Re: [Comm] Как лучше закрыть сервер снаружи

["Dmitriy Kruglikov" <dmitriy.kruglikov@gmail.com>]

3 октября 2008 г. 17:55 пользователь Vitalik Salomatin написал:
>
> Что сейчас считается надежным способом прикрыть сервер максимально?
>

Надежнее всего - не выставлять в сеть ...

К вашему способу могу добавиьт только правило по умолчанию выставить в DROP ...
*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]

Разрешить исходящие чтоб сервер мог, как минимум, за DNSом сходить и
время себе обновить ...
Открыть только один порт, который нужен, и на него повесить счетчик
пакетов в минуту ...
Чтоб при превышении разумного минимума все последующие соединения с
адреса источника дропались ...
Что-то вроде такого:

-A INPUT -i inet -p tcp -m state --state NEW --dport 22 -m recent
--name sshattack --set
-A INPUT -i inet -p tcp -m state --state ESTABLISHED --tcp-flags
FIN,ACK FIN,ACK --dport 22 -m recent --name sshattack --set
-A INPUT -i inet -p tcp -m state --state ESTABLISHED --tcp-flags RST
RST --dport 22 -m recent --name sshattack --set
-A INPUT -i inet --dport 22 -m recent --name sshattack --update
--seconds 60 --hitcount 4 -m limit --limit 4/minute -j LOG
--log-prefix SSH_attack:_
-A INPUT -i inet --dport 22 -m recent --name sshattack --update
--seconds 60 --hitcount 4 -j DROP

И не забыть бы
-A INPUT -i lo -j ACCEPT
А то всякое бывает ... :)

-- 
Как правильно задавать вопросы:
http://maddog.sitengine.ru/smart-question-ru.html

Помогает:
http://search.altlinux.org

Best regards,
 Dmitriy L. Kruglikov
 Dmitriy.Kruglikov_at_gmail_dot_com
 DKR6-RIPE
 DKR6-UANIC
 XMPP: Dmitriy.Kruglikov_at_gmail_dot_com