Forum Debian Users Gang

Hmm... czyżby nikt sobie servera nie stawiał nigdy na DynDNS że odzewu brak ;] ? OK, może skonkretyzuję trochę pytania to ktoś się odezwie :). Zacznijmy od bezpieczeństwa:

Wczoraj zainstalowałem sobie Debian Stable na kompie składającym się z czegoś takiego:

-Dwu procesorowa płyta Intela (N440BX Server Board) - na niej 2x PII 400 Mhz
-384 MB Ram (SD 100 Mhz)
-Jakiś tam zwykły dysk Seagate 17 GB

Płyta posiada wbudowaną sieciówkę, grafikę i sporo opcji konfiguracyjnych, swego czasu była to płytka pod serwer.

Teraz tak - planuję ustawić tam jakiś serwer i wystawić to na świat, ale najpierw muszę to jakoś zabezpieczyć. Serwer miały się łączyć ze światem poprzez router, który obecnie dostarcza net dla mojej stacjonarki, telefonu i kilku innych urządzeń - tutaj pierwsze pytanie do was, jako że specem od bezpieczeństwa sieciowego nie jestem ;].

1. Chciałbym tak skonfigurować swoje kompy,router i serwer, aby nawet po ewentualnym włamaniu się na serwer, nikt nie mógł za jego pomocą dobrać się do zasobów sieciowych udostępnianych poprzez SAMBĘ, NFS itd - nie wiem tylko czy tutaj bardziej trzeba coś konfigurować po stronie serwera, routera, czy kompów udostępniających dane - w temacie jestem raczej mało obeznany, mam nadzieję że Wy bardziej :) .

2. Serwer miałby być wystawiony na świat, z możliwością zdalnego logowania poprzez SSH - wiem że temat poruszany już tysiące razy, ale nie widzę na DUG'u jakiegoś poradnika step-by-step wyjaśniającego w jaki sposób porządnie zabezpieczyć SSH, przed włamaniem - tutaj również liczę na Waszą pomoc :) (i obiecuję napisanie arta na ten temat, tak żeby już nikt nie musiał w przyszłości pytać).

To tyle na początek, mam nadzieję że ktoś coś poradzi :) jak zawsze z góry dzięki za info.

Pozdro.

@Jacekalex:

Dzięki za info - przez najbliższe parę dni postaram się coś poczytać i dokształcić się w tematach bezpieczeństwa, zapewne jakieś pytania się pojawią ;] tym bardziej że już teraz widzę, dziesiątki opcji o których istnieniu nie miałem pojęcia :).

Pozdro.

Trochę poczytałem (choć biorąc pod uwagę mnogość opcji iptables, ssh i reszty technologii zabezpieczających - to nadal mało ;] ) i na pierwszy ogień zabrałem się za firewalla, naskrobałem taki skrypt:

#! /bin/sh
# /etc/init.d/firewall
#

# Some things that run always
touch /var/lock/firewall

# Carry out specific functions when asked to by the system
case "$1" in
  start)
    echo "Starting firewall "
    # Clear everything
    iptables -F
    iptables -t nat -F
    iptables -t mangle -F
    iptables -X
    
    # Change the default policy of all three chains to DROP
    iptables -P INPUT DROP
    iptables -P FORWARD DROP
    iptables -P OUTPUT ACCEPT
    
    # Accept input from loopback device
    iptables -A INPUT -i lo -j ACCEPT
    iptables -A OUTPUT -i lo -j ACCEPT

    # Accept input from already established connections
    iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
    iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
    
    
    # Drop input from not defined connections
    iptables -A INPUT -m state --state INVALID -j DROP
    iptables -A OUTPUT -m state --state INVALID -j DROP

    # Accept SSH connections
    iptables -A INPUT -p TCP --dport 2344 -s 192.168.1.0/5 -j ACCEPT
    iptables -A OUTPUT -p TCP --dport 2344 -s 192.168.1.0/5 -j ACCEPT
    
    # Allow only two ssh connections
    iptables -A INPUT -p tcp --syn --dport 2344 -m connlimit --connlimit-above 1 --connlimit-mask 0 -j REJECT
    
    ;;
  stop)
    echo "Stopping firewall"
    iptables -F
    iptables -t nat -F
    iptables -t mangle -F
    iptables -X

    iptables -P INPUT ACCEPT
    ;;
  *)
    echo "Usage: /etc/init.d/firewall {start|stop}"
    exit 1
    ;;
esac

exit 0

(wszelkie uwagi do powyższego mile widziane :) )

Tylko ni cholerci, nie wiem, jakie parametry zastosować do connlimit'a (dla ssh dałem dwa - jeden na zwykłego usera, jeden na root'a), nie mam pojęcia ile połączeń zużywa się przy standardowym ładowaniu strony poprzez http... jedno czy więcej?

Druga sprawa: mam problem  ze zrozumieniem hashlimit, wydawało mi się że taki łańcuch:

iptables -A INPUT -p icmp -m hashlimit --hashlimit-name icmp --hashlimit-mode srcip --hashlimit 1/minute --hashlimit-burst 1 -j REJECT

powinien sprawić że na minutę ktoś będzie sobie mógł raz z jednego IP pingnąć kompa - tyle że to działa tak że pierwszy pakiet jest odrzucany a reszta przyjmowana, z kolei jak na końcu zmienię REJECT na ACCEPT - to zdaje się nie działać w ogóle - znaczy się wszystko przechodzi jak by nigdy nic - co robię nie tak?