Login z dynamicznego IP na serwer z firewallem

[oscarr]

Mam wykupiony hosting w OVH i chciałbym zabezpieczyć się przed próbami włamania. Jak na razie wyłączyłem wszystkie zbędne usługi. Zostawiłem jedynie ssh sftp - bo te potrzebuję.
Najchętniej ograniczyłbym jednak dostęp za pomocą iptables tylko do aktualnie posiadanego przeze mnie IP.

Mam skonfigurowaną usługę dyndns, ale nie wiem czy da się to wykorzystać.
Czy można w iptables wpisać moją domenę z dyndns tak aby serwer wpuszczał próby logowania tylko z IP skojarzonego z domeną ?

Może macie jakiś inny pomysł ?

[ethanak]

Nie można - nazwa rozwiązywana jest w chwili wydania polecenia iptables, a nie w chwili przyjścia pakietu.
Inny pomysł? Dobre hasło.

[oscarr]

Hasła stosuję długie i ze znakami specjalnymi - więc raczej dobre.
Skróciłem grace_time do 20 sekund (ze standartowych 2 minut) i zastanawiam się nad 10 sekundami (bo to powinno starczyć na wpisanie hasła).
Ilość prób logowania ograniczyłem z 3 do 2.

Chciałbym jeszcze dowiedzieć się jak długo blokowany jest dany adres po nieprawidłowym podaniu hasła (w 2 próbach) i ewentualnie wydłużyć czas blokady próby loginu z tego IP, ale nie mogę nigdzie znaleźć tych informacji i nie wiem jak zmienić tę blokadę.

Ciekawi mnie również możliwość ustawienia interwału między poszczególnymi próbami logowania - czyli w efekcie chyba chodzi o czas w jakim serwer odpowiada na połączenie ssh.

Wszystkie te zabezpieczenia interesują mnie dlatego, że w ciągu minuty mam minimum 3 próby logowania na serwer z różnych adresów IP i chciałbym się zabezpieczyć przed atakiem typu brute force.


Myślałem też o postawieniu jakiegoś VPNa, ale w tym wypadku albo musiałbym postawić go na wspomnianym serwerze, czyli serwer musiałby i tak mieć otwarty port VPNa, albo musiałbym korzystać z rozwiązania typu HAMACHI w którym dostęp do serwera ograniczony by był działaniem serwera VPN firmy logMEin. Gdyby Hamachi wywaliło to byłbym w ....

[rob006]

Może zainteresuj fail2ban.
Zmiana portu ssh na niestandardowy też odsiewa sporą ilość automatów.

[Ubek308]

Poczytaj o 'port knocking'.
Tego uzywam od kawalka czasu bedac w podobnej sytuacji.

[luk1don]

Do ssh masz sshguard, skonfiguruj.