Брутфорс SSH, что делать?

Question

[Вячеслав Правильный]

Постоянно идет брутфорс на SSH, за пароль не боюсь, но часто отваливается инет на VPS. Сложность заключается в том, что брутфорсят постоянно с разных ip и разные порты. Как лучше это дело прекратить!?

Answer 1

[Kalombyr]

Поставить fail2ban ?
Сменить порт ?
Настроить port knocking?

Comments

[Вячеслав Правильный]

Порты все пробивают, fail2ban рассматривал конечно, походу это самый лучший вариант будет но надо время чтобы всю сеть забанил...

[Kalombyr]

port knocking в помощь =)

Answer 2

[Александр]

1. Используйте файрволл;
   
2. Измените порт, на котором работает SSH-сервер. С 22-го на какой-нибудь 3184-й;
   
3. Используйте SSH-ключи вместо паролей.
   

Comments

[Вячеслав Правильный]

Файрвол это fail2ban!?

[Александр]

Вячеслав Правильный, ну, какой именно ставить - это уже ваш выбор

Answer 3

[Alfieros]

Запретить всем, кроме IP-адреса 1.2.3.4 подключение по протоколу TCP на порт 22

iptables -A INPUT -i eth1 -p tcp -s !1.2.3.4 --dport 22 -j DROP

P.S - eth1 - это адрес вашей сетевой карты, он может не совпадать с вашим.

Comments

[devalone]

Весело будет, когда провайдер поменяет тебе IP.

[Alfieros]

devalone, это быстрое и временное решение.
Для всего остального

Используйте файрволл;
Измените порт, на котором работает SSH-сервер. С 22-го на какой-нибудь 3184-й;
Используйте SSH-ключи вместо паролей
Поставить fail2ban ?
Сменить порт ?
Настроить port knocking?

[Вячеслав Правильный]

Alfieros, да, забыл указать что ip динамика... Вариант с ключами тоже рассматривал, но если что то с ключом случится!?

[Александр]

Вячеслав Правильный,

но если что то с ключом случится!?

Храните ключи в надёжном месте. А если и правда что-то с ним случится, то обычно в таких случаях у поддержки хостинг-провайдера, у которого вы брали VDS, есть свой ключ для доступа к серверу. Они вам помогут восстановить доступ в случае чего

[dmb_1945]

devalone, ни кто не мешает добавит 4 таких правила и на 4 доверенных тебе ip.
По мне это самый грамотный вариант.
Ты не отдаешь ресурсы под обработку левых запросов и тд и тп

[dmb_1945]

Alfieros, это решение ни хера не временное. Оно может работать долго.
Я так работаю уже лет 10. И не парюсь что какой то школьник найдет " мой хитровы...ый порт 10022" и начнет проверять свои справочники

[Alfieros]

dmb_1945, как вариант можно ещё расширить диапазон через маску подсети, если разброс айпишников у провайдера небольшой.

Answer 4

[Дмитрий Сергеев]

Если у вас "отваливается инет на VPS" именно по причине брутфорса, там вам ещё и ddos прилетает, а тут настройки впс никак не помогут, поскольку брут забивает канал до сервера. Как вариант, можно попробовать поставить перед вашим впс www.cloudflare.com, не знаю остался ли у них бесплатный тариф.

Comments

[Александр]

поставить перед вашим впс www.cloudflare.com, не знаю остался ли у них бесплатный тариф.

Остался

Answer 5

[Петро Скіп]

такая фигня у всех,
1)отключить все веб ресурсы типа ssh, ftp, etc
2) юзать прогу для настройки,
3) на веб морду поставить доступ только с локалки например указава 192.168.1.0 только локальную подсеть
4)port knoking
также катят и советы выше

п.с. после того как поставил доступ на все только с локалки стали лезьт в впн тунель :)
потому как открыт только один порт в интернет....

Answer 6

[gmetae]

Я для такого себе настроил denyhost, сделал ключ для ssh доступа, вхожу только по ключу, и отключил в ssh доступ по паролю, и в denyhost прописал, что кто хотя бы раз постучится с паролем в ssh, тот банится. Неделю мониторил, кто ломится, когда список за 300 ip перевалил, то следить перестал, просто само работает.
И это с учетом того, что сервер приватный и только я про него знаю, даже вэб морды нет, просто для сервиса.