[iptables] Что лучше deny-by-default или accept

>при iptables -F ssh коннект не отвалится

Если вынуть вовремя, папой не станешь, да.
Однако современная цивилизация дает нам более удобные средства контрацепции.

Откройте для себя iptables-apply.

И чем же это более удобно? Еще один дополнительный скрипт, зачем к нему привыкать

Ешё небольшой вопросик :) Если у меня -P INPUT DROP и разрешено только ssh и state EST,REL, но на сервере у меня ещё крутятся www,smtp,bind,ftp, базы данных и т.д., то теоретически мой хост уязвим (remote) лишь для брута, openssh уязвимости и ядерной уязвимости (типа ping of death)?

ohshi~
пинг оф дед :D
DDOS-a сейчас стоит опасаться, остальное фигня
брут легко блочится через fail2ban, удаленные уязвимости в openssh? давно не слышал о таких

> пинг оф дед :D

да я утрировал канешно :) имелось ввиду ядерная уязвимость :)

удаленные уязвимости в openssh давно не слышал о таких

я тоже :)

брут легко блочится через fail2ban

да я пока не заморачиваюсь :)

itc:~# grep -i invalid /var/log/auth.log | wc -l

670

а как ддос распознать ^_^

>И чем же это более удобно?

Это удобно тем, что защищает от выстрела себе в пятку. // К.О.

Еще один дополнительный скрипт, зачем к нему привыкать

Кто не хочет учиться, идет работать в грузчики или во власть.
В сисадминство ему подаваться не след.

>Если у меня -P INPUT DROP и разрешено только ssh и state EST,REL, но на сервере у меня ещё крутятся www,smtp,bind,ftp, базы данных и т.д., то теоретически мой хост уязвим (remote) лишь для брута, openssh уязвимости и ядерной уязвимости (типа ping of death)?

В общем, да. Априорно предполагая, что никакой нечисти, устанавливающей бэкконнект, на твоем серваке нет.

Правда, не упомянута еще одна группа методов вскрытия ssh (кроме брутфорса и дыр в openssh) — то, что объединяется широким термином «социальная инженерия», начиная от кейлоггеров на твоей машине и заканчивая терморектальным криптоанализом. Не то, чтобы я уж очень это подчеркиваю, но забывать тоже не надо :)

Что касается DDoS'а, то тут он возможен в двух видах — на ssh-сервер (легко лечится кнокингом или fail2ban) и на забитие канала, т.е. пинги. Во втором случае сам ты сделать ничего не сможешь, придется обращаться к провайдеру.

Кнокинг и/или fail2ban рекомендую настроить уже сейчас, чтобы не париться потом.

Ну и, традиционно, обновляй софт почаще ;)

Спасибо большое за советы! Всё по полочкам разложено :)