Re: libssh-Bruteforcer in IPTABLES Chain bannen
On Wed, Mar 30, 2005 at 09:20:14PM +0200, Peter Wiersig wrote:
> > Das würde also die Anzahl der Pakete auf Port 22 auf 1/Stunde begrenzen.
> Ja, ich hab vergessen, das da noch der Parameter --tcp-flags SYN
> mit rein muss, damit die Rule nur auf Verbindungsaufbauten
> reagiert.
Bei mir funktioniert die ganze Regel nicht. Momentan habe ich zwei
Zeilen, die wie folgt aussehen:
$IPTABLES -A INPUT -m dstlimit -p TCP --dport ssh --dstlimit 1/min --dstlimit-mode srcip-dstip -j ACCEPT
$IPTABLES -A INPUT -m dstlimit -p UDP --dport ssh --dstlimit 1/min --dstlimit-mode srcip-dstip -j ACCEPT
Damit bekomme ich eine Fehlermeldungen:
Starting IP filtering...
iptables v1.2.11: You have to specify --dstlimit-name
Try iptables -h or 'iptables --help' for more information.
iptables v1.2.11: You have to specify --dstlimit-name
Try iptables -h or 'iptables --help' for more information.
Dann füge ich --tcp-flags SYN ein (ganz hinten, vor dem -j) und
bekomme:
Starting IP filtering...
iptables v1.2.11: --tcp-flags requires two args.
Try iptables -h or 'iptables --help' for more information.
iptables v1.2.11: Unknown arg --tcp-flags
Try iptables -h or 'iptables --help' for more information.
Und wenn ich vor dem -j noch --dstlimit-name wie verlangt einfüge,
fehlt ihm ein Name. Gebe ich als Name ssh an (--dstlimit-name ssh),
so meckert er:
Starting IP filtering...
iptables: No chain/target/match by that name
Und nun? Ich habe schon nachgelesen, das --tcp-flags nur für TCP
gilt, habe das also bei UDP rausgenommen. Außerdem benötigt
--tcp-flags tatsächlich zwei Argumente, wieso geht das bei Dir mit
nur einem Argument? Was wäre die richtige Angabe? Die Fragen:
Wieso geht das da oben nicht, was mache ich falsch?
Brauche ich für ssh überhaupt UDP?
ciao, Dirk
--
| Akkuschrauber Kaufberatung and AEG GSM stuff |
| Visit my homepage: http://www.nutrimatic.ping.de/ |
| FIDO: Dirk Salva 2:244/6305.10 Internet: dsalvaATgmx.de |
| The "Ruhrgebiet", best place to live in Germany! |
Reply to: