Forum Guru
Лучше так:
цветом я отметил изменения. То есть раньше это работало только если заходили с WAN (то есть если был vpn, то man это не затрагивало) а так правило действует на все входящие, кроме входящих с LAN.Code:iptables -t nat -I PREROUTING -i ! $3 -p tcp -m state --state NEW --dport 1555 -m recent --set --name SSH_ATTACKER --rsource iptables -I INPUT -i ! $3 -p tcp -m state --state NEW --dport 1555 -m recent --update --seconds 600 --hitcount 3 --name SSH_ATTACKER --rsource -j DROP
И insmod ipt_recent обязательно именно в pre-boot, о чём я и говорил в той самой ветке. Да и кстати, а почему бы в той самой ветке и не спросить?
Last edited by Mam(O)n; 13-11-2007 at 04:59.
Member
А как избежать риска что после этих изменений в post-xxx файлах я смогу залогиниться? Как проверить что все работает перед тем как запустить flashfs? я пытался запустить post-boot в котором была строчка insmod ipt_recent и после этого соединение с роутером было закрыто до его перезагрузки..Originally Posted by Mam(O)n
Forum Guru
включить telnet в виде запасного варианта
Еще для тестирования наверное можно запустить dropbear -p 1555 -p 1556 и пытаться заблокировать один из портов оставив второй для себя открытым...
Кстати, насколько я понимаю, недостаток этого метода в том, что если кто-то начинает ломиться по ssh , то для всех логины на данном порту тормозятся (в т.ч. и для хозяина). Это так?
Forum Guru
Бан идёт по IP и не распространяется на LAN(br0).
Forum Guru
ну насчет LAN(br0) --- это понятно. А насчет IP --- хорошо ежели так. А можно ли посмотреть список забаненных IP адресов?
Member
А также как этот список почистить (если необходимо)?
Member
Ну как я и ожидал - роутер не инициализируется и я не могу никак залогиниться.. Как вернуться назад (если это вообще возможно)
Forum Guru
совсем совсем ничего нет?
web-IF, samba, ftp, telnet?
Member
Ничего не мог сделать. У меня почти портов нет попробовать (я сейчас на работе а провайдер все порты кроме нескольких заблокировал).
По запасному порту вошел....Основной порт почему-то все время timeout говорит..
Чего-то не так со скриптами наверное..
Forum Guru
Полагаю, что результат работы ipt_recent должен выглядеть именно так, значит работаетОсновной порт почему-то все время timeout говорит..
Member
ага.. оно почему-то то тормозит, то нет. я так понимаю, что на 3 неудачные попытки ip должен блокироваться? а на сколько? как вообще это должно работать? как обнулить все "плохие" ip?Полагаю, что результат работы ipt_recent должен выглядеть именно так, значит работает
Forum Guru
Блокируются входящие соединения во время, когда за последние 600 секунд имеется более 3 запросов на установления tcp сессии с одного ip. Попытки здесь не причем. Рабочая таблица находится в /proc/net/ipt_recent/SSH_ATTACKER
Member
ясно.. но тогда все это не работает. у меня постоянные timeoutы на основной порт и SSH_ATTACKER пустой.. а нужно ли иметь в post-firewall эту строку (перед теми 2-мя, которые ты посоветовал)?
iptables -I INPUT -p tcp --dport 1555 -j ACCEPT
Forum Guru
перед точно не надо, а вот после --- желательно
Правила выполняются одно за другим. Как только встречается правило, которое принимает окончательное решение, остальные не выполняются.
Forum Guru
Он имел ввиду в post-firewall файле. А там как раз именно до этих строк нужно вставлять её. Мы ведь делаем -I (INSERT, вставка) на позицию 1 в цепочке и результат получится обратным(зеркальным) по отношению порядка следования команд в post-firewall.
gsnake, покажи чтоли таблицы (iptables -L -vn && iptables -L -vnt nat), а то непонятно, что там у тебя сейчас получилось. Ясно то, что до бана дело даже не доходит.
ps. Раскопал щас в man от iptables про то, как можно той таблицей манипулировать:
Соответственно DEFAULT на SSH_ATTACKER нужно заменитьCode:echo xx.xx.xx.xx > /proc/net/ipt_recent/DEFAULT to Add to the DEFAULT list echo -xx.xx.xx.xx > /proc/net/ipt_recent/DEFAULT to Remove from the DEFAULT list echo clear > /proc/net/ipt_recent/DEFAULT to empty the DEFAULT list.
Posting Permissions
Reply With Quote