Koodi:
iptables -A INPUT -s 197.3.7.157 -j DROP
Mahtaakohan tuo tehdä tehtävänsä?
Tuossa on sellainen juttu, että iptables-sääntöjen järjestyksellä on väliä: ensimmäinen täsmäävä sääntö ratkaisee paketin kohtalon. Tuo komento lisää säännön listan loppupäähän.
Jotta tietäisi onko tuolla toivottu vaikutus vai ei, pitäisi nähdä koko INPUT-sääntölista tuon lisäyksen jälkeen.
Siinäkin on pieni knoppi: pelkkä "iptables -L" ei näytä onko jokin sääntö sidottu vaikuttamaan vain tiettyyn verkkoliitäntään vai ei, joten olisi parempi käyttää vaikka "iptables -L -vn"-listausta josta näkyy kaikki oleellinen, tai sitten "iptables -S"-komentoa joka listaa säännöt iptables-komennolle annettavien optioiden muodossa.
Jos aiempana on esim. sääntö joka päästää porttiin 54544 saapuvan liikenteen läpi lähtö-IP:stä riippumatta tyyliin "iptables -A INPUT -p tcp --dport 54544 -j ACCEPT", silloin tuon säännön lisäämisellä sääntölistan loppuun ei ole mitään vaikutusta portin 54544 liikenteeseen. Sääntö pitäisi tällöin lisätä listan
alkuun, eli
Koodi:
iptables -I INPUT 1 -s 197.3.7.157 -j DROP
lisää tuon säännön nimenomaisesti INPUT-listan ensimmäiseksi säännöksi.
SSH:n siirtäminen pois oletusportista toki vähentää skannailuyrityksiä jonkin verran, mutta nykyisin se ei enää tehoa niin hyvin kuin joskus aikaisemmin, koska bottiverkkoon kaapatut koneet ym. yhä useammin skannaavat kaikki portit läpi ja löytävät sen SSH-portin kuitenkin.
Siksi suosittelisin että jos pidät SSH:ta auki ulkomaailmaan päin. kannattaisi SSH-palvelun asetuksissa kieltää salasana-autentikoinnin käyttö kokonaan ja käyttää sen sijaan SSH-avainautentikointia jos suinkin mahdollista. Silloinkin SSH-palvelu saattaa tarjota sisään yrittäjälle mahdollisuuden salasanan syöttämiseen, mutta mikään salasana ei tällöin tule kelpaamaan vaan salasanapyyntö esitetään vain jotta saadaan tunkeutuja tuhlaamaan aikaansa toivottomaan salasanojen arvailuun. Lisäksi tällöin SSH-palvelinpää voi tietoisesti... hidastaa... vastausten... lähettämistä, jotta tunkeutujalle näyttää siltä kuin kohdekone olisi heikkotehoinen ja/tai kovassa kuormassa, vaikka palvelinpää oikeastaan vastaa tuollaiselle uunotettavalle vasta sitten kun kaikki muu tärkeämpi on tehty ja sattuu huvittamaan.
Yksittäisten IP-estojen tekeminen käsipelillä ei pitemmän päälle maksa vaivaa: kun estät yhden osoitteen, joku toinen saman bottiverkon kone jatkaa todennäköisesti kohta kolkuttelua. Jos noista on oikeasti vaivaa, tarvittaisiin joku fail2ban-tyyppinen systeemi joka automaattisesti bannaa joksikin aikaa IP-osoitteen josta on tullut yli X epäonnistunutta yritystä tietyn ajan sisällä, ja (haluttaessa) purkaa bannin automaattisesti kun kolkuttelun loppumisesta on kulunut tarpeeksi aikaa.
