sshd 9.8 PerSourcePenalties как не забанить самого себя

ban по ip - это палка о двух концах.

У тебя задача выставить доступный всем в инете sshd с PasswordAuthentication?

Повесь sshd на 58885 порт, это порт магический, его не сканируют и не брутфорсят

Предпочитаю банить брутфорсеров максимально надолго.

Сейчас суровые параметры такие

При таком уровне паранои, рекомендую port-knocking, работает он так:

0. по умолчанию, sshd закрыт для всех, и слушает на :58885 порту
1. knockd запущен на том же сервере что и sshd, он открыт для всех, и слушает на :45554 порту
2. для того чтобы зайти по ssh, клиент должен «постучаться» TCP SYN на порт knockd

telnet <server_ip> 45554

3. knockd по этому событию открывает доступ с этого IP до порта :58885

4. ssh <server_ip> -P 58885

5. …

6. PROFIT

Первая ссылка в гугле https://goteleport.com/blog/ssh-port-knocking/

Повесь sshd на 58885 порт, это порт магический, его не сканируют и не брутфорсят

Теперь будут. )

Повесь sshd на 58885 порт, это порт магический, его не сканируют и не брутфорсят

До первого апреля еще далеко.

А для особых параноиков есть one time port knocking.

TC не ответил какая задача решается.

тред не читай @ сразу отвечай

Я прочитал тред и не стал ничего советовать пока ТС не озвучит задачу которую он пытается решить при помощи PerSourcePenalties.

Переборы паролей раздражают только когда они разрешены для всех.

спасибо, локальная задача была не забанить себя, noauth:10m grace-exceeded:10m вроде помогли, но насколько снизили эффективность защиты - непонятно. статистики как у fail2ban/sshguard тут нет.

глобальная задача - оптимально защитить sshd минимальными средствами, fail2ban на мелких VPS в топе потребителей

port knocking - минималистичное решение, уже кое-где использую, но тут тоже интересный вопрос чем стучать в полевых(чужой пк) условиях? броузером как-то не ловко, кто чем пользуется?

чем стучать в полевых(чужой пк) условиях?

telnet/netcat есть в *nix, osx, win

оптимально защитить

минимальными средствами

1. повесить sshd на порт 58885

2. при обращении любого IP на :22 tcp порт сервера -> автоматически добавлять его в блеклист на N часов при помощи fail2ban

спасибо, в win по-умолчанию telnet нет, хотя ssh - есть, можно и им стучаться как и броузером

спасибо, в win по-умолчанию telnet нет

Разве? Мне всегда казалось (все 8 раз когда я пользовался виндой, что можно сделать так: пуск->выполнить->cmd) и там есть telnet

хотя ssh - есть

Разве в дефолтной винде теперь ssh поставляется из коробки? Если да - то можно стучаться (делать TCP ACK) им.

броузером

самый универсальный метод, не вижу в нем ничего плохого, главное чтобы порты были открыты наружу

спасибо, хоть альтернативные порты и одинаково брутфорсят, но я по-привычке всегда переношу, fail2ban давно использую, хорошая штука.

Наружу постоянно только ssh по ключу. Остальное через порт-кнокинг.

Есть очень интересный вариант порт-кнокинг через icmp - несколько пингов разной длинны.