Início / server / Perguntas / 1131707
Accepted
lonix
Asked: 2023-05-23 11:03:34 +0800 CST

Registro de regras de iptables "diretas" com firewalld

  • 772

Estou usando o firewalld com o back-end do iptables. Eu adicionei regras "diretas" para limitação de conexão ssh:

sudo firewall-cmd --add-port=22/tcp

sudo firewall-cmd --direct --add-rule ipv4 filter INPUT_direct 0 \
  -p tcp --dport 22 \
  -m state --state NEW \
  -m recent --name ssh --set \
  -m comment --comment "limit ssh connections per ip"

sudo firewall-cmd --direct --add-rule ipv4 filter INPUT_direct 1 \
  -p tcp --dport 22 \
  -m state --state NEW \
  -m recent --name ssh --update --seconds 61 --hitcount 4 --rttl \
  -j REJECT --reject-with tcp-reset \
  -m comment --comment "limit ssh connections per ip"

# ...similarly for ipv6

Também quero registrar rejeições e descartes, então corri

$ sudo firewall-cmd --set-log-denied all

Isso funciona principalmente - quando eu verifico, sudo journalctl --since today --identifier kernelvejo essas conexões ... mas não aquelas rejeitadas por minhas regras diretas.

No repositório, isso foi confirmado como comportamento esperado e devo adicionar mais regras diretas para registrar minhas regras diretas:

Você deve usar a extensão de log iptables, por exemplo -j LOG. ... Infelizmente, você precisará de duas regras diretas, pois o iptables não suporta -j LOG -j ACCEPT.

Como faço isso?

linux

1 respostas

  1. Best Answer

    Descobri isso. Deve-se adicionar outra regra, idêntica à regra REJECT ou DROP, mas que salta para o destino LOG "não finalizador" .

    $ sudo firewall-cmd --direct --add-rule ipv4 filter INPUT_direct 0 \
  -p tcp --dport 22 \
  -m state --state NEW \
  -m recent --name ssh --set \
  -m comment --comment "limit ssh connections per ip"

$ sudo firewall-cmd --direct --add-rule ipv4 filter INPUT_direct 1 \
  -p tcp --dport 22 \
  -m state --state NEW \
  -m recent --name ssh --update --seconds 61 --hitcount 4 --rttl \
  -m limit --limit "5/min" \
  -j LOG --log-prefix "[REJECT SSH BRUTE FORCE] " --log-level 6 \    # <----------
  -m comment --comment "limit ssh connections per ip"

$ sudo firewall-cmd --direct --add-rule ipv4 filter INPUT_direct 2 \
  -p tcp --dport 22 \
  -m state --state NEW \
  -m recent --name ssh --update --seconds 61 --hitcount 4 --rttl \
  -j REJECT --reject-with tcp-reset \
  -m comment --comment "limit ssh connections per ip"

# ...similarly for ipv6

    Para ver os logs dessas conexões:

    # all rejected and dropped
$ sudo journalctl --grep 'kernel'

# or just just ssh brute force attempts
$ sudo journalctl --grep 'REJECT SSH BRUTE FORCE'
    • 1

relate perguntas