*SCRATCH* Я в разделе "limit" мана ничего про IP не нашел... Это ограничение действует для отдельных хостов? То есть, для каждого IP счетчик пакетов в секунду отдельный?
Законопослушный пользователь с ip адресом отправителя флуда?
Мне казалось, что отправитель флуда в поле source_address флуд-пакетов может указывать что угодно (в том числе IP законопослушных пользователей - для пущего смеха): ему ведь не нужны ответы сервера... Т.е. он может генерировать случайный IP для каждого пакета.
Мне казалось, что отправитель флуда в поле source_address флуд-пакетов может указывать что угодно (в том числе IP законопослушных пользователей - для пущего смеха): ему ведь не нужны ответы сервера... Т.е. он может генерировать случайный IP для каждого пакета.
Это тоже легко прикрывается. А именно - дропать упорных это правильно. Но всё равно в журнале все равно регистрируются такие попытки. Однако стоит перенести 22-й порт, на который лезет пионЭрия, на какой угодно случайно выбранный номер где-то там, наверху, а 22-й закрыть перманентно, как количество попыток подбора пароля сокращается на порядки. Проверено лично. Как только порт перенес - ни одной попытки подбора нет.
Ну и к этому еще маленькая фишка - у меня в интернет смотрит роутер (тупой до безобразия), который умеет редиректить порты, внешние, случайно выбранные, на стандартные порты реальных хостов в LAN. И чтобы работать с реальными хостами (на стандартных портах) - поднимаем VPN (openVPN). Или, если VPN нет, то тогда идем "через порты роутера".
Спасибо за советы! Это я первым делом сделал. Самое простое и очевидное. К тому же, доступ разрешен только из LAN и входящих ВПН подключений.Однако стоит перенести 22-й порт, на который лезет пионЭрия
Я к тому - а как в подобном случае отличать упорных от неупорных? Ведь все подряд будут отметаться, а через сито 1 раз в секунду будут проходить случайные пакеты. В том числе - флудерские. Вернее: в большинстве своем флудерские, ибо их на порядки больше, нежели "честных".Это тоже легко прикрывается. А именно - дропать упорных это правильно.
Законопослушный пользователь с ip адресом отправителя флуда?
Вы о расширении recent?Я в разделе "limit" мана ничего про IP не нашел... Это ограничение действует для отдельных хостов? То есть, для каждого IP счетчик пакетов в секунду отдельный?
Спрошу иначе: при каком значении limit: 1/second или 50/second; SSH-сервис будет работать надежнее (с большей вероятностью отзовется на запрос законопослушного клиента) под SYN-flood DoS атакой?
Почитал на тему (D)DoS атак, вопрос снят. Всем спасибо!
Еще вопрос по ULOG. Хочу сделать несколько разных лог-файлов под разные задачи (например, лог ошибок/лог активности юзверей). Как я понял, он не умеет распихивать сообщения из разных nlgroup по разным лог-файлам. То есть, для этого надо запускать несколько экземпляров ulogd с разными конфигами, в которых указаны разные nlgroup и лог-файлы. Что не очень удобно.
Нашел в гугле инфу про тулзу 'specter' (форк от улога с поддержкой нескольких nlgroup одним демоном). Но вот подумал, что может быть есть что-то более новое/удобное. Не могли бы вы посоветовать что-то конкретное? Желательно что-то элементарное, навроде ulog'а.
Спасибо!
syslog-ng ток использовал log
