тогда конечно надо "что-то мутить" :) :)
---------- Добавлено 11.09.2013 в 23:09 ----------
Это - самый лучший выход, если забить на тот факт, что у многих динамические АйПи. ;)
И что, какие в этом проблемы? Я думаю что даже , если открыть диапазон типа /17 своего домашнего провайдера - это решает вопрос. По крайней мере брутить смогут только соседи, к которым в общем-то уже и законы можно будет применять....
Вы правы, а он нет :)
Как-то вы однозначны :D
Для директадмина есть еще замечательный плагин CSF для настройки файрволла на сервере. Что бы не тошнило на почту письмами в directadmin.conf добавляем
Рекомендация конечно толковая, но судя по уровню знаний ТС его самого отстрелит CSF через полчаса работы с сервером :D Но штука мощная , спору нет. !
---------- Добавлено 11.09.2013 в 22:58 ----------
Отказывайтесь от ftp, юзайте sftp, или смените стандартный 21 порт на что-нибудь другое, типа 10121
смените ssh порт с 22 на также что-нибудь не стандартное.
и никто вас не будет брутфорсить.
Смена порта сама по себе ничего не даст, его просканят и будут брутить по любому порту, хоть 5555. Но если в совокупности с вашим советом что-то от скана использовать тогда может помочь.
Скажу честно, на всех серверах на SSH разные порты, стоит CSF.... Сканы ловит, но бруты бывают !!! Или кто-то из клиентов сливает, или скан происходит в несколько очередей с разных ИП по разным диапазонам.... стало быть через 2 дня сканов и 1000 забаненных ИП зловреды все таки узнают порт SSH ;) Ну а менять его раз в неделю тоже не айс :D
Если сервер приватный - т.е входить должны только вы, рекомендую FTP И SSH зарезать вообще по IP. Т.е разрешать только нужные (свои) ИП, остальные вообще в лес....
-Leon-, хороший хостер ))) который против брутфорса оборудование использует , а там заливка файлов не по отпечатку пальца случайно? ;))))
Даю еще раз ссылку, которую уже давал буквально сегодня:
https://onyx.net.ua/fail2ban_informaciya.php
Прочитайте внимательно что надо для того что бы все работало, если вы просто запустили fail2ban то он ничего не делает там... так как его еще надо настроить.
А те сообщения которые вы получаете на почту, генерирует вам не fail2ban А сам DirectAdmin и они являются следствием того, что fail2ban не работает а директадмин продолжает фиксировать попытки подбора пароля о чем вас и уведомляет.
Сегодня за аналогичное умудрился с просонья заработать 10$ , если готовы, давайте сделаю и вам, если не готовы, внимательно изучайте статью, там все описано.