web before ssh ugy mint pop before smtp

UNIX haladó

sziasztok,

mivel iptables-sel csak par ip-t (ami fix) engedek ssh port kintrol, ezert nagyon hasznos lenne egy dinamikus cucc ami pl egy web loginra tolna egy accept rulet iptables-be kliens ip-vel, akar idozitett torlessel, akar klikkre mukodo torlessel... ilyen vagy ehhez hasonlo kesz free termek van-e? koszi!

(tudom hogy nem ordongosseg megirni egy ilyet, de ha mar letezik (vagy hasonlo) akkor nem akarom kitalalni)

  • 1867 megtekintés

ssh key-t hasznalok termeszetesen (es PasswordAuthentication no) , de ez nem megoldas arra, hogy a port tuzfal mogul ne is latszodjon

nem kell kattintgatni mp-kent, eleg egy login utan 30 percig iptables-ben ott a rule, utana vegye ki, ha hosszabb dolog kell akkor megyek a kenyelmetlenebb kerulo uton ssh fele...

az a valaki en leszek :) es nem a script log kifele, hanem egy cert based auth admin oldal, ahol gomb nyomasra hozza tudom addni egy bash script segitsegevel adott kiens ip-t iptables szabalyhoz... itt minden sajat cucc igy nem open source, igy meg ha bugos is, eleg nehezen kiismerheto, na tobbet nem mondhatok rola :) amugy koszi minden segitseget!

( eax | 2010. 08. 08., v – 12:35 )

Mert ugye az iptables-ben taknyolo webes szornyuseg sokkal secure-abb lesz, mint az opensshd.

--
Fontos feladatot soha ne bizz olyan gepre, amit egyedul is fel tudsz emelni!

Nyílván nem az lesz a scriptben, hogy
exec("sudo iptables -A INPUT -p tcp -s $_GET[ip] -j ACCEPT");
Ennél mindenkinek több esze van.
Engem az jobban zavarna, hogy így a php-t futtató usernek sudo jogot kell adni(arról ne is beszéljünk, ha eleve rootként fut), ami egy esetleges hack-nél - ami nem csak emiatt a php miatt lehet - az egész rendszert kiszolgáltatja.

Egyébként a legtöbb botnet, stb. ellen jó megoldás az is, ha az ssh egy megfelelően nagy porton fut, az iptables-be pedig beleraksz egy kis portscan elleni védelmet.

---
BME-VIK '09
Compaq Mini 311 - N270 @ 2323 MHz - 3GB DDR3 @ 1240 MHz - ION

Oké, hirtelen ilyenekre nem is gondoltam :)
Így, ha normálisan meg van vizsgálva az input mindenféle injektálás ellen, akkor akár működőképes is lehet, és szintén a cron ki is törölheti a táblából.
php-cli használatával egész egyszerű is lenne összedobni a scriptet, ami ezt elvégzi :)

---
BME-VIK '09
Compaq Mini 311 - N270 @ 2323 MHz - 3GB DDR3 @ 1240 MHz - ION