iptables + SIP -- защита от перебора паролей
Может у кого есть какиенить соображения, поделитесь, плз.
Но имеется в виду как сделать защиту на уровне iptables.
и не нужно извращаться со сменой порта для шела, это не обман хакера а скорее самообман для самоуспокоения опять же.
Вот и решение нашлось:
http://www.voip-info.org/wiki/view/Fail2Ban+(with+iptables)+And+Asterisk
man iptables
/limit
/
/
и далее по тексту =)
_________________
Человек мира. RHCE + clustering.
Спасибо
| Romik писал(а): |
| Ну вот скажем некто '216.245.200.107' в интервал времени [Jun 2 05] - [Jun 2 16] сделал 4756716 безуспешных попыток подбора. |
это с fail2ban? ответ один - он у тебя криво настроен! при правильной настройке - после всего нескольких попыток - бан через iptables.
опять же не понятна твоя фраза "iptables все же пригодится" - fail2ban и работает в купе с ним! не понятно что ты имел ввиду.
| alex2015 писал(а): |
| Ребят, может кто скинет примерчик конфига? |
для счастливых обладателей дебиана в пакете fail2ban уже и правила расписаны под asterisk - самому ничего выдумывать не нужно уже..
просто найдите этот пакет и расковыряйте.
Added after 31 minutes:
| Alekz писал(а): |
| Читайте в удовольствие СТАТЬЮ! |
кстати по статье - нашел наигрубейшую ошибку в примере:
| Цитата: |
| Используйте временное ограничение по вводу пароля или сертификаты. Установка минимально возможного времени для ввода пароля, например, 1 секунды, может хорошо сбить с толку злоумышленника. |
Данный кусок текста - полный бред, так как для злоумышленника, который перебирает пароли АВТОМАТИЧЕСКИ это вовсе не помеха никакая! так как его запрос легко проскакивает в окно одной секунды! а вот законный пользователь уже хрен попадет на свой сервер так как никто не сможет набрать пароль на клавиатуре меньше чем за одну секуду. ну разве что если пароль из двух-трех знаков которые один за другим на клавиатуре идут. но такой пароль сломан будет в любом случае всеравно, хоть защищайся хоть нет. получается что воспользовавшись данным советом человек поставив сию настройку на удалленном сервере (LoginGraceTime 1s) - больше не сможет на него уже попасть самостоятельно, поможет только сброс этой настройки при физическом досупе к серверу. поэтому считаю этот совет КРАЙНЕ ВРЕДНЫМ.
upd: эта настройка ограничивает не минимальное а максимальное время ввода пароля!
ПРо пакет из Дебиана не знал, спасибо, сейчас посмотрим.
| Цитата: |
| router ~ # ssh myhost Password: [неверный пароль] Received disconnect from 192.168.1.182: 2: Too many authentication failures for root router ~ # |
когда нормальная ситуация выглядит так:
| Цитата: |
| router ~ # ssh myhost Password: [неверный пароль] Password: [неверный пароль] Password: [неверный пароль] Permission denied (publickey,keyboard-interactive). router ~ # |
Added after 1 minutes:
alex2015 у вас сигнализация по udp разве работает?
| alex2015 писал(а): |
| Да |
зачем?
и есть ли в этом необходимость? в любом случае - вы не с того конца начали, имхо.. начнем с того что все ошибки (как то и попытки залогиниться) должны логироваться в лог-файл. правильно? у вас не логируются? разберитесь почему. ну а дальше уже дело техники. fail2ban делает очень простую работу - смотрит лог - если есть например 5 или больше безуспешных попыток - срабатывает указанное ему действие. все гениальное просто.
tcpenable=no ; Enable server for incoming TCP connections (default is no)
tcpbindaddr=0.0.0.0 ; IP address for TCP server to bind to (0.0.0.0 binds to all interfaces)
; Optionally add a port number, 192.168.1.1:5062 (default is port 5060)
Added after 3 minutes:
| anest писал(а): |
| зачем? и есть ли в этом необходимость? в любом случае - вы не с того конца начали, имхо.. начнем с того что все ошибки (как то и попытки залогиниться) должны логироваться в лог-файл. правильно? у вас не логируются? |
совершенно верно, не логируются. Это где включить можно?
также повторю уже прозвучавший вопрос - все события логируются в лог?
| anest писал(а): |
| у вас не логируются? разберитесь почему. |
направление вам указано - двигайтесь дальше сами. (просто не нужно говорить "да это г@вно и оно не работает" раньше времени. такие заявления отбивают охоту вообще помогать)
успехов.
| Цитата: |
| повторю свой вопрос - есть ли в этом необходимость? |
Думаю есть, но нужно ещё мне читать мануалы. Т.к. немного ещё не все уяслил себе.
| Цитата: |
| также повторю уже прозвучавший вопрос - все события логируются в лог? |
события о неудачных подключениях не логируются.
| Цитата: |
| (просто не нужно говорить "да это гавно и оно не работает" раньше времени. такие заявления отбивают охоту вообще помогать) успехов. |
Даже не думал такого говорить, я в теме защиты только начал ковыряться, поэтому ОГРОМНЕЙШЕЕ СПАСИБО за наставления на нужный путь.
| alex2015 писал(а): | ||
| Цитата: |
| повторю свой вопрос - есть ли в этом необходимость? |
Думаю есть
так обьяните уже наконец - в чем же именно она заключается? а то всё загадками какимито и недомолвками... телепатический блок на профилактическую продувку отдал, просканировать ваш мозг не могу счас удаленно.
| alex2015 писал(а): |
| Даже не думал такого говорить |
ну я об этом:
| alex2015 писал(а): |
| Немножко ознакомился с этой темой и вижу, что не всегда и fail2ban поможет. |
если не делать скоропалительных выводов и набраться терпения то все у вас получится. успехов вобщем.
http://tamkovich.com/2009/04/asterisk-sip-security/
| Цитата: |
| у вас сигнализация по udp разве работает? |
не подскажите как включить сигнализацию по тсп?
информация о неудачных подключених это та информация, которая пишется:
/var/log/asterisk/messages?
| anest писал(а): | ||
| Romik писал(а): |
| Ну вот скажем некто '216.245.200.107' в интервал времени [Jun 2 05] - [Jun 2 16] сделал 4756716 безуспешных попыток подбора. |
опять же не понятна твоя фраза "iptables все же пригодится" - fail2ban и работает в купе с ним! не понятно что ты имел ввиду.
_________________
Человек мира. RHCE + clustering.
тут про настройку и под астериск.
Спасибо!!
Added after 1 hours 25 minutes:
Не сюда писать нужно но всеже.
Плохо то, что он забанил айпишник, правило появилось в iptables -L -v. После рестарта iptables и рестарта fail2ban, не перечитываются логи. Т.е. бан снимается. Может есть какой ключик для этого?
Мне так кажется, былобы удобнее, хоть и рестарт делается не так часто.
Но с другой стороны, можно было бы сделать так, чтоб по звонку бан снимался.