Ломанули сервер

ERT, ну ЁПТ!? :O oO
Сам себе злой негодяй.

Не опытность и лень сменить пароль через команду passwd. Две минуты делов. Будет наука.
Если это из-за подбора пароля, то не беда, я сейчас за час все переустановлю и настрою.

Даааа. Настроил безопасность так, что и сам теперь не могу удаленно подключиться к серверу по SSH wink

С ssh2 что нибудь придумай.

Я добавил в sshd_config вот эту строку: AllowUsers werauchimmer. И перестало пускать по SSH даже локально. Убрал пока что - все нормально
Как я понял, нужно создавать пользователя SSH, если присутствует эта строка в конфиге?

ERT написал:

Как я понял, нужно создавать пользователя SSH, если присутствует эта строка в конфиге?

нет не нужно.

Но после удаления строки AllowUsers werauchimmer из sshd_config, стало пускать по SSH.
В чем тогда была проблема?

Подскажите, что это за ошибки в fail2ban?

2011-10-05 07:56:35,758 fail2ban.actions.action: ERROR  iptables -n -L INPUT | grep -q fail2ban-ssh returned 100
2011-10-05 07:56:35,758 fail2ban.actions.action: ERROR  Invariant check failed. Trying to restore a sane environment
2011-10-05 07:56:35,792 fail2ban.actions.action: ERROR  iptables -D INPUT -p tcp -m multiport --dports ssh -j fail2ban-ssh
iptables -F fail2ban-ssh
iptables -X fail2ban-ssh returned 100

Вот это правило не совсем работает:

iptables -A INPUT -s 80.53.125.66 -j LOG --log-prefix "IP 80.53.125.66 DROP:"
iptables -A INPUT -s 80.53.125.66 -j DROP

После перезагрузки firewall:

iptables v1.4.8: unknown option `--log-prefix'

И снова в auth.log IP, который я блокирую iptables. Опять пытаются залезть на сервер через SSH.

# iptables -v -A INPUT -s 80.53.125.66 -j LOG --log-prefix "IP 80.53.125.66 DROP:"
LOG  all opt -- in * out *  80.53.125.66  -> 0.0.0.0/0   LOG flags 0 level 4 prefix "IP 80.53.125.66 DROP:"
# iptables -v -A INPUT -s 80.53.125.66 -j DROP
DROP  all opt -- in * out *  80.53.125.66  -> 0.0.0.0/0  
#

Как видишь работает.

Добавил в правило -v - действительно работает, но почему ругается?

iptables v1.4.8: unknown option `--log-prefix'
Try `iptables -h' or 'iptables --help' for more information.

А самое главное, что я добавил еще один IP, а он сегодня снова появился в логах.
[console]Oct 5 19:03:46 evolutiongame sshd[26142]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=ip-174-142-39-135.static.privatedns.com user$
Oct 5 19:03:49 evolutiongame sshd[26142]: Failed password for nobody from 174.142.39.135 port 39628 ssh2
Oct 5 19:03:50 evolutiongame sshd[26156]: Invalid user ftpuser from 174.142.39.135
Oct 5 19:03:50 evolutiongame sshd[26156]: pam_unix(sshd:auth): check pass; user unknown
Oct 5 19:03:50 evolutiongame sshd[26156]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=ip-174-142-39-135.static.privatedns.com
Oct 5 19:03:52 evolutiongame sshd[26156]: Failed password for invalid user ftpuser from 174.142.39.135 port 39972 ssh2
Oct 5 19:03:53 evolutiongame sshd[26170]: Invalid user PlcmSpIp from 174.142.39.135
Oct 5 19:03:53 evolutiongame sshd[26170]: pam_unix(sshd:auth): check pass; user unknown
Oct 5 19:03:53 evolutiongame sshd[26170]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=ip-174-142-39-135.static.privatedns.com
Oct 5 19:03:55 evolutiongame sshd[26170]: Failed password for invalid user PlcmSpIp from 174.142.39.135 port 40261 ssh2
Oct 5 19:03:57 evolutiongame sshd[26172]: Invalid user cron from 174.142.39.135
[/console]

ERT, покажи конфиг fail2ban.
ы. Читай ещё:
http://www.stateiki.net/showthread.php?t=541
http://aidalinux.ru/w/%D0%97%D0%B0%D1%89%D0%B8%D1%82%D0%B0_ssh_%D1%81%D1%80%D0%B5%D0%B4%D1%81%D1%82%D0%B2%D0%B0%D0%BC%D0%B8_iptables
http://de-gis.livejournal.com/107074.html
http://sysadminblog.ru/linux/2011/06/29/zaschita-ssh-i-ftp-ot-brutforsa.html
http://doc.pcn.com.ua/PDF/root.ua/rootua16/00000000/6-3.html

Конфиг fail2ban дефолтный. Он банит, как я понял на 10 минут, потом снимает бан (исходя из того, что в логе).

ERT, так сделай через fail2ban на сутки и бань попытки не только на ssh, но и на ftp...
Плюс удали модуль php-ssh2
[console]aptitude purge php-ssh2[/console]

Я уже понял. Правлю.
Решил воспользоваться этим маном http://sysadminblog.ru/linux/2011/06/29/zaschita-ssh-i-ftp-ot-brutforsa.html
Не могу найти, куда установился sshguard, а точнее подключить логи:

теперь нам надо подключить анализ логов, делаем:
tail -n0 -F /var/log/auth.log | /usr/local/sbin/sshguard &

Файл /var/log/auth.log смотрел?

За последние 6 часов в логе нет попыток подключения. В fail2ban увеличил время бана до 3600 и добавил ftp.
Так не стоило устанавливать sshguard?

ERT, вообще что-нибудь одно, как бы конфликтов не было, хотя может и не будет.
Если что останови какой-нибудь один сервис.

ERT написал:

Я уже понял. Правлю.
Решил воспользоваться этим маном http://sysadminblog.ru/linux/2011/06/29/zaschita-ssh-i-ftp-ot-brutforsa.html
Не могу найти, куда установился sshguard, а точнее подключить логи:

Сделал:
[console]cp /etc/blocksshd/blocksshd.conf.sample /etc/blocksshd/blocksshd.conf
nano -w /etc/blocksshd/blocksshd.conf[/console]
???
Читай внимательней http://doc.pcn.com.ua/PDF/root.ua/rootua16/00000000/6-3.html

Я понял. Думал, что эти две службы выполняют совершенно разные функции.
Настроил конфиг fail2ban, а sshguard удалил. Посмотрим что будет в логах в течение завтрашнего дня.
А вот этот модуль, php-ssh2, я собирался использовать. Можно и обойтись без него конечно. Лучше удалить?

Так я не blocksshd устанавливал, а sshguard. Или это одно и то же?