Приветствую Вас, друзья.
В связи с публикацией средств шпионажа ЦРУ вспомнил о совей впс-ке: надо что-то делать с фаерволом. Руки никак не доходили, а там у меня караул.
На 443 порту крутится sslh, который перебрасывает соединения на ssh и nginx. Хочу средствами iptables сделать эффективную защиту ssh от назойливых переборщиков паролей (вход root сделан по сертификату, но есть и обычный пользователь с паролем, на случай отсутствия при себе сертификата). Временно фаервол настраивается так (выдержка):
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -I INPUT -p tcp -m osf --genre NMAP -j DROP
iptables -A INPUT -p tcp -m tcp --dport 443 -m state --state NEW -m hashlimit --hashlimit 1/hour --hashlimit-burst 2 --hashlimit-mode srcip --hashlimit-name SSH --hashlimit-htable-expire 300000 -j ACCEPT
