![bash:多次尝试登录失败后阻止用户](https://linux22.com/image/491482/bash%EF%BC%9A%E5%A4%9A%E6%AC%A1%E5%B0%9D%E8%AF%95%E7%99%BB%E5%BD%95%E5%A4%B1%E8%B4%A5%E5%90%8E%E9%98%BB%E6%AD%A2%E7%94%A8%E6%88%B7.png)
我有个问题。
有人试图进入我的服务器,这种情况经常发生。例如:
Aug 19 14:11:42 oplot sshd[18373]: input_userauth_request: invalid user oracle
Aug 19 14:11:42 oplot sshd[18372]: pam_unix(sshd:auth): check pass; user unknown
Aug 19 14:11:42 oplot sshd[18372]: pam_unix(sshd:auth): authentication failure;
logname= uid=0 euid=0 tty=ssh ruser= rhost=211.38.137.44
Aug 19 14:11:44 oplot sshd[18372]: Failed password for invalid user oracle from
211.38.137.44 port 36 841 ssh2
Aug 19 14:11:45 oplot sshd[18373]: Received disconnect from 211.38.137.44: 11:
Bye Bye
Aug 19 14:11:47 oplot sshd[18374]: Invalid user test from 211.38.137.44
Aug 19 14:11:47 oplot sshd[18375]: input_userauth_request: invalid user test
Aug 19 14:11:47 oplot sshd[18374]: pam_unix(sshd:auth): check pass; user unknown
Aug 19 14:11:47 oplot sshd[18374]: pam_unix(sshd:auth): authentication failure;
logname= uid=0 euid=0 tty=ssh ruser= rhost=211.38.137.44
还有这个
Aug 19 14:58:51 oplot sshd[19543]: Failed password for root from 202.117.56.29
port 43025 ssh2
Aug 19 14:58:52 oplot sshd[19544]: Received disconnect from 202.117.56.29: 11:
Bye Bye
Aug 19 14:58:55 oplot sshd[19546]: reverse mapping checking getaddrinfo for
56h29.xjtu.edu.cn [202.117.56.29] failed - POSSIBLE BREAK-IN ATTEMPT!
你能向我解释一下“反向映射检查 getaddrinfo”是什么意思吗?
经过多次尝试后,我该如何阻止 IP?
答案1
失败2ban是阻止大量虚假 ssh 登录尝试的常用方法。我建议您专注于阻止人们攻击您的 ssh 端口,而不是担心错误的反向 DNS 查找。
答案2
ssh 所说的“可能的入侵尝试”只是表明相关地址配置错误的信号。您可以检查:
~% host 202.117.56.29
29.56.117.202.in-addr.arpa domain name pointer 56h29.xjtu.edu.cn.
~% host 56h29.xjtu.edu.cn
Host 56h29.xjtu.edu.cn not found: 3(NXDOMAIN)
DNS PTR 记录是一种安全问题,因为没有什么可以阻止您说出您的地址主机名是您想要的任何内容,甚至是“google.com”或“nsa.gov”。因此,SSH 会进行这项额外检查,以确保地址和主机名之间存在正确的双向关系。
在没有首先保护 SSH 服务端口的情况下,不要尝试阻止多次尝试。您应该考虑禁用 SSH 服务,或者至少为其设置防火墙。如果您无法为其设置防火墙,请尝试使用端口敲击解决方案来隐藏它以免受随机攻击。此外,禁用密码身份验证并强制每个人都使用公钥身份验证。
答案3
查看拒绝主机。这是禁止试图暴力破解 SSH 登录的 IP 的好方法。您还可以从尝试在全球其他主机上进行此操作的 IP 共享阻止列表中受益。
如果您更喜欢轻量级的解决方案,则可以使用 iptables 来阻止重复的 ssh 尝试。假设您已经使用默认 DROP 策略设置了 iptables 规则,并且仅允许特定端口,则以下规则将打开端口 22 (ssh),这样一旦每分钟有超过 3 个连接,它就会暂时阻止来自特定 IP 的 SSH 连接:
iptables -A INPUT -m hashlimit --hashlimit 3/min --hashlimit-burst 3 --hashlimit-mode srcip --hashlimit-name inputssh -p tcp --dport 22 -j ACCEPT
请注意,如果超过频率阈值,这也会停止成功登录,因此您必须选择适当的值。
欲了解更多信息,您可以尝试“人iptables”或者“iptables -m hashlimit——帮助”。此外,如果您不熟悉 iptables,则可以通过谷歌搜索“iptables 教程”和“iptables hashlimit”来获得一个很好的起点。