Freebsd 下用 sshguard 防止暴力破解 ssh 密碼

kukusky

原文： http://tmublr.com/blog/sshguard

在 Freebsd 控制臺(tái)或用 dmesg -a 查看系統(tǒng)消息的時(shí)候會(huì)發(fā)現(xiàn)類似于下面的大量信息，這是因?yàn)橛腥嗽趪L試暴力破解 SSH 密碼的原因。

Jun 22 06:42:00 vps sshd[80092]: error: PAM: authentication error for illegal user nuucp from 200.79.53.211
Jun 22 06:44:12 vps sshd[80118]: error: PAM: authentication error for illegal user nx from 87.139.25.251
Jun 22 06:47:00 vps sshd[80138]: error: PAM: authentication error for illegal user ocs from 85.41.229.81
Jun 22 06:49:23 vps sshd[80144]: error: PAM: authentication error for illegal user office1 from 211.25.200.194

Freebsd 下最常用的管理軟件是SSH，SSH 本身可以限制一個(gè)IP輸錯(cuò)多少次密碼之后可以斷掉鏈接，但不會(huì)封 IP ，攻擊依舊可以持續(xù)鏈接來窮舉密碼。如果想在一定時(shí)間內(nèi)封掉對(duì)方IP 的話，讓其無法鏈接，可以通過 sshguard 來實(shí)現(xiàn)。

sshguard 可以與 Pf，IPFW，netfilter/iptables 等幾個(gè)軟件結(jié)合來實(shí)現(xiàn)輸入密碼錯(cuò)誤多次之后禁止該 IP 再訪問服務(wù)器的SSH端口。

安裝和使用

cd /usr/ports/security/sshguard-ipfw/
make install clean
編輯 /etc/syslog.conf

把下面一行前面的 # 去掉。

#auth.info;authpriv.info     |exec /usr/local/sbin/sshguard
重啟 syslogd

/etc/rc.d/syslogd restart
等待一段時(shí)間，查看控制臺(tái)或 dmesg -a ，出現(xiàn)下面類似消息說明 sshguard 已經(jīng)正常運(yùn)行了。

Jun 22 06:59:43 vps sshguard[79469]: Blocking 89.120.242.95:4 for >420secs: 4 failures over 0 seconds.

進(jìn)一步增強(qiáng)安全性

FreeBSD 的 sshd_config 配置中默認(rèn)允許用戶輸錯(cuò) 6 次密碼，這也就是說之前設(shè)置的 sshguard 在對(duì)方嘗試六次后才封 ip ，為了進(jìn)一步繒強(qiáng)安全性，我們可以修改這一參數(shù)。

vi /etc/ssh/sshd_config
去掉 #MaxAuthTries 6 前面的 # 號(hào)，并修改為 2

MaxAuthTries 2

zmoon

直接換成key認(rèn)證，把passwd認(rèn)證方式禁止掉，一勞永逸

mirnshi

換端口，也能起到一定的防治作用

wellwong

22端口限制ip地址，ssh用key認(rèn)證，這還不夠安全？

llzqq

關(guān)于換SSHD監(jiān)聽端口改為非22的考慮：

99%的對(duì)TCP22端口的掃描是俗稱“機(jī)器人”的掃描程序發(fā)起的試探性動(dòng)作，它依據(jù)密碼字典不斷嘗試登錄。

通常情況下這類掃描程序掃描SSHD的默認(rèn)端口為22。故而改掉SSHD的默認(rèn)端口是有意義的。當(dāng)然如果有人盯上了你的服務(wù)器，改端口就意義不大了，這時(shí)SSH+KEY為上上策。

mirnshi

回復(fù) 5# llzqq

被盯上，搞入侵freebsd的難度很高，還不如ddos呢，簡單方便，一招斃敵

b1uesky

回復(fù) 1# kukusky


    我看見日志里邊大量的這類信息，已經(jīng)把外網(wǎng)端口的22端口封掉了，我惹不起，躲還是可以的。