Защита sshd

fail2ban
// простыню не читал

А почему не ключи вместо паролей?
По теме, sshguard, PAM ещё.

knockd

Можно ещё запретить root логин и создать пользователя в wheel. Тогда для получения рута надо будет два пароля или ключ+пароль.

ерундой маешься

99% попыток взлома ты уже отсек перевешиванием на другой порт. Теперь просто запрети парольный доступ и скажи своей паранойе, чтобы успокоилась.

другой порт говоришь?

security by obscurity?

ню-ню

PermitRootLogin without-password

и

table <bruteforce> persist
block in quick on egress from <bruteforce>
pass in on egress proto tcp to port ssh keep state (max-src-conn-rate 5/15, overload <bruteforce> flush global)

(pf syntax, как его превести на ipwf — не знаю) — блочит особо ярых

ну и

pfctl -q -t bruteforce -T expire 3600

в cron, шобы снять блок через н-ное время

и всё, всё остальное от лукавого.

Но зачем напрягать пакетный фильтр тупой работой, если проще отсечь ботов перевешиванием на другой порт?

p.s. это не obscurity - кому надо, те найдут легко и быстро.

а это и так его работа. зачем его тогда вообще держать? да и ботов бояться — в сеть не ходить.

именно, что obscurity, только самому себе неудобства создавать.

какие неудобства? один раз записать в .ssh/config?

это только если у тебя один localhost. ;) если же этих localhost'ов over9000 — то заеб*ся. это раз.

во вторых — всё, что нагло стучиться в 22 — это тупые боты, а их бояться смысла вообще никакого нет. особо наглых — в баню (смотри выше), шоб логи не засирали.

ну и реальных хаков через ssh или попыток оных я уже лет десять как минимум не встречал и даже не слышал о подобном.

т.ч. вся эта параноя и переброс портов для немытых школьников.

т.ч. вся эта параноя и переброс портов для немытых школьников.

плюсую
даже 8 символьный пароль брутить они будут лет 500. тем более, такие боты брутят только по словарям

а их бояться смысла вообще никакого нет

они неплохо нагружают и сетевую подсистему, и дисковую

т.ч. вся эта параноя и переброс портов для немытых школьников.

зачем мне лишние записи в логах?

это только если у тебя один localhost. ;) если же этих localhost'ов over9000 — то заеб*ся. это раз.

у меня их прямо сейчас

$ grep HostName .ssh/config |wc -l
660

они неплохо нагружают и сетевую подсистему, и дисковую

Долбиться они будут так или иначе. Т.ч. выиграша тут шерсти клок, а точнее ноль целых ноль десятых. К тому же это не тот обьём ирафика, о котором стоило бы задумываться.

зачем мне лишние записи в логах?

А оно тебе мешает? Как по мне — то лучше знать, чем глаза закрывать.

у меня их прямо сейчас over600

Молодец, ещё один emacs-конфиг. Теперь потеряй его и мучительно вспоминай где какой порт про прописан. Молчу о ситуации, кагда доступ из разных точек нужен.

Долбиться они будут так или иначе. Т.ч. выиграша тут шерсти клок, а точнее ноль целых ноль десятых. К тому же это не тот обьём ирафика, о котором стоило бы задумываться.

на порт, отличный от 22, не долбятся. 6-8к cps

А оно тебе мешает? Как по мне — то лучше знать, чем глаза закрывать.

да, мешает: из-за них сложно вычленить реальных людей. Зачем мне знать, что боты брутят мой ssh?

Молодец, ещё один emacs-конфиг. Теперь потеряй его и мучительно вспоминай где какой порт про прописан. Молчу о ситуации, кагда доступ из разных точек нужен.

он бэкапится в три разных места, одно из которых - svn репозиторий.

Что-то ты окончательно заврался.

в каком месте?

От шести до восми килоконнектов в секунду на порт, извени, но просто не верю. Ну и over600 хостов в твоём конфиге тоже как-то совсем не вяжется с явными признаками красноглазия.

Из over600 хостов в интернет смотрят от силы полсотни, остальные - чисто внутренние ресурсы (в основном dev-площадки). 8k cps я на одном из этих внешних серверов (шаред-хостинг) видел своими глазами, и после этого решил, что пусть лучше мой sshd повисит на 2200 - юзерам как-нибудь да объясню. Сказать, что я тогда офигел - ничего не сказать :) Спас IPMI. Логов не покажу, поскольку это было два года назад.

тогда может быть, но были явно не боты ;)

Довольно часто наблюдаю в среде, казалось бы профессиональных админов, тайных одептов БоХаЦе, пропагандирующих мем: «ОНИ НИ.УЯ НЕ ЗДЕЛАЮТ!» ( Что это? Профессиональное выгорание или банальная лень?

это только если у тебя один localhost. ;) если же этих localhost'ов over9000 — то заеб*ся. это раз.

Чудненько! over9000 порутанных серваков в случае нахождения одэя. А ведь как сложно применить сценарий: стучимся на, скажем, 2200 порт, нет ответа - стучимся на 22. И ничего запоминать не надо.

во вторых — всё, что нагло стучиться в 22 — это тупые боты, а их бояться смысла вообще никакого нет.

И как по Вашему хакер будет искать уязвимые версии ssh? Открою Вам страшную тайну: он не будет руками перебирать сетку /0, он соберет их с помощью ботсети.

fail2ban, knockd

переброс портов для немытых школьников.

С чего бы это? Смена порта - это весело и питательно, позволяет отсеять ботов и юных кулхацкеров, которые умело какают в логи. Но вот лично я не меняю порт, ибо без них мне скучно и одиноко :(