[BSD] Instalacja i konfiguracja DenyHosts - Bezpieczne SSH

[Xyli]

Witam!

W tym poradniku opiszę Wam sposób instalacji i konfiguracji Denyhosts'a.

 

Co to jest Denyhosts?

Denyhosts to zabezpieczenie SSH, które wykrywa nieprawdiłowe logowania do protokołu SSH, ataki brute-force i blokuje IP z których był owy atak.

 

Instalacja:

Aktualizujemy porty (/usr/ports):

# portsnap fetch update

 

Otwieramy katalog z Denyhosts'em.

# cd /usr/ports/security/denyhosts

 

Rozpoczynamy instalację.

# make install clean

 

Konfiguracja:

Otwieramy edytor ee z plikiem hosts.allow.

# ee /etc/hosts.allow

 

Dopisujemy na końcu poniższe dwie linijki:

sshd : /etc/hosts.deniedssh : deny
sshd : ALL : allow

 

 

Plik konfiguracyjny znajdziemy tu i radziłbym go edytować:

/usr/local/etc/denyhosts.conf

 

 

Edycja pliku konfiguracyjnego:

 

Odpowiada za czas po jakim IP będą odblokowywane. Jeżeli zostawimy puste, IP nigdy nie będą odblokowywane. (Proponuję zostawić puste)

PURGE_DENY =

 

Ta linijka mówi, czy ma być blokowany dostęp do sshd, czy do wszystkich pakietów serwera. (Proponuję ustawić blokowanie do wszystkich. "ALL")

BLOCK_SERVICE = sshd

BLOCK_SERVICE = ALL

 

Ścieżka do logów (Proponuję zostawić tak jak jest).

SECURE_LOG =

 

Ta linijka odpowiada za ilość możliwych błędnych logowań po których ma zostać zablokowany dostęp. Domyślnie jest 5 prób. (Według mnie maksymalnie można zmienić na 3)

DENY_THRESHOLD_INVALID = 5

 

Tutaj ustawiamy po ilu próbach błędnych logowań na konto root (super-administrator) ma zostać zablokowane połączenie. Domyślnie jest 1 i proponuję tak zostawić.

DENY_THRESHOLD_ROOT = 1

 

Włączenie tej opcji powoduje blokowanie IP po próbie zalogowania się przy użyciu loginu wymienionego w pliku restricted-usernames. Domyślnie opcja ta jest włączona.

DENY_THRESHOLD_RESTRICTED = 1

 

Ta opcja pobiera już zablokowane IP z głównego serwera Denyhosts'a. (Polecam to uruchomić)

SYNC_DOWNLOAD

SYNC_DOWNLOAD = yes

 

Ta opcja odpowiada za częstotliwość aktualizacji bazy zablokowanych IP. (Proponuję ustawić na 3-5h)

SYNC_INTERVAL

SYNC_INTERVAL = 4h

 

Opcja ta wysyła zablokowane IP od nas do serwera. (Ja jak konfiguruję to tę opcję dezaktywuję).

SYNC_UPLOAD =

 

Tutaj podajemy email, jeśli chcemy, żeby informował nas Denyhosts jakie zablokował IP.

ADMIN_EMAIL =

ADMIN_EMAIL = [email protected]

 

 

 

Komendy włączające, resetujące i wyłączające Denyhosts'a.

# /usr/local/etc/rc.d/denyhosts start
# /usr/local/etc/rc.d/denyhosts restart
# /usr/local/etc/rc.d/denyhosts stop

 

 

Wzorowałem się lekko na tym:

http://x69.passnet.pl/?p=869

 

Pozdrawiam, Xyli.

[Terenzo.]

Nie wysiliłeś się pisząc tego tuta, ale napewno się przyda..lajk ;>

[Xyli]

@Up.

Jeszcze go poprawię, bo teraz muszę spadać.

[Badar]

@Up.

Jeszcze go poprawię, bo teraz muszę spadać.

 

Jak już opisujesz konfiguracje to się wysil i daj przykładowe reguły )

[`SkaCzuS.]

Dobre, Kolejna blokada ; >

[Terenzo.]

Jeszcze pare zabezpieczeń i sami nie zalogujemy się na konto root'a... Taki żarcik

 

[Xyli]

Poradnik został poprawiony

Jest przejrzystszy i bardziej zrozumiały.

 

Pozdrawiam, Xyli.

[JonyNawa1ony]

@Xyli

 

Mógłbyś wrzucić tutaj swój skonfigurowany plik denyhosts.conf ?

Bardzo bym prosił.

[szeler]

Mam ten deny host właczony loguje błednie na ssh ale nnie blokuje mnie nie wiem dlaczego;/

[.:KuKiS:.]

wywala:

 

Error code 1, jak to naprawić?

[Evelen]

Daj wiecej informacji. Na informacja o błędzie powinno być w czym tkwi problem.

[Renthor.eu]

RSA+PF i dziękuje bardzo.

[Haronis]

Przyda się Like leci ;]

[KoSuU]

Ja mam taki problem:

 

 

# /usr/local/etc/rc.d/denyhosts onestart
Starting denyhosts.
Traceback (most recent call last):
  File "/usr/local/bin/denyhosts.py", line 164, in <module>
    first_time, noemail, daemon)
  File "/usr/local/lib/python2.7/site-packages/DenyHosts/deny_hosts.py", line 78, in __init__
    self.get_denied_hosts()
  File "/usr/local/lib/python2.7/site-packages/DenyHosts/deny_hosts.py", line 272, in get_denied_hosts
    for line in open(self.__prefs.get('HOSTS_DENY'), "r"):
IOError: [Errno 2] No such file or directory: '/etc/hosts.deniedssh'
 
DenyHosts exited abnormally

[Quori]

tak się zastanawiam jaki to ma sens ;/ nie wystarczy ustawić root'a na ip?

[NlSMO]

tak się zastanawiam jaki to ma sens ;/ nie wystarczy ustawić root'a na ip?

Jaki jest sens ustawiania roota na ip? Firewall wystarczy.

[gryzon95]

Hmm...a ja mam problem z instalacją.

 

 

 

 

 

http://iv.pl/images/14891883382032542500.png

 

Pomógłby ktoś ?

 

EDIT:

 

Zmieniłem link do ss. Tamten problem rozwiązany, jest natomiast kolejny.

[Coroner ♠]

Twoj sposob nie dziala prawoidlowo...

Nie mam pojecia za co te lajki dostales skoro to nie ma prawa dzialac:/