☰

fail2ban e denyhosts me banem constantemente no Ubuntu

tag-icon • tag-icon security ssh fail2ban denyhosts
fail2ban e denyhosts me banem constantemente no Ubuntu

Acabei de receber uma instância do Ubuntu no Linode. Para proteger o SSH nele, instalei fail2ban(usando apt-get), mas tive um problema: fail2bancontinuei banindo meu IP (por períodos limitados, felizmente) mesmo digitando a senha correta. Então eu removi fail2bane instalei denyhosts. O mesmo problema, mas mais grave: parece que toda vez que faço SSH, meu IP é banido. Eu o removo /etc/hosts.deny, reinicio denyhostse faço login novamente, e meu IP é banido novamente.

A única explicação que consigo pensar é que estou usando SSH como root (sim, sim, eu sei); talvez algo esteja definido em algum lugar que bloqueie qualquer pessoa que faça login via SSH como root, mesmo que efetue login com sucesso? Isso me parece bizarro. Alguma ideia? (Colocar meu IP na lista de permissões é uma solução temporária. Não quero poder fazer logon apenas a partir de um IP.)

Responder1

Acredito ter visto alguém dizer que alguns desses aplicativos contarão logins de chave com falha como uma tentativa de força bruta. Você tem um agente ssh rodando com chaves? A conexão com esse conjunto oferecerá todas as chaves antes de voltar à senha, e pode ser por isso. Tente definir o nível de log do sshd mais alto e verifique os logs fail2ban/denyhost.

Editar:aquié a fonte original que me avisou, com uma maneira de consertar.

Responder2

por favor revise os seguintes links:

se você quiser descartar toda a ideia do fail2ban e denyhosts, faça como Nathan Powell diz abaixo, mude da porta 22 para algo mais obscuro

também mais algumas ideias:

  1. iptables: o exemplo a seguir irá descartar conexões de entrada que fizerem mais de 2 tentativas de conexão na porta 22 em dez minutos:

    iptables -I INPUT -p tcp --dport 22 -i eth0 -m state --state NEW 
         -m recent --set

iptables -I INPUT -p tcp --dport 22 -i eth0 -m state --state NEW
         -m recent --update --seconds 60 --hitcount 4 -j DROP

  2. login baseado em chave

  3. aldrava de porta (knockd)

Responder3

Se o sshd estiver definido para o nível de registro VERBOSE (ou superior), ele colocará a frase '...Falhou nenhum...' no log do sistema sempre que um usuário efetuar login com sucesso. Por padrão, o fail2ban está configurado para contar isso como uma falha . Resolvi o problema definindo o nível de log do sshd novamente para INFO.

Para obter detalhes, consulte minha resposta a esta perguntafail2ban me bane após uma série de logins *bem-sucedidos*

Responder4

Se você estiver aberto a voltar ao fail2ban, você sempre poderá usar a ignoreipdiretiva no arquivo jail.conf. Por exemplo:

ignoreip = 127.0.0.1 192.168.1.0/32

Dessa forma, você não será bloqueado com sua digitação desleixada ;-) Isso também significa que as pessoas não podem bloqueá-lo falsificando seu IP (embora com qualquer tráfego TCP isso não seja uma grande preocupação).

informação relacionada