Re: Faire tourner sshd sur un autre port que 22

[Pascal Hambourg <pascal.mail@plouf.fr.eu.org>]

Salut,

Nicolas KOWALSKI a écrit :
> 
> # iptables-save
> # Generated by iptables-save v1.4.2 on Fri Dec 17 18:45:42 2010
> *filter
> :INPUT ACCEPT [0:0]
> :FORWARD ACCEPT [0:0]
> :OUTPUT ACCEPT [0:0]
> -A INPUT -i lo -j ACCEPT
> -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
> -A INPUT -s <ip-whitelistee>/32 -p tcp -m tcp --dport 22 -j ACCEPT
> -A INPUT -p tcp -m tcp --dport 22 -m state --state NEW -m recent --set --name SSH --rsource
> -A INPUT -p tcp -m tcp --dport 22 -m recent --update --seconds 60 --hitcount 3 --rttl --name SSH --rsource -j DROP
> -A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
> 
> Simple, non ? ;-)

J'hésite à dire simpliste, même. La correspondance "recent" d'iptables
est vulnérable à l'usurpation d'adresse et a une mémoire limitée, ce qui
permet à un attaquant de débloquer son adresse rapidement ou de bloquer
une adresse arbitraire, provoquant un déni de service.