Форум Сайтостроение Безопасность

Ограничить доступ ssh по ip через iptables

Staid
На сайте с 30.07.2014
Offline
59
Staid
2204

Здравствуйте. Есть vds, работает на centos 7 (nginx+apache). Пытался настроить доступ через ограничения в hosts.allow и hosts.deny, но реакции ноль.

Не могу найти информацию как правильно закрыть доступ для всех, кроме указанных ip (их несколько) в iptables. Так как файерволл штука тонкая, боюсь вообще обрубить себе доступ.

Правильно ли будет внести следующие 2 правила и как добавить несколько ip в белый список?


iptables -A INPUT -s мой_ip -p tcp --dport 22 -j accept
iptables -A INPUT -p tcp --dport 22 -j DROP

Нашел тут https://rusadmin.biz/bloknot/ogranichenie-dostupa-k-ssh-po-ip/

LEOnidUKG
На сайте с 25.11.2006
Offline
1723
LEOnidUKG
#1

Может просто сделать подключение по ключу?

✅ Мой Телеграм канал по SEO, оптимизации сайтов и серверов: https://t.me/leonidukgLIVE ✅ Качественное и рабочее размещение SEO статей СНГ и Бурж: https://getmanylinks.ru/
Staid
На сайте с 30.07.2014
Offline
59
Staid
#2

LEOnidUKG, спасибо. Думаю так будет проще.

---------- Добавлено 30.01.2018 в 20:55 ----------

Получилось, благодарю за помощь!

Mik Foxi
На сайте с 02.03.2011
Offline
1076
Mik Foxi
#3
LEOnidUKG:
Может просто сделать подключение по ключу?

или просто сменить порт, тоже помогает на 99.9% избавиться от брута.

Антибот, антиспам, веб файрвол, защита от накрутки поведенческих: https://antibot.cloud/ + партнерка, до 40$ с продажи.
LEOnidUKG
На сайте с 25.11.2006
Offline
1723
LEOnidUKG
#4
foxi:
или просто сменить порт, тоже помогает на 99.9% избавиться от брута.

Менять порт это просто всегда надо, по умолчанию.

Staid
На сайте с 30.07.2014
Offline
59
Staid
#5

Порт поменял в первую очередь.

Евгений Крупченко
На сайте с 27.09.2003
Offline
178
Евгений Крупченко
#6

на debian (возможно и в centos также) добавляю в /etc/pam.d/sshd и /etc/pam.d/vsftpd (где нужен) строку:

account required pam_access.so

дальше в файле /etc/security/access.conf можно управлять доступом примерно так:

- : user : ALL EXCEPT xxx.xxx.xxx.xxx

т.е. запретить user'у доступ отовсюду, кроме указанных ip (через пробел можно несколько)

плюс тоже, доступ к ssh по ключу.

и проверить чтоб в /etc/ssh/sshd_config не стояло permitrootlogin yes

ну и порт не стандартный

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий