J’ai regardé les essais d’intrusions SSH sur mon serveur perso OVH depuis un an, il y a eu 425443 tentatives, j’ai regardé les pays d’origine mais j’ai du mal à m’expliquer l’énorme quantité d’attaques d’origine de la Hollande (du moins présumées comme telle) et d’Andorre. La base de donnée m’ayant servi est celle d’IP66. Vous avez une explication?
192042 The Netherlands
57708 United States
23431 Singapore
21701 Andorra
12166 Indonesia
11912 China
9820 United Kingdom
9441 Hong Kong
9115 Vietnam
8355 Germany
7445 South Korea
6748 India
6166 Brazil
4060 Mexico
3759 Russia
2782 Argentina
2386 France
1785 Japan
1615 Canada
1495 Australia
1483 Thailand
1434 Bangladesh
1395 Sweden
1373 Colombia
1355 Italy
1314 Taiwan
1143 Spain
1051 Iran
1025 Malaysia
995 Turkey
904 Poland
899 Niger
898 Nigeria
725 Pakistan
693 Uzbekistan
615 Kenya
607 Morocco
602 Senegal
587 Kazakhstan
581 Philippines
572 Chile
552 Peru
524 Egypt
505 Tunisia
502 Bolivia
[…]
(Du coup pour limiter le nombre j’ai rajouter une règle à fail2ban qui bani un réseau IP/24 pour une semaine si ce réseau est d’origine 10 tentatives ratées en 1h), très efficace, à l’heure actuelle 120 bannis et une division par 4 du nombre d’attaques)
Il faut faire attention à ce genre de règle, car c’est un moyen facile de te faire un DDOS direct à pas cher.
Pour une origine aux Pays-Bas effectivement, c’est étrange.
Mais après, je n’ouvre pas SSH sur internet en port 22.
Soit c’est un port autre, soit c’est carrément du Knock at the Door, donc pas de port ouvert si pas de connexion en cours.
Comment ça? Si il s’agit de la possibilité pour quelqu’un de me bloquer parce que sur le même réseau. Pas de souci, je rebondis sur un autre serveur et au pire j’ai une autre porte d’entrée qui n’ouvre pas de port et qui n’est pas sur le serveur web
Sinon ce que j’avais utilisé pendant un temps était sslh qui masque du ssh derrière du web mais c’est devenu trop connu
C’est conforme à notre divergence, tu met une serrure inviolable, je préfère un système d’alarme sur un verrou. Cela dit une entrée uniquement par clef et pas sur root, ça n’est pas facile à contourner
Le statut à cet instant de fail2ban sur le ssh:
Ils sont bien moins regardant sur ce que font les gens avec les machines loués Idem pour Andorre.
+1 sur pas mal de plateforme dont je fais la maintenance utilisent la geoip pour bloquer purement et simplement pas mal de pays (c’est le client qui choisit de toute façon si oui ou non un pays est légitime pour leur buisness, idem pour les bot qui ne respectent pas les règles et autres joyeuseté qui font du crawl à tout va
192818 UNMANAGED-DEDICATED-SERVERS UNMANAGED LTD
39680 DigitalOcean, LLC
21701 DMZHOST TECHOFF SRV LIMITED
19797 BYTEPLUS-AS-AP Byteplus Pte. Ltd.
6787 UCLOUD-HK-AS-AP UCLOUD INFORMATION TECHNOLOGY HK LIMITED
6381 IDNIC-IDCLOUDHOST-AS-ID PT Cloud Hosting Indonesia
5622 Microsoft Corporation
4729 KIXS-AS-KR Korea Telecom
4307 VIETEL-AS-AP Viettel Group
3782 OVH OVH SAS
3144 VOLCANO-ENGINE Beijing Volcano Engine Technology Co., Ltd.
3036 FPS12 Feo Prest SRL
2841 me
2547 CHINANET-BACKBONE No.31,Jin-rong Street
2546 ME
2522 TENCENT-NET-AP-CN Tencent Building, Kejizhongyi Avenue
2049 Oracle Corporation
1913 TOTAL PLAY TELECOMUNICACIONES SA DE CV
1859 Unified Layer
1727 Techtel LMDS Comunicaciones Interactivas S.A.
1620 UNINET
1526 HostPapa
1465 FranTech Solutions
1447 IONOS-AS IONOS SE
1412 CLOUDHOST-AS-AP Cloud Host Pte Ltd
1337 YISUCLOUDLTD-HK YISU CLOUD LTD
1308 Google LLC
1288 FDN3 FOP Dmytro Nedilskyi
1165 SKB-AS SK Broadband Co Ltd
1129 Cogent Communications, LLC
1054 SS-Net SS-Net
992 CONTABO Contabo GmbH
981 ALIBABA-CN-NET Alibaba US Technology Co., Ltd.
967 TERNET
952 ALIBABA-CN-NET Hangzhou Alibaba Advertising Co.,Ltd.
894 BAIDU Beijing Baidu Netcom Science and Technology Co., Ltd.
857 HINET Data Communication Business Group
844 GOOGLE-AS-AP Google Asia Pacific Pte. Ltd.
777 TELKOMNET-AS-AP PT Telekomunikasi Indonesia
725 VNPT-AS-VN VNPT Corp
710 BBIL-AP BHARTI Airtel Ltd.
657 SCLOUDPTELTD-AS Scloud Pte Ltd
644 CHINA169-BACKBONE CHINA UNICOM China169 Backbone
627 LGDACOM LG DACOM Corporation
617 GCS-AS GLOBAL CONNECTIVITY SOLUTIONS LLP
602 SONATEL SONATEL-AS Autonomous System
602 HETZNER-AS Hetzner Online GmbH
596 BSNL-NIB National Internet Backbone
595 VCG-AS MTN NIGERIA Communication limited
583 CLOUDIE-AS-AP Cloudie Limited
578 ROSTELECOM-AS PJSC Rostelecom
566 Zenlayer Inc
549 Claro NXT Telecomunicacoes Ltda
545 BAHNHOF Bahnhof AB
534 Telecom Argentina S.A.
520 MUNDIVOX DO BRASIL LTDA
512 TELEFONICA BRASIL S.A
510 Hanoi
[...]
effectivement le début est constitué de serveurs localisés en Hollande (bcp de «data centers» dont des peu regardants effectivement) ou inscrit en Andorre qui ne sert que de boite aux lettres.
Pour le coup je suis perplexe sur le «me» !?!
il suffit de forger des paquets. Peut importe que la source soit la vraie. Fail2ban ne sait pas faire la différence.
On ne parle pas de pirater, mais de rendre le service inutilisable.
C’est mieux que la regle. Car le geoip ne bloque que des zones géographique. Perso je m’en cogne que les israélien cherchent à se connecter. Donc le je les ban direct-.
Alors qu’un fail2ban qui ban une plage ca veut n’importe quelle plage. Et au final, il suffit juste d’utiliser des plages de la même zone que le serveur, pour t’empêcher de l’utiliser. Ce n’est pas comme si la machine était chez toi, elle est hébergée.
D’où mon commentaire initial,. C’est le prix à payer pour avoir laisser les marchands du temple s’en emparer.
Si le paquet est forgé, la connexion ne pourra pas aller jusqu’à l’Invalid user du coup fail2ban ne le gère pas. Pour que fail2ban prenne en compte la tentative et la considère comme mauvaise, il faut qu’il y ait eu un échange ce qui ne peut être le cas avec un paquet forgé. Du coup je ne crois pas que ça puisse marcher. Je vais voir.
[edit]: J’ai vu, ça ne peut pas fonctionner, il faut que la connexion est lieu, avec un paquet forgé, le serveur renverra un syn-ack à la source fictive et ça n’ira pas au delà. Donc fail2ban ne verra rien.
