Кто-то хочет подобрать пароль. Как с этим бороться?

http://www.hexten.net/pam_abl/

надо б в faq

> надо б в faq

сделал: http://ivlad.unixgods.net/lor-faq/lor-faq.shtml#3.12

Крутая штука :-) Только я никак не могу разобраться. Запускаешь make install, копируешь конфиг pam_abl.conf в /etc/security/ А что делать дальше?

У меня подобные логи были до 1MB в сутки. А с какими логинами ломились - вообще песня, имена всех наций и народностей. Сделал тупо - изменил порт sshd с 22 на фонарный. Теперь чистота ...

> А что делать дальше?

дальше - включить модуль в цепочку аутентификации для ssh:

auth required /lib/security/pam_abl.so config=/etc/security/pam_abl.conf

в документации написано.

Я это прочитал, но я сегодня туго соображаю :-( Там есть файл system_auth в папке conf, где есть в том числе и эта строчка, а в документации написано несколько подобных строк. В какой файл надо это вписать?

Перемести sshd с 22 на другой порт и/или закрой файрволом и пускай только избранных.

Но ведь нехороший человек может вычислить на каком порте висит ssh. А пускать только избранных не получится, потому что хотелось бы оставить возможность иногда подключаться из дома, а там получается динамический ip

> Я это прочитал, но я сегодня туго соображаю :-(

читай до просветления :)

> Там есть файл system_auth в папке conf, где есть в том числе и эта строчка, а в документации написано несколько подобных строк. В какой файл надо это вписать?

в тот файл, что бы это попало в стек аутентификации ssh. если system_auth попадает, то вписать в него.

Нехорошие люди/программы обычно не тратят лишнее время и не обнаружив ssh на 22 отваливают. Интернет большой...

Пропиши такое и уменьшиш себе трафик -A INPUT -p tcp -m tcp --dport 22 -i eth2 -m state --state NEW -m hashlimit --hashlimit 24/m --hashlimit-burst 2 --hashlimit-mode srcip --hashlimit-name SSH --hashlimit-htable-expire 360000 -j ACCEPT

Если я все правильно понял, то надо прописать строчку auth required /lib/security/pam_abl.so config=/etc/security/pam_abl.conf в файл /etc/pam.d/system_auth и все заработает. Верно?

Это строчка из моего IPtables (etc/syscofig) или просто пропиши эту строчку в башфайле и запускай при старте

А еще в /etc/cron.hourly можно скрипт закинуть:

#!/bin/bash
grep -v ssh /var/log/messages >/tmp/msgs
mv /tmp/msgs /var/log/messages

А если не поможет, то еще в папку /etc/cron.weekly

#!/dev/hands
drink iad

Я юзаю в этом случае модуль recent. Интересно, что менее "ресурсо-затратно", -m hashlimit или -m recent...

можно еще модуль limit использовать. логи чистейшие. хотя recent по моему мнению предпочтительней.