Beiträge von Becker

  • SSH Absicherung

    Das stimmt natürlich.

    Ich habe sowas ähnliches wie "trick77/nftables-blacklist" gebaut:

    Spoiler anzeigen

    Aug 06 12:14:00 mail systemd[1]: Starting blocklist.service - Update nftables blocklist...
    Aug 06 12:14:00 mail blocklist.sh[115657]: [2026-08-06 12:14:00] Prüfe lokale Blocklisten...
    Aug 06 12:14:00 mail blocklist.sh[115657]: [2026-08-06 12:14:00] Blocklist-Quellen:
    Aug 06 12:14:00 mail blocklist.sh[115657]: [2026-08-06 12:14:00]   abuse.log       :  10000 Einträge
    Aug 06 12:14:00 mail blocklist.sh[115657]: [2026-08-06 12:14:00]   blocklist.log   :  27097 Einträge
    Aug 06 12:14:00 mail blocklist.sh[115657]: [2026-08-06 12:14:00]   manual.log      :     31 Einträge
    Aug 06 12:14:00 mail blocklist.sh[115657]: [2026-08-06 12:14:00]   bad.log         :  15000 Einträge
    Aug 06 12:14:00 mail blocklist.sh[115657]: [2026-08-06 12:14:00]   green.log       :   2951 Einträge
    Aug 06 12:14:00 mail blocklist.sh[115657]: [2026-08-06 12:14:00]   compromised.log :    558 Einträge
    Aug 06 12:14:00 mail blocklist.sh[115657]: [2026-08-06 12:14:00]   spamhaus4.log   :   1679 Einträge
    Aug 06 12:14:00 mail blocklist.sh[115657]: [2026-08-06 12:14:00]   spamhaus6.log   :     91 Einträge
    Aug 06 12:14:00 mail blocklist.sh[115657]: [2026-08-06 12:14:00]   --------------------------------
    Aug 06 12:14:00 mail blocklist.sh[115657]: [2026-08-06 12:14:00]   Gesamt          :  57407 Einträge
    Aug 06 12:14:00 mail blocklist.sh[115657]: [2026-08-06 12:14:00] Normalisiere, kombiniere und de-dupliziere IP-Adressen...
    Aug 06 12:14:02 mail blocklist.sh[115657]: [2026-08-06 12:14:02] Gefiltert -> IPv4: 38306 | IPv6: 641
    Aug 06 12:14:02 mail blocklist.sh[115657]: [2026-08-06 12:14:02] Verarbeite Whitelist (/var/lib/blocklists/whitelist.log)...
    Aug 06 12:14:02 mail blocklist.sh[115657]: [2026-08-06 12:14:02] Whitelist geladen -> IPv4: 8 Netze | IPv6: 5 Netze
    Aug 06 12:14:02 mail blocklist.sh[115657]: [2026-08-06 12:14:02] Ziehe Whitelist von der Blocklist ab...
    Aug 06 12:14:04 mail blocklist.sh[115657]: [2026-08-06 12:14:04] Nach Whitelist-Abzug -> IPv4: 38305 | IPv6: 641
    Aug 06 12:14:04 mail blocklist.sh[115657]: [2026-08-06 12:14:04] Baue Transaktion: 38305 Elemente für bl_v4 in Batches von 500 ...
    Aug 06 12:14:04 mail blocklist.sh[115657]: [2026-08-06 12:14:04] Baue Transaktion: 641 Elemente für bl_v6 in Batches von 200 ...
    Aug 06 12:14:04 mail blocklist.sh[115657]: [2026-08-06 12:14:04] Wende Transaktion atomar an (nft -f) ...
    Aug 06 12:14:04 mail blocklist.sh[115657]: + nft -f /tmp/tmp.nu2E3YX9TJ/update-sets.nft
    Aug 06 12:14:05 mail blocklist.sh[115657]: + set +x
    Aug 06 12:14:05 mail blocklist.sh[115657]: [2026-08-06 12:14:05] Fertig
    Aug 06 12:14:05 mail systemd[1]: blocklist.service: Deactivated successfully.
    Aug 06 12:14:05 mail systemd[1]: Finished blocklist.service - Update nftables blocklist.
    Aug 06 12:14:05 mail systemd[1]: blocklist.service: Consumed 4.976s CPU time

    Zuerst teste ich es immer auf meinem Heimserver, daher auch der Rauswurf ;)

  • SSH Absicherung

    Zitat von Hille

    Für alle die sich ein eigenes Script mit verschiedenen sinnvollen Blacklists erstellen möchten, kann ich das hier empfehlen.

    Habe ich lustigerweise gestern gemacht: firehol_level1.netset

    Bin dann sofort selber von meinem Server geflogen, da in der tollen Liste 192.168.0.0/16 drin ist :pinch: - also nicht zu gebrauchen.

    aRaphael also bezahlst du montlich ein Abo für abuseipdb? oder gibt es einen Trick wie man die vollständige Liste kostenlos bekommt?


    Zitat

    Gute Quelle für blocklists im generellen, nicht nur SSH ... aber eigenes script ist nicht nötig, gibt es alles schon.

    Cool, leider hatte ich mir schon sowas ähnliches gebaut, aber von dem Projekt habe ich mir noch einige Listen importiert :thumbup:

  • SSH Absicherung

    Danke für die vielen Antworten :thumbup:

    Zitat von aRaphael

    verlegt auf Geoblocking der üblichen verdächtigen Länder plus das Blockieren von über 200k bösartigen IPs (von AbuseIPDB) die täglich aktualisiert werden.

    Würde mich interessieren wie genau du das machst (selber geschriebenes Script?) und an welche FW du diese übergibst (nftables?).

    Auf meinem Heimserver (Mailcow & Webserver) nutze ich https://lists.blocklist.de/lists/all.txt diese, alle 3h wird sie in nftables aktualisiert. Dadurch habe ich deutlich weniger nginx Banns als auf dem Netcup Mail- und Webserver (ohne Blocklist).

    Hier mal zum Vergleich Netcup:

    image.png


    VS Home:

    image.png

  • SSH Absicherung

    Hallo,

    wie sichert ihr euren SSH Zugang gegen Bruteforce Angriffe ab?

    Ich hatte zunächst den Port auf 49xxx gelegt und Passwort Zugriff verboten also nur per ed25519 Public/Privatkey.

    Habe nach einigen Wochen im Fail2Ban Log gesehen, dass ich teilweise stundenlange Bruteforce Angriffe hatte.

    Die sind natürlich Sinn- und Zwecklos dank Privatkey, stören mich aber trotzdem.

    Fail2Ban wirkt leider auch nicht, da die IP Adresse des Angreifers im Sekundentakt wechselt.

    Habe dann in meiner Firewall chain inbound folgendes geändert:

    ip6 saddr { fd00:aaaa::/64, fd00:bbbb::/64, fd00:cccc::/64, fd08::/64, 2003::/19, 2a00:6020::/32, 2a02:8206::/32 } tcp dport 49022 ct state new limit rate 5/minute accept

    Damit habe ich den SSH Zugriff a) auf nur IPv6 limitiert und b) nur auf die Netzwerke wo ich mich grundsätzlich aufhalte: Telekom, DG und EWE, sowie die (internen) Wireguard Netzwerke.

    Bisher ist der SSH Log komplett ruhig.

    Wie sehen eure Strategien aus würde mich interessieren !?