☰

firewalld portas fechadas SSH ainda registrando tentativas de login com falha

tag-icon • tag-icon ssh firewalld
firewalld portas fechadas SSH ainda registrando tentativas de login com falha

Configurando um novo VPS com almalinux.

Eu configurei o firewalld com as seguintes configurações

  target: default
  icmp-block-inversion: no
  interfaces:
  sources:
  services: dhcpv6-client http https
  ports: 80/tcp 443/tcp 7822/tcp
  protocols:
  forward: no
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:

Por que ainda há tentativas de login com falha em /var/log/secure quando as portas às quais eles estão se conectando estão fechadas?

Apr 15 14:11:57 server sshd[46737]: Failed password for root from 148.113.133.177 port 43582 ssh2
Apr 15 14:11:57 server sshd[46737]: Received disconnect from 148.113.133.177 port 43582:11: Bye Bye [preauth]

Apr 15 14:12:15 server sshd[46743]: Invalid user chenyoumin from 27.254.149.199 port 60384
Apr 15 14:12:15 server sshd[46743]: pam_unix(sshd:auth): check pass; user unknown
Apr 15 14:12:15 server sshd[46743]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=27.254.149.199

Quando tento fazer login no servidor com uma porta aleatória: ssh -p 50645 [email protected]

ele retorna: ssh: connect to host server.com port 50645: No route to host

E nada está logado em /var/log/secure.

Atualizar

Desativei o firewalld e ativei o nftables. Estou carregando o seguinte conjunto de regras

table inet firewall {
        chain inbound_ipv4 {
        }

        chain inbound_ipv6 {
                icmpv6 type { nd-router-advert, nd-neighbor-solicit, nd-neighbor-advert } accept
        }

        chain inbound {
                type filter hook input priority filter; policy drop;
                ct state vmap { invalid : drop, established : accept, related : accept }
                iifname "lo" accept
                meta protocol vmap { ip : jump inbound_ipv4, ip6 : jump inbound_ipv6 }
                tcp dport { 80, 443, 7822 } accept
        }

        chain forward {
                type filter hook forward priority filter; policy drop;
        }
}
table inet f2b-table {
        set addr-set-sshd {
                type ipv4_addr
                elements = { 45.89.110.110 }
        }

        chain f2b-chain {
                type filter hook input priority filter - 1; policy accept;
                meta l4proto { tcp } ip saddr @addr-set-sshd reject
        }
}

Agora isso parece funcionar bem. qualquer tentativa de ssh para uma porta diferente de 7822 simplesmente trava e não há entradas nos logs.

Mas ainda estou vendo tentativas de força bruta de bots nos logs. Como eles estão fazendo isso e como faço para parar isso? Eles de alguma forma têm essas conexões abertas antes da aplicação das regras? Como posso encerrar essas conexões sem reiniciar o VPS?

Apr 16 14:30:39 server sshd[61577]: pam_unix(sshd:auth): check pass; user unknown
Apr 16 14:30:39 server sshd[61577]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=103.39.133.250
Apr 16 14:30:41 server sshd[61577]: Failed password for invalid user user from 103.39.133.250 port 48096 ssh2
Apr 16 14:30:46 server sshd[61580]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=43.156.239.10  user=root
Apr 16 14:30:49 server sshd[61580]: Failed password for root from 43.156.239.10 port 40702 ssh2
Apr 16 14:30:58 server sshd[61583]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=165.22.96.129  user=root
Apr 16 14:31:00 server sshd[61583]: Failed password for root from 165.22.96.129 port 49100 ssh2
Apr 16 14:31:14 server sshd[61586]: Invalid user user from 43.156.82.82 port 36394
Apr 16 14:31:14 server sshd[61586]: pam_unix(sshd:auth): check pass; user unknown
Apr 16 14:31:14 server sshd[61586]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=43.156.82.82
Apr 16 14:31:16 server sshd[61586]: Failed password for invalid user user from 43.156.82.82 port 36394 ssh2
Apr 16 14:31:18 server sshd[61589]: Invalid user ubuntu from 213.190.4.134 port 36238
Apr 16 14:31:18 server sshd[61589]: pam_unix(sshd:auth): check pass; user unknown
Apr 16 14:31:18 server sshd[61589]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=213.190.4.134
Apr 16 14:31:20 server sshd[61589]: Failed password for invalid user ubuntu from 213.190.4.134 port 36238 ssh2

Responder1

Não vejo sua política de firewalld aplicada na saída iptables-save.

Sua alteração INPUT tem política padrão de aceitação. E ele apenas salta para a cadeia f2b-SSH, que suspeito ser gerenciada por fail2ban e proíbe muitos hosts de origem (que suspeito que estejam atacando seu servidor sshd).

Se o endereço não tiver sido banido pelo fail2ban, ele finalmente será aceito e é por isso que você vê mensagens nos logs.

Você iniciou o firewalld? Começou corretamente?

Aliás, qual AlmaLinux é esse? 8 ainda está no iptables, 9 está no nftables AFAIR. Se este for o AlmaLinux 9, forneça nft list ruleseta saída.

informação relacionada