ssh nur über bestimmte ip-Range

ferrarajunior · 22. April 2010

Hallo liebe Leute ...
ich hab mir mal eben wieder meine fail2ban.log durchgenommen und musste feststellen, dass seit 1woche bestimmte Ip's versuchen auf meine Shell zugrifff zu bekommen ...

Meine Frage ... kann ich meine Shell nur für eine bestimmte Ip Range verfügbar machen ... bzw. nur für eine bestimmte IP (static Ip, is ja wayne)
weil ich hab echt keine Lust, dass da irgendwann wie Bruteforce doch mein passwort "erraten" wird ...
oder brauche ich mir keinerlei bedenken machen, da mein 7-15 stelliges PW ehe unerratbar ist (nein, es ist nicht sowas wie supergeil, sicherespasswort ....) Die "Chance" besteht ja, dass es erraten wird

MfG

Michael · 22. April 2010

Ein sicheres Passwort ist z.B. :

cat#!LOL!ROFL1337

Du könntest ja einfach die Ip des Bruters in /etc/hosts.deny eintragen.

vmk · 22. April 2010

Zitat von ferrarajunior;17727

Meine Frage ... kann ich meine Shell nur für eine bestimmte Ip Range verfügbar machen ... bzw. nur für eine bestimmte IP (static Ip, is ja wayne)

Dafür ist die Firewall zuständig.

ferrarajunior · 22. April 2010

Zitat von Michael;17728

Ein sicheres Passwort ist z.B. :

cat#!LOL!ROFL1337

Du könntest ja einfach die Ip des Bruters in /etc/hosts.deny eintragen.

problem is ja, dasses mehrere Ip sind und wechseln immer ...
Ich check dass nochmal in der Firewall (kam noch ned wirklich dazu diese optimal zu konfigurieren)

Danke euch

cw1 · 22. April 2010

Hast du denn z.b. den SSH Port verlegt?

Nachdem ich (u.a.) meinen Port geändert hatte war Ruhe!

Michael · 22. April 2010

Automatisch kann dir das auch http://denyhosts.sourceforge.net/ machen.
Der wertet das auth.log aus und fügt sich automatisch zur hosts.deny hinzu.

TheReaper · 22. April 2010

Password Login deaktivieren und nur KeyFile login möglich machen. Dies ist wohl die effektivste Methode

ferrarajunior · 22. April 2010

das mit dem shell umerverlegen ist echt eine sehr gute idee ...
hab garnicht daran gedacht *schäm*
keyfile ... hmm ka ich habs lieber, wenn ein passwort, ka auf nem Zettelchen neben meinem Pc klebt, als dasses auf meinem rechner gespeichert ist
jedem seine sache ... ich werd erstmal den port verlegen und schaun, obs dann aufhört ... ansonsten werd ich die ips nach 2 falschen versuchen bannen lassen ... (mussmal fail2ban cfg anschaun) ...

aber danke für die idee ich war jetzt so geschockt, dass ich das "einfachste" garnicht in erwägung gezogen habe

MfG

TheReaper · 22. April 2010

Passwort ist schön und gut, auch mit fail2ban, aber stell dir vor jemand legt ein größeres Netz darauf an das Passwort zu erraten. Da bringt dir dann auch fail2ban und ein anderer Port nichts.

Daher gerade bei größeren Projekten immer KeyFiles bevorzugen.

Artimis · 22. April 2010

Quatsch. So viele IPs wird selbst IPv7 nicht liefern, die Wahrscheinlichkeit eines Treffers bei einem Ban bei 5 falschen Versuchen auf über 2% zu erhöhen.

TheReaper · 22. April 2010

Kommt drauf an. Man gehe von 2000 Servern aus, jeder hat einfach mal 10 dom's (xen) mit 1 IP. Macht schonmal 20.000 IP's.

Jeder hat 2 Versuche:
40.000 Versuche in ein paar Sekunden auf den gleichen Server - Das wird ssh sicher freuen, vor allem wenn es noch die Daten mit den Systemusern abgleichen muss. Da kann man dann hoffen das RZ hat ne gute firewall

Artimis · 22. April 2010

Zitat

vor allem wenn es noch die Daten mit den Systemusern abgleichen muss.

DoS kriegt man auch einfacher hin...

Zitat

40.000 Versuche

Abgesehen davon, dass kein Netz 40.000 IPs auftreiben wird, Wenn doch, hast du andere Sorgen als einen primitiven SSH-Brute:
Wenn der Bruter von Buchstaben und zahlen ausgeht (abcABC123), kriegt er alle einstelligen, alle zweistelligen und die Hälfte der dreistelligen PWs durch. Was ist nun aber, wenn du ein vierstelliges PW nutzt?
(Anzahl der Kombis ist btw: [Anzahl mögl. Zeichen] "hoch" [Anzahl der Stellen]. 62^3 >> 40.000

=> Bruten ist, sobald es eine "Nach x Versuchen gibts Sperre" davor ist, technisch absolut unmöglich.

ferrarajunior · 22. April 2010

ja aber soooo groß ist mein Projekt nicht ...
ich habe keine Vertraulichen daten auf dem root
einzig ein Gameserver +Hp Sql mail etc.

mal eine andere Frage
ich seh grad in meiner Log, dass einige bestimmte Server meinen nach Sicherheitslücken scannen

Zitat

[Thu Apr 22 16:13:14 2010] [error] [client 202.75.211.90] client sent HTTP/1.1 request without hostname (see RFC2616 section 14.23): /w00tw00t.at.ISC.SANS.DFind:)

[Thu Apr 22 16:02:53 2010] [error] [client 195.158.8.206] client sent HTTP/1.1 request without hostname (see RFC2616 section 14.23): /w00tw00t.at.ISC.SANS.DFind:)

[Thu Apr 22 15:33:38 2010] [error] [client 211.155.228.169] client sent HTTP/1.1 request without hostname (see RFC2616 section 14.23): /w00tw00t.at.ISC.SANS.DFind:)

Was kann ich DAGEGEN machen?
je mehr ich mir die logs ansehe desto unsicherer fühle ich mich
Ich bin noch relativ unerfahren und grade noch am rumkonfigurieren
kann ich diese request ohne hostname einfach verbieten?
sowas wie hostname=true oder so ka ...
hab echt keine Lust einen untermieter in meinem Server zu haben

tracert gibt

Zitat

2 hos-tr2.juniper1.rz6.hetzner.de (213.239.229.129) 0.329 ms 0.337 ms 0.337 ms
3 hos-bb2.juniper2.s04.hetzner.de (213.239.240.138) 0.741 ms 0.841 ms 0.927 ms
4 lambdanet-gw.hetzner.de (213.239.242.213) 0.700 ms 0.771 ms 0.816 ms
5 MUC-1-eth200.de.lambdanet.net (217.71.96.169) 3.783 ms 3.851 ms 3.873 ms
6 m-ec1.m.de.net.dtag.de (193.159.225.77) 7.503 ms 7.251 ms 7.315 ms
7 217.239.40.102 (217.239.40.102) 164.946 ms 164.428 ms 165.009 ms
8 217.6.49.174 (217.6.49.174) 388.166 ms * 389.097 ms
9 219.158.25.13 (219.158.25.13) 378.272 ms 376.954 ms 378.253 ms
10 219.158.3.69 (219.158.3.69) 414.506 ms 417.606 ms 418.187 ms
11 219.158.12.18 (219.158.12.18) 472.604 ms 464.113 ms 464.432 ms
12 219.158.12.42 (219.158.12.42) 476.237 ms 474.558 ms 479.926 ms
13 221.12.2.146 (221.12.2.146) 467.186 ms 466.993 ms 467.663 ms
14 124.160.58.190 (124.160.58.190) 465.655 ms 465.060 ms 464.895 ms
15 60.12.6.166 (60.12.6.166) 462.094 ms 460.572 ms 460.825 ms
16 202.75.211.90 (202.75.211.90) 473.004 ms 476.704 ms 476.049 ms

Alles anzeigen

ohh mann -.-
MfG

perryflynn · 22. April 2010

Diese w00tw00t Scans sind unproblematisch. Das ist nur für Windows Kisten mit IIS unter Umständen gefährlich.

Code

whois 202.75.211.90
% [whois.apnic.net node-2]
% Whois data copyright terms    http://www.apnic.net/db/dbcopyright.html




inetnum:      202.75.208.0 - 202.75.211.255
netname:      SRT
country:      CN
descr:        Hangzhou Silk Road Information Technologies Co.,Ltd.
descr:        Hangzhou, Jiangsu, P.R.China
admin-c:      QL43-AP
tech-c:       WL169-AP
status:       ASSIGNED NON-PORTABLE
changed:      ipas@cninc.net.cn 20050405
mnt-by:       MAINT-CN-SRIT
mnt-routes:   MAINT-CNCGROUP-RR
source:       APNIC




route:        202.75.208.0/22
descr:        Hangzhou Silk Road Information Technologies Co.,Ltd.
descr:        Hangzhou, Jiangsu, P.R.China
country:      CN
origin:       AS4837
mnt-by:       MAINT-CNCGROUP-RR
changed:      abuse@cnc-noc.net 20050407
source:       APNIC




person:       Qiu LiXia
address:      Huaxing Technology Bldg. Fl.5, No.477 Wensan Road,Hangzhou, Zhejiang,310012, China
country:      CN
phone:        +86-0-13735810001
fax-no:       +86-0-13735810001
e-mail:       lhm@srt.com.cn
nic-hdl:      QL43-AP
mnt-by:       MAINT-CNNIC-AP
changed:      ipas@cnnic.net.cn 20080218
source:       APNIC




person:       Wang Linda
address:      Huaxing Technology Bldg. Fl.5, No.477 Wensan Road,Hangzhou, Zhejiang,310012, China
country:      CN
phone:        +86-0-13735810001-78017
fax-no:       +86-0-13735810001
e-mail:       wangliang@srt.com.cn
nic-hdl:      WL169-AP
mnt-by:       MAINT-CNNIC-AP
changed:      ipas@cnnic.net.cn 20080218
source:       APNIC

Alles anzeigen

China.

ferrarajunior · 22. April 2010

Silkroad kenne ich, das issen spiel .... xD
silkroadonline.net

also können die bei mir "nichts" finden, selbst wenn da was wäre ?

ich frage bewusst, ich gerade apache2 neu configurieren muss und jetzt geht erstmal funktion vor Sicherheit ...

danke dir schonmal
damit wärs eig. geklärt
Usbstick(passwortgeschützt)+keyfile = mushave

Ich danke euch
MfG

perryflynn · 22. April 2010

Die können die jedenfalls mit w00tw00t nix.

Ansonsten kann man beim Apache eigentlich nicht viel falsch machen. Der ist in der Standardkonfiguration schon recht sicher.
Solang Du nicht gerade "/" mit dem Apache frei gibst...