《用iptables让SSH服务对陌生人说不》有35个想法

1. Dianso 2012 年 04 月 30 日 01:48

   应该是centos吧？或者干脆用证书登陆，把密码登陆禁止

   回复 ↓
   1. Xiaoxia 文章作者2012 年 04 月 30 日 01:50

      是体积很小的debian。现在不是很担心密码会那么容易被别人破解到，而是怕ssh进程太多了，让VPS挂了 🙂

      回复 ↓
      1. Dianso 2012 年 04 月 30 日 01:51

         xiaoxia深夜还学习啊，请教你下如何架设Tornado？看到你写了个Tornado相册。

         回复 ↓
         1. Xiaoxia 文章作者2012 年 04 月 30 日 02:12

            你已经安装tornado了没？
            你是指如何跑hello world吗？
            装好之后，按照官网的示例，大概20行代码吧。写到一个py文件里。然后运行，用浏览器访问即可！

            学习tornado可以看tornado的代码，原因很简单，它的代码很少。。。

            回复 ↓
            1. Dianso 2012 年 04 月 30 日 02:14

               看了下文档，原来这个本身就有websever功能，我原来的意思是怎么和nginx整合。

               发现你的那个http://gallery.xiaoxia.org/打不开了

               回复 ↓
               1. Xiaoxia 文章作者2012 年 04 月 30 日 02:28

                  可以试试 http://gallery.xiaoxia.org:8888/
                  这个apache2的反向代理没有nginx做的那么好。

                  nginx可以用来做服务器前端，然后使用反向代理访问torando的服务器。
                  因为torndaoweb本身不是使用多线程的，所以如果你不是用异步又不想因为用户一个请求阻塞占用太长时间，你就可以开多多几个tornadoweb的进程，不同可以使用不同端口，这样就可以在nginx的upstream里设置调度策略了。
                  像我现在用tornado做的项目，一般开一个主的和一个备份的。有时候更新网站的时候，就会关掉主的，备份那个进程会自动被使用。避免网站服务中断。。

                  回复 ↓

2. Pingback引用通告： 写了个Python脚本监控nginx进程 « Xiaoxia[PG]

3. Dianso 2012 年 04 月 30 日 16:26

   你修改默认的ssh端口也相对安全些了

   回复 ↓
   1. Xiaoxia 文章作者2012 年 04 月 30 日 16:53

      恩，我之前也这么做过，但是很不方便，有些东西很难兼容。
      不如SVN的时候，就不知道怎么设置ssh的端口了。。。

      回复 ↓
4. halfbloodrock 2012 年 04 月 30 日 23:19

   还有种方法，就是用pam模块限制登录次数

   vi /etc/pam.d/sshd

   設定

   auth required pam_tally.so deny=3 unlock_time=120

   # deny=3 代表可接受的錯誤嘗試次數

   # unlock_time=120 代表超過可接受次數後，該帳號要鎖定多久時間，以秒為單位

   回复 ↓
   1. Xiaoxia 文章作者2012 年 05 月 02 日 02:13

      如果对方有多个IP呢？或者对方能够切换IP攻击呢？

      回复 ↓
      1. halfbloodrock 2012 年 05 月 09 日 10:45

         这个和IP无关，无论在哪里ssh login都可以防住

         回复 ↓
         1. Xiaoxia 文章作者2012 年 05 月 09 日 12:54

            有攻击者有很多IP，轮流攻击，还是能够让你打开多个进程来验证吧！

            如果不是针对ip限制的，难道是针对用户名限制的？

            回复 ↓
5. 艳文 2012 年 04 月 30 日 23:49

   我的vp也是512m的。。之前时不时的会出现502错误，重启lnmp之后又好了。。。。。直到前几天用着用着。。无端端整个系统stop了。。。。害得我还得到控制面板重新启动vps。。。真郁闷。。。

   回复 ↓
   1. Xiaoxia 文章作者2012 年 05 月 02 日 02:12

      莫非是机房重启了，忘了启动你的机器？？？

      回复 ↓

6. Pingback引用通告： 写了个Python脚本监控nginx进程

7. Extreme 2012 年 05 月 01 日 13:53

   够狠够邪恶啊……
   赞！

   回复 ↓
8. 小兔 2012 年 05 月 01 日 18:08

   果断使用denyhosts防御SSH爆破…

   回复 ↓
   1. Xiaoxia 文章作者2012 年 05 月 02 日 02:11

      没有用过，有待了解！！！
      如果容易配置又不给系统资源带来额外开销，还是挺不错的

      回复 ↓
9. Caboo 2012 年 05 月 02 日 01:19

   昨天刚接触ipfw. 感觉写起来比iptables容易.

   回复 ↓
   1. Xiaoxia 文章作者2012 年 05 月 02 日 02:14

      这工具需要额外安装吗？还要安装内核模块吗？
      iptables在一般系统上都有自带，嵌入式上也有，路由也有，还是挺方便的。

      回复 ↓
      1. Caboo 2012 年 05 月 04 日 14:41

         ipfw是FreeBSD自带的…

         回复 ↓
10. willy 2012 年 05 月 02 日 23:24

    估计绝大多数只是被机器人扫描了默认的ssh端口，然后尝试暴力猜解。
    其实，只要没被盯上，把默认的ssh端口改掉就可以让那些机器人嗝屁了。。

    回复 ↓
11. Heiher 2012 年 05 月 12 日 10:43

    自从放弃了 php-fpm 后，用了 HevSCGISErver 后，稳定在120M。

    回复 ↓
    1. Xiaoxia 文章作者2012 年 05 月 12 日 12:38

       我在用以前用C写的xxfpm ～

       回复 ↓
12. 81难 2012 年 05 月 25 日 09:36

    修改SSH默认的端口，然后再修改root用户名，绝对安全。
    至于如何修改root用户名，可以直接修改/etc/passwd和/etc/shadow两个文件，将里面的“root”直接替换为admin或任何一个名字。

    回复 ↓
    1. Xiaoxia 文章作者2012 年 05 月 26 日 03:33

       这招蛮绝的。。。

       回复 ↓
13. princehaku 2012 年 07 月 01 日 23:33

    我的vps比你大内存 上次也是疏忽被ssh爆破…还好只是一个低权限的被侵入了

    回复 ↓
14. ET 2012 年 09 月 25 日 10:50

    最近我也不停地受到这种攻击唉…真是悲剧…

    回复 ↓
15. ET 2012 年 09 月 25 日 12:05

    貌似可以在sshd_config设置MaxStartups来变相限制sshd的进程数目。

    man sshd_config

    回复 ↓
    1. Xiaoxia 文章作者2012 年 09 月 26 日 02:31

       会不会导致自己也登不进去？

       回复 ↓
       1. ET 2012 年 09 月 26 日 09:26

          会有可能导致登录不进去，所以你觉得两者结合会不会更好呢？

          仅仅白名单的话，因为白名单的范围很大，如果坏人正好在白名单的话，还是会有可能出现大量sshd进程，万一又把重要进程给挤死了那就悲剧了。183.0.0.0/8貌似在大学城这边的电信都是在这个网段。

          sshd_config MaxStartups的默认值是10:30:60。

          回复 ↓
16. Heiher 2013 年 11 月 09 日 16:05

    还是写个 Web API 来临时将自己加入白名单。

    回复 ↓
    1. Xiaoxia 文章作者2013 年 11 月 17 日 12:16

       用公钥登录挺方便的。

       回复 ↓
17. newborn 2014 年 01 月 18 日 08:30

    装一个fail2ban服务。

    回复 ↓

此站点使用Akismet来减少垃圾评论。了解我们如何处理您的评论数据。