DenisVS: Romka_Kharkov, я одно время попробовал пожить с sudo, чё-то неудобно мне оно. Так и так через su в рута повышался, когда где-то затык был. И те же скрипты всё одно от рута приходится запускать. Потому подумалось, нафига козе баян, захожу под рутом теперь.
А я вот лет 10 пользуюсь, ничего сложного :D
---------- Добавлено 20.11.2014 в 10:44 ----------
DenisVS: Andreyka, а чем это отличается от su? В рута поднялся так же.
С точки зрения повышения привилегий ни чем.... Обсуждать концептуальную разницу su и sudo мы же не будем? Все понятно? Тут то разговор о чем... что бы рута удаленно не пускать, а повышать привилегии до рута от "рабочего юзера".... таким образом (как я писал выше) достаточно пользоваться sudo или su.... не принципиально... главное не давать удаленно входить руту... Но тут же есть в принципе закономерные сомнения на тему того что и к "рабочему" юзеру могут подобрать пароль и по сути подбор ни чем не отличается от подбора рута... однако имя пользователя в системе надо еще знать...... кто может знать кому разрешено sudo а кому нет? никто ... кроме рута... А рут ... есть везде... стало быть при подборе пары !!!! login:password первое уже априори известно.... Между прочим в самом sshd есть простенький алгоритм от брутфорса.... Ну а в принципе.... может быть по чуток приходит время когда надо пользоваться ключами...... ведь не только я застал время когда для входа в терминал сервера использовали Telnet ? :)))
Подумаем над такой возможностью... Оставьте свои координаты.
Возможно путем anycast получится "прикрыть" такое использование.
Однако на сколько я помню, надо предоставить IRR запись о том, что конкретные блоки будут вещаться из другой AS? Или на каком основании ваш транзит будет принимать от вас префиксы не принадлежащие вашей AS?
PrintIP: ТС как бэ очнь посоветовал бы очень тщательно "раздавать" такие сети. Вижу что в топике есть много сомнений и "неопределенности".
Народ готов оплачивать /19 по 1.5$ в мес за ип. На вопрос под что - отвечают мол email рассылка )) Шуры муры - мол все белое и пушистое.
Если не хотите дропа. Очнь грамотно выбирайте арендатора.
Дроп, это когда сильно круто и много игнорировать, я же говорю прямо, интересуют белые клиенты... если найдется человек который захочет взять /19 по 1.5$ за адрес, и начать с него спамить, то как бы выглядит глупова-то.... прекратить анонс сетей это 2 тычка по клавиатуре.... и никаких дропов это за собой не повлечет.... Однако если "прекрывать" таких клиентов то вполне возможно. Так что если вы хотите 1 день поспамить за пару тысяч долларов... удачи... :) Неопределенности как таковой нет, просто есть вещи с которыми еще не сталкивались вот и все.
---------- Добавлено 20.11.2014 в 04:45 ----------
MIRhosting.com: Если anycast то разрешено анонсить где угодно.
Стало быть, можно принимать локальный трафик через какого-нибудь провайдера и проксировать, а основной трафик анонсить где нужно, хоть в Москве.
Но imho серьезные проекты/компании в аренду IP не будут брать, даже если дешево..
На счет anycast действительно интересно.... надо будет почитать что RIR думают на эту тему или ARIN...
А на счет серьезных компаний все логично, у них свои адреса.
DenisVS: А я рута клонирую с другими именами, оригинального же порчу, чтобы не логинился вообще. Получается, что работаю всё равно под root, без всяких извращённых суперпользователей.
А обычно в sshd_config просто отключается возможность входа рута... (даже с правильными паролем)... а системный пользователь типа "vasya" повышается в привилегиях за счет sudo например... либо использует прямо "su" которая ограничена по запуску только для группы определенной.
---------- Добавлено 19.11.2014 в 23:13 ----------
netwind: Те, кто осознают, что "romka" тоже угадать недолго. Стоит ли создавать себе каждодневные неудобства при сравнительно малом риске ?
Ну а смену порта я скорее одобряю. В крупных датацентрах так много сканируют, что может и место в /var/log закончиться.
Вы говорите сейчас о целевой атаке на мой сервер, где действительно вполне себе может быть "romka" но как вы выясните где еще есть "romka" если вы шарящий по сети бот по брутфорсу? Да никак.... А целевые атаки происходят другим путем.... если начнут ломать лично меня, скорее подсунут где-то вирус или флешку зараженную.. брутить мой login смысла особого нет.
Pavel.Odintsov: Ценник, конечно, приятный, особенно на /20. Но бывают ли белые цели без установки кучи своего железа? :)
Мы не против взять на Colo любые сервера в принципе... Но с другой стороны не знаю, бывают не бывают, мне честно говоря все равно... у кого они будут ... тот без проблем сможет воспользоваться.
Пара человек уже взяла сети, однако их цели истинные я не знаю, но жалоб за последнюю ~неделю никаких нет, стало быть все нормально и железо арендовали наше. Одному в подарок сервер дали, не вопрос как бы.
Началась обещанная смена адресного пространства, в связи с чем сегодня переезжает наш сайт, а так же ns1 нашей системы, сайт может быть недоступен некоторое время, так же могут быть проблемы с первичным ДНС сервером, но последнее в принципе исключено.
Для всех кто ссылался на наш ns1.onyx.net.ua путем IP адресов следует поменять IP адрес на новый: 104.234.208.40
После восстановления работы нашего сайта , а так же основного функционала будет произведена рассылка по клиентам с доп. инструкциями.
Это даже не важно ;) Это просто лишний раз говорит что особой разницы в безопасности нет если сравнивать шаред:впс:выделенный сервер.... все подключено в интернет и все может быть сломано :)
Romka_Kharkov, я одно время попробовал пожить с sudo, чё-то неудобно мне оно. Так и так через su в рута повышался, когда где-то затык был. И те же скрипты всё одно от рута приходится запускать. Потому подумалось, нафига козе баян, захожу под рутом теперь.
А я вот лет 10 пользуюсь, ничего сложного :D
---------- Добавлено 20.11.2014 в 10:44 ----------
Andreyka, а чем это отличается от su? В рута поднялся так же.
С точки зрения повышения привилегий ни чем.... Обсуждать концептуальную разницу su и sudo мы же не будем? Все понятно? Тут то разговор о чем... что бы рута удаленно не пускать, а повышать привилегии до рута от "рабочего юзера".... таким образом (как я писал выше) достаточно пользоваться sudo или su.... не принципиально... главное не давать удаленно входить руту... Но тут же есть в принципе закономерные сомнения на тему того что и к "рабочему" юзеру могут подобрать пароль и по сути подбор ни чем не отличается от подбора рута... однако имя пользователя в системе надо еще знать...... кто может знать кому разрешено sudo а кому нет? никто ... кроме рута... А рут ... есть везде... стало быть при подборе пары !!!! login:password первое уже априори известно.... Между прочим в самом sshd есть простенький алгоритм от брутфорса.... Ну а в принципе.... может быть по чуток приходит время когда надо пользоваться ключами...... ведь не только я застал время когда для входа в терминал сервера использовали Telnet ? :)))
Аналогично, взяли бы ipv4 но в свой ДЦ
Подумаем над такой возможностью... Оставьте свои координаты.
Возможно путем anycast получится "прикрыть" такое использование.
Однако на сколько я помню, надо предоставить IRR запись о том, что конкретные блоки будут вещаться из другой AS? Или на каком основании ваш транзит будет принимать от вас префиксы не принадлежащие вашей AS?
примерно все.
Та ну ладно.... Меня лет 10 назад еще приучили отключать рута удаленного :D
В Дебиане он по умолчанию вообще отключен на сколько я помню.
ТС как бэ очнь посоветовал бы очень тщательно "раздавать" такие сети. Вижу что в топике есть много сомнений и "неопределенности".
Народ готов оплачивать /19 по 1.5$ в мес за ип. На вопрос под что - отвечают мол email рассылка )) Шуры муры - мол все белое и пушистое.
Если не хотите дропа. Очнь грамотно выбирайте арендатора.
Дроп, это когда сильно круто и много игнорировать, я же говорю прямо, интересуют белые клиенты... если найдется человек который захочет взять /19 по 1.5$ за адрес, и начать с него спамить, то как бы выглядит глупова-то.... прекратить анонс сетей это 2 тычка по клавиатуре.... и никаких дропов это за собой не повлечет.... Однако если "прекрывать" таких клиентов то вполне возможно. Так что если вы хотите 1 день поспамить за пару тысяч долларов... удачи... :) Неопределенности как таковой нет, просто есть вещи с которыми еще не сталкивались вот и все.
---------- Добавлено 20.11.2014 в 04:45 ----------
Если anycast то разрешено анонсить где угодно.
Стало быть, можно принимать локальный трафик через какого-нибудь провайдера и проксировать, а основной трафик анонсить где нужно, хоть в Москве.
Но imho серьезные проекты/компании в аренду IP не будут брать, даже если дешево..
На счет anycast действительно интересно.... надо будет почитать что RIR думают на эту тему или ARIN...
А на счет серьезных компаний все логично, у них свои адреса.
А я рута клонирую с другими именами, оригинального же порчу, чтобы не логинился вообще. Получается, что работаю всё равно под root, без всяких извращённых суперпользователей.
А обычно в sshd_config просто отключается возможность входа рута... (даже с правильными паролем)... а системный пользователь типа "vasya" повышается в привилегиях за счет sudo например... либо использует прямо "su" которая ограничена по запуску только для группы определенной.
---------- Добавлено 19.11.2014 в 23:13 ----------
Те, кто осознают, что "romka" тоже угадать недолго. Стоит ли создавать себе каждодневные неудобства при сравнительно малом риске ?
Ну а смену порта я скорее одобряю. В крупных датацентрах так много сканируют, что может и место в /var/log закончиться.
Вы говорите сейчас о целевой атаке на мой сервер, где действительно вполне себе может быть "romka" но как вы выясните где еще есть "romka" если вы шарящий по сети бот по брутфорсу? Да никак.... А целевые атаки происходят другим путем.... если начнут ломать лично меня, скорее подсунут где-то вирус или флешку зараженную.. брутить мой login смысла особого нет.
Ценник, конечно, приятный, особенно на /20. Но бывают ли белые цели без установки кучи своего железа? :)
Мы не против взять на Colo любые сервера в принципе... Но с другой стороны не знаю, бывают не бывают, мне честно говоря все равно... у кого они будут ... тот без проблем сможет воспользоваться.
Пара человек уже взяла сети, однако их цели истинные я не знаю, но жалоб за последнюю ~неделю никаких нет, стало быть все нормально и железо арендовали наше. Одному в подарок сервер дали, не вопрос как бы.
mark2011,
А кто в наше время рута удаленно разрешает то? Пусть кроме пароля еще и логин гадают...
Обращаемся, не стесняемся!
[ Уведомление для пользователей ]
Началась обещанная смена адресного пространства, в связи с чем сегодня переезжает наш сайт, а так же ns1 нашей системы, сайт может быть недоступен некоторое время, так же могут быть проблемы с первичным ДНС сервером, но последнее в принципе исключено.
Для всех кто ссылался на наш ns1.onyx.net.ua путем IP адресов следует поменять IP адрес на новый: 104.234.208.40
После восстановления работы нашего сайта , а так же основного функционала будет произведена рассылка по клиентам с доп. инструкциями.
Не на OpenVZ случайно?
Это даже не важно ;) Это просто лишний раз говорит что особой разницы в безопасности нет если сравнивать шаред:впс:выделенный сервер.... все подключено в интернет и все может быть сломано :)