Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Раздел полезных советов: Пример правил nftables с реализацией port knoсking для открытия доступа к SSH, auto_tips (ok), 01-Апр-23, (0) [смотреть все] chain OUTPUT -- комментарии при обработке лупбека неправильные Понятно, что к, sabitov (ok), 08:03 , 01-Апр-23, (1) +1 // Так лучше Я, если честно, думал что возникнет вопрос, прежде всего, про iif d, umask (?), 01:04 , 02-Апр-23, (4) Ну, и если тешить паранойю, то icmpv6 лучше проверять отдельным правилом, т к о, sabitov (ok), 08:19 , 01-Апр-23, (2)   // gt оверквотинг удален Спасибо А можно увидеть ваш rule set полностью Думаю, зд, umask (?), 01:11 , 02-Апр-23, (5)   Для включения port knocking нужно закомментировать правила в rate limits и р, anonymous (??), 13:18 , 01-Апр-23, (3) Вообще сурово так, для такой задачи то Не проще URL knocking Курлишь секретны, OpenEcho (?), 08:01 , 02-Апр-23, (6) +1 // Есть маленькая незадачка - вёбсервер к тому времени может лечь, а чтобы поднять , Tron is Whistling (?), 09:56 , 04-Апр-23, (10) // И как часто веб сервера ложаться И ни какого мониторинга который автоматическ, OpenEcho (?), 19:31 , 04-Апр-23, (12) –1 // Ещё раз SSH нужен для доступа к системе в т ч в критических случаях Подвязыва, Tron is Whistling (?), 09:19 , 05-Апр-23, (16) +3 SYN кстати прикольная тема На тот же порт, где и SSH Выглядеть будет просто ка, Tron is Whistling (?), 09:21 , 05-Апр-23, (17) Вот это и будет как раз именно тот самый день Когда сильно пожалеешь о усложнен, Аноним (33), 17:04 , 06-Июл-23, (33) Впрочем никто не мешает сделать вместо port knocking просто u32 knocking - и пос, Tron is Whistling (?), 09:57 , 04-Апр-23, (11) // Это будет явный засвет для MITM в смысле что используется какая-то технология, , OpenEcho (?), 19:36 , 04-Апр-23, (13) // Ну, ещё раз повторюсь - HTTPS к тому времени может лежать, и чего делать Ехать , Tron is Whistling (?), 09:14 , 05-Апр-23, (14) –1 Ну и опять же - можно не засвечивать UDP бывает разный На порт 53 например отп, Tron is Whistling (?), 09:16 , 05-Апр-23, (15) set trusted_ipv4_set 169 254 169 254,Зачем метадату то в трастед , Anonx (?), 10:06 , 02-Апр-23, (7) Вообще из всей этой портяны неплохо бы было выделить только собственно port knoc, Tron is Whistling (?), 09:51 , 04-Апр-23, (8) +1 На iptables recent или iptables ipset SET сие кстати выглядит куда читабельнее , Tron is Whistling (?), 09:55 , 04-Апр-23, (9) +3 // И примерно в 3 раза короче , Аноним (19), 18:33 , 05-Апр-23, (19) +2 Ложь Это стырено с nftables manual , Аноним (19), 18:32 , 05-Апр-23, (18) // O_oНичего себе Весь ruleset сп ли , Pensia2077 (?), 23:50 , 05-Апр-23, (20) // Ваш мусор до и после стыренных правил ничего не меняет Ссылки на оригиналы остав, Аноним (19), 13:19 , 06-Апр-23, (21) –1 А со стороны клиента как стучаться в это нужно и чем , Страдивариус (?), 15:26 , 06-Апр-23, (22) // knockd knock, Pensia2077 (?), 01:27 , 12-Апр-23, (25) Не надо так мудрить с шибангом , pashev.ru (?), 00:06 , 09-Апр-23, (23) –1 // Why not , Pensia2077 (?), 01:26 , 12-Апр-23, (24) Что за шизики пишут эти статьи Для создания правила port-knocking с использов, Hui (?), 12:02 , 15-Апр-23, (26) +6 Никогда не понимал, зачем port knocking для SSH Там итак где-то 1 попытка в сек, Пряник (?), 09:55 , 12-Май-23, (28) +1 // Логи засираются , Страдивариус (?), 21:19 , 05-Июл-23, (32) 4 гига логов по сравнению с 20 мегабайт Если места хватает, то не страшно, но н, xen (??), 15:00 , 28-Июл-23, (36) +1 // Вспоминаем про RateLimit логов , Пряник (?), 15:50 , 28-Июл-23, (37) // Ага, чтобы успешный вход злоумышленника вообще не был залогирован , mikhailnov (ok), 20:29 , 01-Авг-23, (38) Можно traceroute tracepath в студию, где ICMPv6 без искажений проходит , pavlinux (ok), 13:49 , 13-Июн-23, (29) Сложно очень Я бы примерно так действовал для последовательности 1111, 2222, 33, Аноним (30), 22:49 , 16-Июн-23, (30) +1 Такая простыня проще надо быть iptables -A INPUT -p tcp -m tcp --dport 1111 -, Аноним (31), 17:01 , 26-Июн-23, (31) nftables - фаервол курильщикаiptables ipset - фаервол здорового человека, Аноним (34), 17:29 , 10-Июл-23, (34) –1 Коллеги, прошу прощения если я чего-то матёро недогоняю , но вот реально, эта , daWSL (?), 21:08 , 21-Июл-23, (35) +2 port knocking это своего рода пароль но зачем есть же сертификаты, лохпидр (?), 13:21 , 05-Авг-23, (39) 1,2,3,6,7,8,9,18,22,23,26,28,29,30,31,34,35,39

Сообщения

[Сортировка по времени | RSS]

2. "Пример правил nftables с реализацией port knoсking для открытия доступа к SSH"	+/–
Сообщение от sabitov (ok), 01-Апр-23, 08:19
Ну, и если тешить паранойю, то icmpv6 лучше проверять отдельным правилом, т.к. он реально нихрена непростой :( У меня так: add rule  inet fw input_icmpv6 \         ip6 saddr @lan_list_6 \         icmpv6 type echo-request \                 accept add rule  inet fw input_icmpv6 \         ip6 nexthdr icmpv6 \         icmpv6 type echo-request \                 limit rate 15/minute \                 accept #Router Solicitation add rule  inet fw input_icmpv6 \         ip6 saddr { fe80::/10, 2001:db8::/48, ::0/128 } \         ip6 daddr { ff02::2 } \         ip6 hoplimit 255 \         icmpv6 type 133 \         icmpv6 code 0 \                 accept #Neighbor Solicitation add rule  inet fw input_icmpv6 \         ip6 saddr { fe80::/10, 2001:db8::/48, ::0/128 } \         ip6 daddr { fe80::/10, 2001:db8::/48, ff02::0001:ff00:0/104 } \         ip6 hoplimit 255 \         icmpv6 type 135 \         icmpv6 code 0 \                 accept #Router Advertisement #Neighbor Advertisement add rule  inet fw input_icmpv6 \         ip6 saddr { fe80::/10, 2001:db8::/48 } \         ip6 daddr { ff02::1, fe80::/10, 2001:db8::/48 } \         ip6 hoplimit 255 \         icmpv6 type { 134, 136 } \         icmpv6 code 0 \                 accept add rule  inet fw input_icmpv6 \         ip6 nexthdr icmpv6 \         icmpv6 type { 1, 2, 3, 4 } \                 accept Не настаиваю, но вдруг пригодится :)
Ответить | Правка | Наверх | Cообщить модератору

	5. "Пример правил nftables с реализацией port knoсking для открытия доступа к SSH"	+/–
	Сообщение от umask (?), 02-Апр-23, 01:11
	>[оверквотинг удален] >         icmpv6 code 0 \ >             >     accept > add rule  inet fw input_icmpv6 \ >         ip6 nexthdr icmpv6 \ >         icmpv6 type { 1, > 2, 3, 4 } \ >             >     accept > Не настаиваю, но вдруг пригодится :) Спасибо. А можно увидеть ваш rule set полностью? Думаю, здесь можно попробовать упросить правила через virdict map (vmap). Но нужно пробовать, насколько это будет удобно в итоге. Ещё бы проэкспериментировать, что ядро думает на advertisement/solicitation на не link-local адреса. Возможно, что по стандарту icmp и вовсе не уйдёт дальше маршрутизатора. Да, icmp6 не прост.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема