LINUX.ORG.RU
Форум — Admin  

Кто-то лезет в роутер

 , ,


0

2

Всем привет.
Залил dd-wrt 2015-го года вместо прошивки версии 2010-го года. И заметил, что роутер периодически начал фризить.
Включил логи, а там вот что увидел:

Jan 18 14:40:30 DD-WRT authpriv.warn dropbear[3473]: Bad password attempt for 'root' from 122.225.109.103:47373
Jan 18 14:40:30 DD-WRT authpriv.warn dropbear[3469]: Bad password attempt for 'root' from 122.225.109.103:38946
Jan 18 14:40:31 DD-WRT authpriv.warn dropbear[3473]: Bad password attempt for 'root' from 122.225.109.103:47373
Jan 18 14:40:31 DD-WRT authpriv.warn dropbear[3470]: Bad password attempt for 'root' from 122.225.109.103:44156
Jan 18 14:40:31 DD-WRT authpriv.warn dropbear[3469]: Bad password attempt for 'root' from 122.225.109.103:38946
Jan 18 14:40:32 DD-WRT authpriv.warn dropbear[3471]: Bad password attempt for 'root' from 122.225.109.103:44700
Jan 18 14:40:32 DD-WRT authpriv.warn dropbear[3469]: Bad password attempt for 'root' from 122.225.109.103:38946
Jan 18 14:40:33 DD-WRT authpriv.warn dropbear[3469]: Bad password attempt for 'root' from 122.225.109.103:38946
Jan 18 14:40:35 DD-WRT authpriv.warn dropbear[3472]: Bad password attempt for 'root' from 122.225.109.103:45818
Jan 18 14:40:35 DD-WRT authpriv.warn dropbear[3469]: Bad password attempt for 'root' from 122.225.109.103:38946
Jan 18 14:40:36 DD-WRT authpriv.warn dropbear[3472]: Bad password attempt for 'root' from 122.225.109.103:45818
Jan 18 14:40:36 DD-WRT authpriv.warn dropbear[3469]: Bad password attempt for 'root' from 122.225.109.103:38946
Jan 18 14:40:36 DD-WRT authpriv.warn dropbear[3472]: Bad password attempt for 'root' from 122.225.109.103:45818
Jan 18 14:40:37 DD-WRT authpriv.warn dropbear[3469]: Bad password attempt for 'root' from 122.225.109.103:38946
Jan 18 14:40:37 DD-WRT authpriv.info dropbear[3469]: Exit before auth (user 'root', 10 fails): Max auth tries reached - user 'root' from 122.225.109.103:38946
Jan 18 14:40:38 DD-WRT authpriv.warn dropbear[3472]: Bad password attempt for 'root' from 122.225.109.103:45818
Jan 18 14:40:39 DD-WRT authpriv.warn dropbear[3473]: Bad password attempt for 'root' from 122.225.109.103:47373
Jan 18 14:40:39 DD-WRT authpriv.info dropbear[3472]: Exit before auth (user 'root', 10 fails): Max auth tries reached - user 'root' from 122.225.109.103:45818
Jan 18 14:40:45 DD-WRT authpriv.warn dropbear[3473]: Bad password attempt for 'root' from 122.225.109.103:47373
Jan 18 14:40:46 DD-WRT authpriv.warn dropbear[3470]: Bad password attempt for 'root' from 122.225.109.103:44156
Jan 18 14:40:47 DD-WRT authpriv.warn dropbear[3470]: Bad password attempt for 'root' from 122.225.109.103:44156
Jan 18 14:40:48 DD-WRT authpriv.warn dropbear[3470]: Bad password attempt for 'root' from 122.225.109.103:44156
Jan 18 14:40:49 DD-WRT authpriv.warn dropbear[3470]: Bad password attempt for 'root' from 122.225.109.103:44156
Jan 18 14:40:49 DD-WRT authpriv.info dropbear[3470]: Exit before auth (user 'root', 10 fails): Max auth tries reached - user 'root' from 122.225.109.103:44156
Jan 18 14:40:52 DD-WRT authpriv.warn dropbear[3473]: Bad password attempt for 'root' from 122.225.109.103:47373
Jan 18 14:41:01 DD-WRT authpriv.warn dropbear[3473]: Bad password attempt for 'root' from 122.225.109.103:47373
Jan 18 14:41:02 DD-WRT authpriv.warn dropbear[3473]: Bad password attempt for 'root' from 122.225.109.103:47373
Jan 18 14:41:02 DD-WRT authpriv.info dropbear[3473]: Exit before auth (user 'root', 10 fails): Max auth tries reached - user 'root' from 122.225.109.103:47373
Jan 18 14:41:04 DD-WRT authpriv.warn dropbear[3475]: Bad password attempt for 'root' from 122.225.109.103:56540
Jan 18 14:41:06 DD-WRT authpriv.warn dropbear[3474]: Bad password attempt for 'root' from 122.225.109.103:55900
Jan 18 14:41:06 DD-WRT authpriv.warn dropbear[3475]: Bad password attempt for 'root' from 122.225.109.103:56540
Jan 18 14:41:07 DD-WRT authpriv.warn dropbear[3475]: Bad password attempt for 'root' from 122.225.109.103:56540
Jan 18 14:41:08 DD-WRT authpriv.warn dropbear[3475]: Bad password attempt for 'root' from 122.225.109.103:56540
Jan 18 14:41:10 DD-WRT authpriv.warn dropbear[3475]: Bad password attempt for 'root' from 122.225.109.103:56540
Jan 18 14:41:13 DD-WRT authpriv.warn dropbear[3475]: Bad password attempt for 'root' from 122.225.109.103:56540
Jan 18 14:41:13 DD-WRT authpriv.warn dropbear[3475]: Bad password attempt for 'root' from 122.225.109.103:56540
Jan 18 14:41:14 DD-WRT authpriv.warn dropbear[3475]: Bad password attempt for 'root' from 122.225.109.103:56540
Jan 18 14:41:17 DD-WRT authpriv.warn dropbear[3475]: Bad password attempt for 'root' from 122.225.109.103:56540
Jan 18 14:41:18 DD-WRT authpriv.warn dropbear[3475]: Bad password attempt for 'root' from 122.225.109.103:56540
Jan 18 14:41:18 DD-WRT authpriv.info dropbear[3475]: Exit before auth (user 'root', 10 fails): Max auth tries reached - user 'root' from 122.225.109.103:56540
Jan 18 14:41:26 DD-WRT authpriv.warn dropbear[3474]: Bad password attempt for 'root' from 122.225.109.103:55900
Jan 18 14:41:37 DD-WRT authpriv.warn dropbear[3474]: Bad password attempt for 'root' from 122.225.109.103:55900
Jan 18 14:41:40 DD-WRT authpriv.warn dropbear[3476]: Bad password attempt for 'root' from 122.225.109.103:1390
Jan 18 14:42:08 DD-WRT authpriv.warn dropbear[3474]: Bad password attempt for 'root' from 122.225.109.103:55900
Jan 18 14:42:33 DD-WRT authpriv.warn dropbear[3478]: Bad password attempt for 'root' from 122.225.109.103:6830
Jan 18 14:42:33 DD-WRT authpriv.warn dropbear[3478]: Bad password attempt for 'root' from 122.225.109.103:6830
Jan 18 14:42:34 DD-WRT authpriv.warn dropbear[3478]: Bad password attempt for 'root' from 122.225.109.103:6830
Jan 18 14:42:42 DD-WRT authpriv.warn dropbear[3478]: Bad password attempt for 'root' from 122.225.109.103:6830
Jan 18 14:42:43 DD-WRT authpriv.warn dropbear[3478]: Bad password attempt for 'root' from 122.225.109.103:6830
Jan 18 14:42:43 DD-WRT authpriv.warn dropbear[3478]: Bad password attempt for 'root' from 122.225.109.103:6830
Jan 18 14:42:49 DD-WRT authpriv.warn dropbear[3474]: Bad password attempt for 'root' from 122.225.109.103:55900
Jan 18 14:42:50 DD-WRT authpriv.warn dropbear[3478]: Bad password attempt for 'root' from 122.225.109.103:6830
Jan 18 14:42:51 DD-WRT authpriv.warn dropbear[3478]: Bad password attempt for 'root' from 122.225.109.103:6830
Jan 18 14:42:54 DD-WRT authpriv.warn dropbear[3478]: Bad password attempt for 'root' from 122.225.109.103:6830
Jan 18 14:42:54 DD-WRT authpriv.warn dropbear[3478]: Bad password attempt for 'root' from 122.225.109.103:6830
Jan 18 14:42:55 DD-WRT authpriv.info dropbear[3478]: Exit before auth (user 'root', 10 fails): Max auth tries reached - user 'root' from 122.225.109.103:6830
Jan 18 14:43:21 DD-WRT authpriv.warn dropbear[3479]: Bad password attempt for 'root' from 122.225.109.103:26409
Jan 18 14:43:27 DD-WRT authpriv.warn dropbear[3479]: Bad password attempt for 'root' from 122.225.109.103:26409
Jan 18 14:43:28 DD-WRT authpriv.warn dropbear[3479]: Bad password attempt for 'root' from 122.225.109.103:26409
Jan 18 14:43:30 DD-WRT authpriv.warn dropbear[3479]: Bad password attempt for 'root' from 122.225.109.103:26409
Jan 18 14:43:32 DD-WRT authpriv.warn dropbear[3474]: Bad password attempt for 'root' from 122.225.109.103:55900
Jan 18 14:43:33 DD-WRT authpriv.warn dropbear[3474]: Bad password attempt for 'root' from 122.225.109.103:55900
Jan 18 14:43:33 DD-WRT authpriv.warn dropbear[3479]: Bad password attempt for 'root' from 122.225.109.103:26409
Jan 18 14:43:34 DD-WRT authpriv.warn dropbear[3474]: Bad password attempt for 'root' from 122.225.109.103:55900
Jan 18 14:43:34 DD-WRT authpriv.warn dropbear[3479]: Bad password attempt for 'root' from 122.225.109.103:26409
Jan 18 14:43:34 DD-WRT authpriv.warn dropbear[3474]: Bad password attempt for 'root' from 122.225.109.103:55900
Jan 18 14:43:35 DD-WRT authpriv.warn dropbear[3479]: Bad password attempt for 'root' from 122.225.109.103:26409
Jan 18 14:43:35 DD-WRT authpriv.warn dropbear[3474]: Bad password attempt for 'root' from 122.225.109.103:55900
Jan 18 14:43:36 DD-WRT authpriv.info dropbear[3474]: Exit before auth (user 'root', 10 fails): Max auth tries reached - user 'root' from 122.225.109.103:55900
Jan 18 14:43:39 DD-WRT authpriv.warn dropbear[3479]: Bad password attempt for 'root' from 122.225.109.103:26409
Jan 18 14:43:41 DD-WRT authpriv.warn dropbear[3479]: Bad password attempt for 'root' from 122.225.109.103:26409
Jan 18 14:43:42 DD-WRT authpriv.warn dropbear[3479]: Bad password attempt for 'root' from 122.225.109.103:26409
Jan 18 14:43:42 DD-WRT authpriv.info dropbear[3479]: Exit before auth (user 'root', 10 fails): Max auth tries reached - user 'root' from 122.225.109.103:26409
Jan 18 14:43:44 DD-WRT authpriv.info dropbear[3471]: Exit before auth (user 'root', 1 fails): Error reading: Connection reset by peer
Jan 18 14:43:44 DD-WRT authpriv.info dropbear[3480]: Exit before auth: Error writing: Connection reset by peer
Jan 18 14:46:41 DD-WRT authpriv.info dropbear[3477]: Exit before auth: Timeout before auth
Jan 18 14:46:41 DD-WRT authpriv.info dropbear[3476]: Exit before auth (user 'root', 1 fails): Timeout before auth


Роутер D-Link DIR300

★

Последнее исправление: xoomer (всего исправлений: 1)
← Настройка маршрутизации dd-wrt для l2tp Билайн
openwrt dhcp doesn't work →

Ну лезут и лезут, это же китайцы. Ко мне тоже стучались с этой сети в конце декабря. С 122.225.109.207 и 122.225.109.211.

Lavos ★★★★★
()

В чём суть проблемы? Можно повесить ssh на другой порт и закрыть роутер от сканирования. А мешает? Может быть тогда поменять пароль рута на «root», чтобы не ломились всякие?

wakuwaku ★★★★
()
Ответ на: комментарий от wakuwaku

А нормальное решение - дать доступ по ssh лишь для диапазона внутренних адресов? Ну и порт поменять.

xoomer ★
() автор топика
Ответ на: комментарий от wakuwaku

А мешает?

У домашних роутеров очень слабые процессоры. Если канал от провайдера достаточно толстый, и запросы к SSH идут очень часто, то такой подбор пароля может сжирать CPU.

Deleted
()

Короче, народ. Как умнее защититься? По шагам объясните, плз. Ибо, грубо говоря, все что я знаю о сетях это - что такое DHCP.

xoomer ★
() автор топика
Ответ на: комментарий от dhameoelin

Нужна эта. Тут много твиков 802.11n, а мне это надо. Живу в частном секторе, здесь даже 40МГц широту можно запускать.

xoomer ★
() автор топика
Ответ на: комментарий от xoomer

Говно DIR-300 какой аппаратной ревизии? А то, скорее всего, есть смысл поменять говно на роутер. Ты только не принимай близко к сердцу, но говно - говно, а DIR-300 - ещё и редкостное, имхо.

dhameoelin ★★★★★
()
Ответ на: комментарий от xoomer

Если доступ извне не нужен, почему нет? И всё же, за частые попытки подключений лучше банить. А ещё можно настроить port-knocking для ssh, теоретически это максимально безопасно в результате будет. Кроме того, кажется, putty.exe так умеет подключаться. Только не преврати роутер в кирпич в процессе. :>

wakuwaku ★★★★
()
Ответ на: комментарий от wakuwaku

Блин, надо курить iptables. :-\
Нет времени пока.

А нормальное решение - дать доступ по ssh лишь для диапазона внутренних адресов? Ну и порт поменять.

xoomer ★
() автор топика
Ответ на: комментарий от Lavos

Это же неудобно...

не припоминаю, когда ходил на роутер извне.

snoopcat ★★★★★
()
Ответ на: комментарий от xoomer

не ту ты галку убрал, эта галка как раз и ограничивает доступ к ssh :-D, тебе в вкладку администрирование надо и вообще приглушить ssh

jo_b1ack ★★★★★
()
Ответ на: комментарий от jo_b1ack

тебе в вкладку администрирование надо и вообще приглушить ssh

я именно ту что ты говоришь и убрал

а эту, что на скине не трогал.

xoomer ★
() автор топика

На вкладке Administration переключить в disable

Web GUI Management
SSH Management
Telnet Management

Из локалки доступ останется.

Всё!

sdio ★★★★★
()
Ответ на: комментарий от xoomer

Да, позвонил провайдеру - оказался выделенный у меня IP.

Что значит «выделенный IP» ? Нет такого термина. А приватный или нет - это определяется, глядя в RFC 6890 и RFC 6598.

AS ★★★★★
()
Ответ на: комментарий от sdio

Спасибо!
Именно поотключать то, что выделил?
http://imgdisk.ru/image/dmh
(Боюсь чтобы с внутренней сетки доступ не пропал :D )

xoomer ★
() автор топика
Ответ на: комментарий от dhameoelin

есть смысл поменять говно на роутер.

Как это поможет решить проблему ТС ? :-) От того, что будет более мощный процессор, просто увеличится порог возникновения перегрузки. Будет не 1 сессия по перебору критична, а десяток, только и всего.

AS ★★★★★
()
Ответ на: комментарий от AS

Уж прости, но читать RFC времени тоже нет, ровно как и разбираться с iptables и включать заново ssh. :-)

xoomer ★
() автор топика

Запили fail2ban, или вообще убери ssh с внешнего интерфеса если не нужно, или перебрось на нестандартный порт.

MrClon ★★★★★
()
Ответ на: комментарий от AS

Он внятно описал: «ломятся снаружи», здесь вопросы о его внешнем IP адресе может задать только неуч.

sdio ★★★★★
()
Ответ на: комментарий от sdio

здесь вопросы о его внешнем IP адресе может задать только неуч.

Вот что мог сделать неуч, так это не понять смысл моей фразы. Это извинительно только для того, у кого русский не является родным языком.

AS ★★★★★
()
Ответ на: комментарий от AS

Смысл твоей фразы понятен, но он как часто у тебя бывает нахер тут не нужен. Тебе лишь бы выпендреться.

sdio ★★★★★
()
Ответ на: комментарий от sdio

но он как часто у тебя бывает нахер тут не нужен.

Он в следующий раз нужен будет, когда человек будет то же самое объяснять.

AS ★★★★★
()
Ответ на: комментарий от xoomer

Вроде звездатый, а простых вещей не понимает. Запили фаервол и запрети все коннекты снаружи.

wlan ★★
()
Ответ на: комментарий от snoopcat

ssh с 22 порта перевесь на 8022 для внешней сети, лол

Не поможет, лол.

Black_Shadow ★★★★★
() 
iptables -A INPUT -p tcp -m tcp --dport 22 -m state --state NEW -m recent --set --name DEFAULT --mask 255.255.255.255 --rsource
iptables -A INPUT -p tcp -m tcp --dport 22 -m state --state NEW -m recent --update --seconds 60 --hitcount 7 --name DEFAULT --mask 255.255.255.255 --rsource -j DROP
Black_Shadow ★★★★★
()
Ответ на: комментарий от Gotf

Если бы роутер был за NAT, они бы не достучались никогда.

а если бы у роутера был бы длинный 128-битный IPv6-адрес (вместо коротенького 32-битого IPv4) — то тоже не сильно высокая вероятность что ктайцы стали бы сканировать всю IPv6-сеть :-)

user_id_68054 ★★★★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
← Настройка маршрутизации dd-wrt для l2tp Билайн
Admin
openwrt dhcp doesn't work →