ssh csatlakozások száma /ip

[quote:60a4a66c46="OxY"]ipfw-t néztem már énis, de csak végszükség esetén állnék át ipf-ről..

És ki mondta, hogy állítsad át? Ez a szép ebben a FreeBSD-ben, hogy minden további nélkül használhatod akár mind a három tűzfalprogit párhuzamosan - azaz megy az eddig ipf, csak éppen pluszban belövöd a fent említett ssh-s szabályt is. Természetesen gyorsabb nem lesz attól, hogy ketten is ugyanazt csinálják, de értelmes szabályrendszerrel nem veszítesz oly sokat.

Nekem is tele lett a hocipom, no meg a logparticiom, foleg, hogy mar magyar nevekkel is probalkoznak a magyar .hu -s szerveren. Megrettenni azert nem rettentem meg, mert root letiltva, a usereknek is atombonyolult jelszavaik vannak. Apropo userek: sajnos miattuk nem tettem at en sem a portot, IP tiltassal mar telelenne a tuzfalszabalylista, maxconnections? - es ha 10 en probalkoznak, akkor te mar nem tudsz kapcsolatot kezdemenyezni? Sza userek es egyeb dolgok miatt bonyolult dolgok, mint pl portknock nem jon be, ezert en azt csinaltam, hogy a port alapbol zarva, el kell latogatni egy cgi-s weboldalra a szerveren, ami egy localhost daemonnal kapcsolodik, es a daemon nyitja a REMOTE_ADDRESS fele a portot 30 sec ig... 3 napja teszteljuk, egyelore jol muxik, es a userek se nyafognak.
Ha erdekel, elkuldhetem a cuccost.

Azt elfelejtettem irni, de sejtheto, hogy cgi-bin-es apache kell hozza, a cuccot perlben irtam, a daemon-t (x)inetd hivja fel keres eseten.

hát, iptables limit match-ével megy: -m limit --limit 5/min

Miért is nem szeretnéd elrakni a 22-es portról. Nekem ez sokat segített.

Laci

Akkor talán ez:
http://docs.freebsd.org/cgi/getmsg.cgi?fetch=8353+0+/usr/local/www/db/text/2005/freebsd-ipfw/20050522.freebsd-ipfw

limit {src-addr | src-port | dst-addr | dst-port} N

Nézd meg itt: man sshd_config
Ezt keresd: MaxStartups

[quote:7a47c79865="OxY"]1, a rendszer freebsd, itt nincs iptables
2, tudom, hogy sokat segít, de mégse megoldás, több szempontból is maradnia kell a default porton, ezen sajnos nemtudok változtatni

Ha tudsz változtass kulcsos authra és lehetőleg azokat a tarományokat engedd be a 22-es portra, amiknek kell az SSH. Az allowusers es allowgroups szintén kötelező jellegű, ha még nem eröltetted. Gondolom a root ssh tiltott eleve. Én azt is meg szoktam játszani, hogy a szkennelő IP-jének full tartományát (/24 vagy /16) simány fullosan egy block in quick from... to any -vel kivágom. Ha esetleg magyar helyről jön, akkor írok az ISP abuse címére és ez általában beválik. Általában mindenféle brazil, távol-keleti és hasonló helykről jönnek, amik azért nem túl nagy problémázással tilthatók.

Ja, ha nagyon zavar az inetd, esetleg nézd meg a Bernstein-féle daemontools-t (bár baromi rég volt, a fene se emlékszik, lehet-e ilyen korlátozásokat csinálni vele, mint az alap FreeBSD-s inetd-vel).

Rovid nezelodes utan nemsikerult megtalalnom, hogy BSD-t tamogatja e, egyebkent nagyon jokis progi:
http://fail2ban.sourceforge.net/

Mik

en ssh-t csak localhostrol es tun0 -rol engedek fellepni (vpn)