On Thu, Dec 22, 2011 at 12:02:09AM +0100, Sebastian Gödecke wrote:

Am 21. Dezember 2011 23:55 schrieb Peter Benitz :

...

Hallo, Diese Ausgabe gab es für den Versuch eine ssh Verbindung von meinem Nootebook zu meinem Rechner aufzunehmen: ssh: connect to host 192.168.178.23 port 22: Connection timed out Danach habe ich mal die Firewall komplett abgeschaltet/gestopt. Siehe da es hat funktioniert. Kann man diesen Port 22 auch anders in den Griff bekommen ausser die ganze Firewall auszuknipsen?

Port 22 oder Dienst SSH in die Ausnahme der Firewall mit reinsetzen.

IMHO wäre es besser, einen Port über 6000 für den sshd auf dem remoten Device zu verwenden und genau diesen für einen ausgewählten IP-Adressbereich freizuschalten. Der Vorteil wäre dann, dass der Host nicht regelmäßig gescannt wird. Werner -- "Having a smoking section in a restaurant is like having a peeing section in a swimming pool." -- Edward Burr -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um den Listen Administrator zu erreichen, schicken Sie eine Mail an: opensuse-de+owner@opensuse.org

Am 22. Dezember 2011 09:45 schrieb Dr. Werner Fink :

IMHO wäre es besser, einen Port über 6000 für den sshd auf dem remoten Device zu verwenden und genau diesen für einen ausgewählten IP-Adressbereich freizuschalten. Der Vorteil wäre dann, dass der Host nicht regelmäßig gescannt wird.

Security by obscurity. Gruß Martin -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um den Listen Administrator zu erreichen, schicken Sie eine Mail an: opensuse-de+owner@opensuse.org

Am 22. Dezember 2011 10:29 schrieb Detlef Reichelt :

Leib zu halten, die einfach einen IP-Bereich nach offenen SSH-Servern scannen, und dann mit tausend verschiedenen User/PW-Kombinationen im Logfile auftauchen. Das nervt und ist so einfach zu verhindern...

Stimmt. Das ist aber Sache des Firewalls, nicht des Services. fail2ban und den sshd auf Keys umstellen. Gruß Martin -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um den Listen Administrator zu erreichen, schicken Sie eine Mail an: opensuse-de+owner@opensuse.org

On Thu, Dec 22, 2011 at 10:29:31AM +0100, Detlef Reichelt wrote:

Am Thu, 22 Dec 2011 10:11:18 +0100 schrieb Martin Schröder :

...

Am 22. Dezember 2011 09:45 schrieb Dr. Werner Fink :

...

IMHO wäre es besser, einen Port über 6000 für den sshd auf dem remoten Device zu verwenden und genau diesen für einen ausgewählten IP-Adressbereich freizuschalten. Der Vorteil wäre dann, dass der Host nicht regelmäßig gescannt wird.

Security by obscurity.

wieso? Werner hat nicht gesagt, das sich dadurch die Sicherheit erhöht! Es hilft halt wirklich nur dabei, sich die ganzen dämlichen Kiddies vom Leib zu halten, die einfach einen IP-Bereich nach offenen SSH-Servern scannen, und dann mit tausend verschiedenen User/PW-Kombinationen im Logfile auftauchen. Das nervt und ist so einfach zu verhindern...

Kiddies ist gut ;) ... nun, ohne sehe in meinen Log der firewall und des sshd daheim jede Menge scans aus dem russischem, chinesischen, und hinundwieder aus völlig obskuren Gegenden der Welt, die dann alle 5 Minuten auf Port 22 versuchen, sich als root einzuloggen ... IMHO sind das automatische bots, die jeden und jedes scannen, um ihr botnetz zu vergrößern. Ich hatte schlicht keine Lust mehr darauf. Werner -- "Having a smoking section in a restaurant is like having a peeing section in a swimming pool." -- Edward Burr -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um den Listen Administrator zu erreichen, schicken Sie eine Mail an: opensuse-de+owner@opensuse.org

Am 22. Dezember 2011 17:30 schrieb Peter Benitz :

Am Donnerstag, 22. Dezember 2011, 12:13:02 schrieb Dr. Werner Fink:

...

On Thu, Dec 22, 2011 at 10:29:31AM +0100, Detlef Reichelt wrote:

...

Am Thu, 22 Dec 2011 10:11:18 +0100

Hallo, danke erst mal für die rege Beteiligung an diesem Thema. Für mich,der wahrscheinlich am wenigsten Ahnung hat,fällt es jetzt allerdings schwer ein Fazit zu ziehen. Momentan läuft es so,das der Dienst in den Firewalleinstellungen erlaubt bzw. hizugefügt  ist. Soweit so gut? Besser würde mir allerdings die Version von Werner Fink gefallen. Nur weiß ich nicht genau wie sie umzusetzen ist. Vor dem ganzen System steht ja auch noch ein Router der die Adressvergabe regelt.Der sollte da ja wohl mit einbezogen sein oder verstehe ich was falsch? Tips und Anregungen sind wilkommen.

Beim Router einen Port (z.B. 22222 auf den Port 22 deines Linuxsystems weiterleiten) Das ist ein System, was bei dir zu Hause privat genutzt wird ?

...

...

schrieb Martin Schröder :

...

Am 22. Dezember 2011 09:45 schrieb Dr. Werner Fink :

...

IMHO wäre es besser, einen Port über 6000 für den sshd auf dem remoten Device zu verwenden und genau diesen für einen ausgewählten IP-Adressbereich freizuschalten. Der Vorteil wäre dann, dass der Host nicht regelmäßig gescannt wird.

Security by obscurity.

wieso? Werner hat nicht gesagt, das sich dadurch die Sicherheit erhöht! Es hilft halt wirklich nur dabei, sich die ganzen dämlichen Kiddies vom Leib zu halten, die einfach einen IP-Bereich nach offenen SSH-Servern scannen, und dann mit tausend verschiedenen User/PW-Kombinationen im Logfile auftauchen. Das nervt und ist so einfach zu verhindern...

Kiddies ist gut ;) ... nun, ohne sehe in meinen Log der firewall und des sshd daheim jede Menge scans aus dem russischem, chinesischen, und hinundwieder aus völlig obskuren Gegenden der Welt, die dann alle 5 Minuten auf Port 22 versuchen, sich als root einzuloggen ... IMHO sind das automatische bots, die jeden und jedes scannen, um ihr botnetz zu vergrößern.

Ich hatte schlicht keine Lust mehr darauf.

Gruß Peter -- Um die Liste abzubestellen, schicken Sie eine Mail an:    opensuse-de+unsubscribe@opensuse.org Um den Listen Administrator zu erreichen, schicken Sie eine Mail an: opensuse-de+owner@opensuse.org

-- Mit freundlichen Grüßen Sebastian Gödecke -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um den Listen Administrator zu erreichen, schicken Sie eine Mail an: opensuse-de+owner@opensuse.org

Am Donnerstag, 22. Dezember 2011, 17:43:08 schrieb Sebastian Gödecke:

Am 22. Dezember 2011 17:30 schrieb Peter Benitz :

...

Am Donnerstag, 22. Dezember 2011, 12:13:02 schrieb Dr. Werner Fink:

...

On Thu, Dec 22, 2011 at 10:29:31AM +0100, Detlef Reichelt wrote:

...

Am Thu, 22 Dec 2011 10:11:18 +0100 Hallo Sebastian!

Hallo, danke erst mal für die rege Beteiligung an diesem Thema. Für mich,der wahrscheinlich am wenigsten Ahnung hat,fällt es jetzt allerdings schwer ein Fazit zu ziehen. Momentan läuft es so,das der Dienst in den Firewalleinstellungen erlaubt bzw. hizugefügt ist. Soweit so gut? Besser würde mir allerdings die Version von Werner Fink gefallen. Nur weiß ich nicht genau wie sie umzusetzen ist. Vor dem ganzen System steht ja auch noch ein Router der die Adressvergabe regelt.Der sollte da ja wohl mit einbezogen sein oder verstehe ich was falsch? Tips und Anregungen sind wilkommen.

Beim Router einen Port (z.B. 22222 auf den Port 22 deines Linuxsystems weiterleiten) Das ist ein System, was bei dir zu Hause privat genutzt wird ?

So ist es.Vom Notebook in der Küche zum Rechner im OG. Was dein Vorschlag anbetrifft sind wir dann aber wieder bei Port 22. Zwinged ist es ja wohl nicht bei diesem Port zu bleiben. Laut Wikipedia: "Die IANA hat dem Protokoll den TCP-Port 22 zugeordnet, jedoch lassen sich in den Konfigurationsdateien des Daemons auch beliebige andere Ports auswählen, um z.B. Angriffe zu erschweren, da der SSH-Port dem Angreifer nicht bekannt ist." Und wenn ich den Werner Fink richtig verstanden habe, hilft eine andere Portwahl und ein festgelegter IP-Adressbereich(statisch?) die blödsinnigen Logversuche einzudämmen und somit auch die Flut der Protokolle.Oder?

...

...

...

schrieb Martin Schröder :

...

Am 22. Dezember 2011 09:45 schrieb Dr. Werner Fink :

...

IMHO wäre es besser, einen Port über 6000 für den sshd auf dem remoten Device zu verwenden und genau diesen für einen ausgewählten IP-Adressbereich freizuschalten. Der Vorteil wäre dann, dass der Host nicht regelmäßig gescannt wird.

Security by obscurity.

wieso? Werner hat nicht gesagt, das sich dadurch die Sicherheit erhöht! Es hilft halt wirklich nur dabei, sich die ganzen dämlichen Kiddies vom Leib zu halten, die einfach einen IP-Bereich nach offenen SSH-Servern scannen, und dann mit tausend verschiedenen User/PW-Kombinationen im Logfile auftauchen. Das nervt und ist so einfach zu verhindern...

Kiddies ist gut ;) ... nun, ohne sehe in meinen Log der firewall und des sshd daheim jede Menge scans aus dem russischem, chinesischen, und hinundwieder aus völlig obskuren Gegenden der Welt, die dann alle 5 Minuten auf Port 22 versuchen, sich als root einzuloggen ... IMHO sind das automatische bots, die jeden und jedes scannen, um ihr botnetz zu vergrößern.

Ich hatte schlicht keine Lust mehr darauf.

Gruß Peter -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um den Listen Administrator zu erreichen, schicken Sie eine Mail an: opensuse-de+owner@opensuse.org

Gruß Peter -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um den Listen Administrator zu erreichen, schicken Sie eine Mail an: opensuse-de+owner@opensuse.org

Am Donnerstag, 22. Dezember 2011, 19:47:49 schrieb Helga Fischer:

Am Donnerstag 22 Dezember 2011 schrieb Peter Benitz:

...

Am Donnerstag, 22. Dezember 2011, 17:43:08 schrieb Sebastian

Hallo , deinen Beitrag versteh ich jetzt nicht ganz.

Gödecke:

[...]

...

...

Das ist ein System, was bei dir zu Hause privat genutzt wird ?

So ist es.Vom Notebook in der Küche zum Rechner im OG.

Da hast Du keine Zugriffe von außen drauf. Außer Dein Router macht Murks.

Was meinst du denn konkret damit?

Also kannst Du bei Port 22 bleiben und einfach diesen freigeben.

Helga

Gruß Peter -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um den Listen Administrator zu erreichen, schicken Sie eine Mail an: opensuse-de+owner@opensuse.org

-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1 Peter Benitz [22.12.2011 17:30]:

Am Donnerstag, 22. Dezember 2011, 12:13:02 schrieb Dr. Werner Fink:

...

On Thu, Dec 22, 2011 at 10:29:31AM +0100, Detlef Reichelt wrote:

...

Am Thu, 22 Dec 2011 10:11:18 +0100

Hallo, danke erst mal für die rege Beteiligung an diesem Thema. Für mich,der wahrscheinlich am wenigsten Ahnung hat,fällt es jetzt allerdings schwer ein Fazit zu ziehen. Momentan läuft es so,das der Dienst in den Firewalleinstellungen erlaubt bzw. hizugefügt ist. Soweit so gut? Besser würde mir allerdings die Version von Werner Fink gefallen. Nur weiß ich nicht genau wie sie umzusetzen ist. Vor dem ganzen System steht ja auch noch ein Router der die Adressvergabe regelt.Der sollte da ja wohl mit einbezogen sein oder verstehe ich was falsch? Tips und Anregungen sind wilkommen.

Hallo Peter, wenn das System nur zu Hause, also innerhalb Deines LANs, genutzt wird, musst Du für Werners Lösung Deinen SSH-Server auf einen anderen Port laufen lassen. Auf welchen Port er lauscht, steht in der Datei /etc/ssh/sshd_config, und zwar wird da jetzt stehen #Port 22 das # am Anfang bedeutet, dass es ein Kommentar ist, dass also der Defaultwert (22) aktiv ist. Du kannst hier eine andere Zahl zwischen 1024 und 65535 eintragen. Beispiel: Port 2222 ohne '#' am Anfang. Die Zahl solltest Du Dir merken, weil Du sie beim Verbinden von einem anderen Host aus brauchst ;-) Von einem anderen Host verbindest Du Dich z. B. mit "ssh user@host". Die geänderte Portnummer musst Du nun mit angeben, z. B. als "ssh -p 2222 user@host". Innerhalb Deines lokalen Netzes sollten allerdings keine portscannenden Besucher auftreten, sonst hast Du ein ganz anderes Problem ;-) Wenn Du auf Deinen ssh-Server "von außen", also übers Internet zugreifen willst, gilt das, was Sebastian geschrieben hat. Sebastians und Werners Hinweise lassen sich auch kombinieren :-) - und der Port "innen" und "außen" kann unterschiedlich sein. HTH Werner (aber ein anderer) -----BEGIN PGP SIGNATURE----- Version: GnuPG v2.0.18 (GNU/Linux) Comment: Using GnuPG with Mozilla - http://enigmail.mozdev.org/ iEYEARECAAYFAk7zYJIACgkQk33Krq8b42NjmACdEz+UUwNYOYFMkD5ipKPE3N01 QVwAnjFzEUTytL3QAVQyx+VY4tEs+p1n =h1XU -----END PGP SIGNATURE----- -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um den Listen Administrator zu erreichen, schicken Sie eine Mail an: opensuse-de+owner@opensuse.org

Am Freitag, 23. Dezember 2011 schrieb Ralf Prengel:

Immer noch fail2ban. Jede IP unter der sich mehr als z.B. 3 Mal falsch anmeldet wird für z.B. 24 gesperrt. Damit bleiben die Logs überichtlich aber du siehst noch was versucht wird. fail2ban bigt es als Suse-RPM.

Versteht sich denn fail2ban auch gut mit SuSEfirewall2? bye, MH -- gpg key fingerprint: 5F64 4C92 9B77 DE37 D184 C5F9 B013 44E7 27BD 763C () ascii ribbon campaign against HTML e-mail /\ www.asciiribbon.org -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um den Listen Administrator zu erreichen, schicken Sie eine Mail an: opensuse-de+owner@opensuse.org

[23.12.2011 07:59] [Mathias Homann]:

Am Freitag, 23. Dezember 2011 schrieb Ralf Prengel:

...

Immer noch fail2ban. Jede IP unter der sich mehr als z.B. 3 Mal falsch anmeldet wird für z.B. 24 gesperrt. Damit bleiben die Logs überichtlich aber du siehst noch was versucht wird. fail2ban bigt es als Suse-RPM.

Versteht sich denn fail2ban auch gut mit SuSEfirewall2?

Das hat nichts miteinander zu tun :-) Jedenfalls nicht zwangsweise... Fail2Ban kümmert sich um Sachen, die durch die Firewall durchgehen. Installiere das Paket und schau Dir die Konfigurationsdateien an. Für ssh gibt es beispielsweise zwei Arten, wie fail2ban reagieren kann: zum einen kann es iptables-Regeln erstellen (und nach bestimmter Zeit wieder zurückstellen) [ssh-iptables], zum anderen kann es mit /etc/hosts.allow und /etc/hosts.deny arbeiten [ssh-tcpwrapper]. Wenn Dir das Arbeiten mit den iptables-Regeln zu gefährlich erscheint (wegen Interaktion mit der SuSEfirewall), kannst Du immer noch den anderen "Jail" aktivieren. Aktiviere besser nicht beide, das kann zu Verknotungen führen ;-). Pro Dienst nur einen Jail aktivieren - beide funktionieren, also reicht das auch. Ich selbst betreibe für meinen Arbeitgeber einen NX-Server direkt am Internet, ohne Firewall auf der Maschine, und Fail2ban hilft sehr gut, die Logs übersichtlich zu halten. Mit Port 22 für den sshd, übrigens :-) - und Anmeldeverbot für root. Man gönnt sich ja sonst nichts :-D Gruß Werner -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um den Listen Administrator zu erreichen, schicken Sie eine Mail an: opensuse-de+owner@opensuse.org

Am Donnerstag, 22. Dezember 2011, 00:02:09 schrieb Sebastian Gödecke:

Am 21. Dezember 2011 23:55 schrieb Peter Benitz :

...

Hallo, Diese Ausgabe gab es für den Versuch eine ssh Verbindung von meinem Nootebook zu meinem Rechner aufzunehmen: ssh: connect to host 192.168.178.23 port 22: Connection timed out Danach habe ich mal die Firewall komplett abgeschaltet/gestopt. Siehe da es hat funktioniert. Kann man diesen Port 22 auch anders in den Griff bekommen ausser die ganze Firewall auszuknipsen?

Port 22 oder Dienst SSH in die Ausnahme der Firewall mit reinsetzen.

So, oder wenn das Yast-Modul zu konfiguration vom sshd installiert ist kann man dort ein Häckchen für die Freigabe des Dienstes in der Firewall setzen. Diese Option bieten übrigens (alle) Yast-Module zur Konfiguration eines Netzwerkdienstes an, z.B. NFS oder NTP. MfG Marco