RE: lastb
Wpisy „ssh: notty” / var / log / btmp wskazują na nieudane próby logowania z numeru portu SSH przypisanego w „/ etc / ssh / sshd_config”.
Ze względów bezpieczeństwa port SSH zwykle zmienia się na inny niż „22”. Zatem „ssh” w tym kontekście oznacza jedynie aktualnie przypisany (nie-22) numer portu SSH.
Ponieważ pomyślne uzgadnianie certyfikatu SSH POWINNY być zawsze wymagane, aby przejść do ekranu logowania, wszelkie wpisy dziennika „ssh: notty” prawdopodobnie wynikają z nieudanych prób logowania; zwykle z błędnie wpisanej nazwy użytkownika. Zanotuj adres IP powiązany z wpisem w dzienniku ... prawdopodobnie jest on twój!
„notty” oznacza „no tty”.
Dowiedz się o podstawowych zabezpieczeniach, jak to działa, gdzie są logi i jak je interpretować, gdzie są różne pliki konfiguracyjne i co oznaczają dyrektywy, a także jak konfigurować IPTables, przed skonfigurowaniem i użyciem serwera Linux. Ogranicz logowanie do „statycznego adresu IP” i ogranicz / ponów próbę logowania:
Dyrektywy konfiguracji BASIC SSH, które ograniczają logowanie i zezwalają tylko na logowanie od określonych użytkowników i adresów IP:
LoginGraceTime 30
MaxStartups 3:50:10
MaxAuthTries 4
PermitRootLogin no
AllowUsers YourUserName@YourIPAddress
PubkeyAuthentication yes
AuthorizedKeysFile %h/.ssh/authorized_keys
PasswordAuthentication no
Nie zapomnij „ponownie uruchomić” usługi SSH po edycji.
PODSTAWOWE reguły IPTables, które zezwalają na połączenia SSH tylko z określonego statycznego adresu IP:
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP
-A INPUT -m state --state INVALID -j DROP
-A INPUT -f -j DROP
-A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG NONE -j DROP
-A INPUT -p tcp -m tcp --tcp-flags FIN,SYN FIN,SYN -j DROP
-A INPUT -p tcp -m tcp --tcp-flags SYN,RST SYN,RST -j DROP
-A INPUT -p tcp -m tcp --tcp-flags FIN,RST FIN,RST -j DROP
-A INPUT -p tcp -m tcp --tcp-flags PSH,ACK PSH -j DROP
-A INPUT -p tcp -m tcp --tcp-flags FIN,ACK FIN -j DROP
-A INPUT -p tcp -m tcp --tcp-flags ACK,URG URG -j DROP
-A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN,SYN,RST,PSH,ACK,URG -j DROP
-A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG NONE -j DROP
-A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN,PSH,URG -j DROP
-A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN,SYN,PSH,URG -j DROP
-A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN,SYN,RST,ACK,URG -j DROP
-A INPUT -i lo -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp -s YourStaticIPAddress -m multiport --dports SSHPortNumber -j ACCEPT
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT
-A INPUT -j DROP
-A FORWARD -j DROP
COMMIT
Nie zapomnij „przywrócić” tabel IP po zmianach.
W sieci LAN lub w „hostowanym” środowisku chmurowym nie zapomnij zabezpieczyć „prywatnej” strony (adaptera sieciowego). Twoi wrogowie często mają już dostęp do twojej sieci i wchodzą tylnymi drzwiami.
Jeśli pracujesz w środowisku chmurowym, takim jak RackSpace lub DigitalOcean, i psujesz konfiguracje i blokujesz się, zawsze możesz wejść do konsoli i to naprawić. ZAWSZE ZRÓB KOPIE PLIKÓW KONFIGURACYJNYCH PRZED EDYCJĄ JEJ !!!