CMS Eleanor - Поиск
Полная версия этой страницы: Официальный форум Eleanor CMS » Защита от взлома сервера
Официальный форум Eleanor CMS » Для вебмастеров и владельцев сайтов » Комната программистов
Страницы: 1, 2
Mr-X
2011-02-23, 21:42
Подумал и решил на Debian 6 перееду и там (по словам техподдержки) можно будет установить csf, но почему то советуют использовать bfd, типа он проще. Правда я не нашел инфы о bfd, что и с чем едят.
Mr-X
2011-02-24, 19:11
Перешел на другой хостинг, там csf установился без проблем. На старом ТП так и не сговорится между собой, одни говорят что не поставятся, а тут в тикет ответ пришел, что сервер не нужно переустанавливать и csf должен встать без проблем :) я посмеялся и съехал. Как раз 27 заканчивается срок проплаченный, так что не страшно.

p.s. сейчас пытаюсь настроить csf, а эти "неважно кто" :) написали все на английском в конфиге, пока разберешь млин... благо есть онлайн переводчики

Добавлено через 3 минут, 33 секунд:

:big_boss: Пора свой хостинг поднимать)))

Добавлено через 4 минут, 30 секунд:

:wizard: С защитой от ддос атак, для тех кто не нарушает закон как я))))
Screatch
2011-02-24, 19:20
На одном csf далеко не уведешь)
Mr-X
2011-02-24, 22:40
Да это черный юмор такой :sarcastic_hand: тут мозги нужны покруче моих. У меня руки только недавно перестали трястись при входе по ssh. Ладно с этим понятно))) На старом попытки подбора идут все больше, сайтов рабочих нет на сервере, кроме одного с одной в 3 кб кажется размером html страниц, а загрузка процессора порой до 50 % доходит, скачками. Аномалий в трафике нет, показана нагрузка на mysql и иногда gzip. На новом сервере пока тишина. Но завтра буду настройки в csf ломать с дефолтных)))

Добавлено через 4 минут, 30 секунд:

Виталик, хотел спросить, а разве сложно хостерам предоставлять простой хостинг но с более высокими допустимыми нагрузками на сервер. Я как то в hc поднимал такой вопрос, типа увеличить допустимые нагрузки в 4 раза при условии оплаты увеличенной в 4 раза. Нет обязательно людей на VPS`ы толкать.
Screatch
2011-02-24, 23:13
Не сложно, у нас и вовсе таких строгих рамок нет в которые должен укладыватся каждый сайт нет, мы просто иногда поглядываем на нагрузку которую создаёт каждый сайт. В принципе думаю на условиях большей оплаты, всегда можно договориться индивидуально.
Mr-X
2011-02-25, 1:21
Вот что показывает рестарт csf, хотя в тесте показал везде ок.
Error: The VPS iptables rule limit (numiptent) is too low (116/125) - stopping firewall to prevent iptables blocking all connections, at line 551

Перевел в гугл
Цитата
Ошибка: правило VPS Iptables предел (numiptent) является слишком низким (116/125) - остановки брандмауэра по предотвращению Iptables блокирование всех соединений, в строке 551

Это где исправить можно? в csf уменьшить какое либо значение или в iptables (кстати а где его файлы? :dntknw: )?
sanes
2011-02-25, 1:31
Цитата (Mr-X @ 2021-01-17 03:23)
Я как то в hc поднимал такой вопрос, типа увеличить допустимые нагрузки в 4 раза при условии оплаты увеличенной в 4 раза. Нет обязательно людей на VPS`ы толкать.
Ну а как же новомодная услуга V.I.P. хостинг? $30-50 хватит для 4-х кратной перегрузги среднего шареда (нормального). Либо колхоз будет из нескольких клиентов на 1 сервере, либо администрируемый VDS с реселлерским или даже юзерским доступом.

Добавлено через 8 минут, 22 секунд:

Пару клиентов есть как раз таких. Никто никого не достаёт уже полгода (тьфу-тьфу-тьфу).
VDS
CPU - 1000mhz /RAM - 768mb /HDD - 30gb /траф - 500gb /Direct Admin = $20+администр. $20 = $40

sanes
2011-02-25, 1:51
Mr-X, смотрел? http://www.configserver.com/free/csf/readme.txt
Screatch
2011-02-25, 2:01
Гугл - http://www.hostanswers.net/linux-vps/iptables-rule-limit-numiptent-is-too-low/
Mr-X
2011-02-25, 11:12
Цитата (sanes @ 2011-02-25, 1:31)
Ну а как же новомодная услуга V.I.P. хостинг? $30-50 хватит для 4-х кратной перегрузги среднего шареда (нормального). Либо колхоз будет из нескольких клиентов на 1 сервере, либо администрируемый VDS с реселлерским или даже юзерским доступом.
Не видел, давно не был там

Цитата (sanes @ 2011-02-25, 1:51)
Mr-X, смотрел? http://www.configserver.com/free/csf/readme.txt
Смотрел, параметра numiptent не нашел.

Цитата (Screatch @ 2011-02-25, 2:01)
Гугл - http://www.hostanswers.net/linux-vp...ent-is-too-low/
В каком файле на моем vps редактировать не нашел, везде показан адрес файл конфигурации /etc/vz/conf или в файле /etc/sysconfig/vz-scripts/vpsid.conf ни чего похожего нет. Так же можно изменить по SSH, vzctl set 103 --numiptent 400 --save, где 103 - номер VDS для которого это значение устанавливается. Теперь дело за малым, узнать номер моего VPS|VDS
Mr-X
2011-02-25, 14:51
Попросил ТП увеличить значение до 200, рестар файрвола показал
[root@22613 ~]# csf -r
Flushing chain `INPUT'
Flushing chain `FORWARD'
Flushing chain `OUTPUT'
DROP  tcp opt -- in * out *  0.0.0.0/0  -> 0.0.0.0/0  tcp dpt:67
DROP  udp opt -- in * out *  0.0.0.0/0  -> 0.0.0.0/0  udp dpt:67
DROP  tcp opt -- in * out *  0.0.0.0/0  -> 0.0.0.0/0  tcp dpt:68
DROP  udp opt -- in * out *  0.0.0.0/0  -> 0.0.0.0/0  udp dpt:68
DROP  tcp opt -- in * out *  0.0.0.0/0  -> 0.0.0.0/0  tcp dpt:111
DROP  udp opt -- in * out *  0.0.0.0/0  -> 0.0.0.0/0  udp dpt:111
DROP  tcp opt -- in * out *  0.0.0.0/0  -> 0.0.0.0/0  tcp dpt:113
DROP  udp opt -- in * out *  0.0.0.0/0  -> 0.0.0.0/0  udp dpt:113
DROP  tcp opt -- in * out *  0.0.0.0/0  -> 0.0.0.0/0  tcp dpts:135:139
DROP  udp opt -- in * out *  0.0.0.0/0  -> 0.0.0.0/0  udp dpts:135:139
DROP  tcp opt -- in * out *  0.0.0.0/0  -> 0.0.0.0/0  tcp dpt:445
DROP  udp opt -- in * out *  0.0.0.0/0  -> 0.0.0.0/0  udp dpt:445
DROP  tcp opt -- in * out *  0.0.0.0/0  -> 0.0.0.0/0  tcp dpt:513
DROP  udp opt -- in * out *  0.0.0.0/0  -> 0.0.0.0/0  udp dpt:513
DROP  tcp opt -- in * out *  0.0.0.0/0  -> 0.0.0.0/0  tcp dpt:520
DROP  udp opt -- in * out *  0.0.0.0/0  -> 0.0.0.0/0  udp dpt:520
LOG  tcp opt -- in * out *  0.0.0.0/0  -> 0.0.0.0/0  limit: avg 30/min burst 5 LOG flags 0 level 4 prefix `Firewall: *TCP_IN Blocked* '
LOG  tcp opt -- in * out *  0.0.0.0/0  -> 0.0.0.0/0  limit: avg 30/min burst 5 LOG flags 0 level 4 prefix `Firewall: *TCP_OUT Blocked* '
LOG  udp opt -- in * out *  0.0.0.0/0  -> 0.0.0.0/0  limit: avg 30/min burst 5 LOG flags 0 level 4 prefix `Firewall: *UDP_IN Blocked* '
LOG  udp opt -- in * out *  0.0.0.0/0  -> 0.0.0.0/0  limit: avg 30/min burst 5 LOG flags 0 level 4 prefix `Firewall: *UDP_OUT Blocked* '
LOG  icmp opt -- in * out *  0.0.0.0/0  -> 0.0.0.0/0  limit: avg 30/min burst 5 LOG flags 0 level 4 prefix `Firewall: *ICMP_IN Blocked* '
LOG  icmp opt -- in * out *  0.0.0.0/0  -> 0.0.0.0/0  limit: avg 30/min burst 5 LOG flags 0 level 4 prefix `Firewall: *ICMP_OUT Blocked* '
DROP  all opt -- in * out *  0.0.0.0/0  -> 0.0.0.0/0
DROP  all opt -- in * out *  0.0.0.0/0  -> 0.0.0.0/0
INVDROP  all opt -- in * out *  0.0.0.0/0  -> 0.0.0.0/0  state INVALID
INVDROP  tcp opt -- in * out *  0.0.0.0/0  -> 0.0.0.0/0  tcp flags:0x3F/0x00
INVDROP  tcp opt -- in * out *  0.0.0.0/0  -> 0.0.0.0/0  tcp flags:0x3F/0x3F
INVDROP  tcp opt -- in * out *  0.0.0.0/0  -> 0.0.0.0/0  tcp flags:0x03/0x03
INVDROP  tcp opt -- in * out *  0.0.0.0/0  -> 0.0.0.0/0  tcp flags:0x06/0x06
INVDROP  tcp opt -- in * out *  0.0.0.0/0  -> 0.0.0.0/0  tcp flags:0x05/0x05
INVDROP  tcp opt -- in * out *  0.0.0.0/0  -> 0.0.0.0/0  tcp flags:0x11/0x01
INVDROP  tcp opt -- in * out *  0.0.0.0/0  -> 0.0.0.0/0  tcp flags:0x18/0x08
INVDROP  tcp opt -- in * out *  0.0.0.0/0  -> 0.0.0.0/0  tcp flags:0x30/0x20
INVDROP  tcp opt -- in * out *  0.0.0.0/0  -> 0.0.0.0/0  tcp flags:!0x17/0x02 state NEW
DROP  all opt -- in * out *  0.0.0.0/0  -> 0.0.0.0/0
INVALID  tcp opt -- in !lo out *  0.0.0.0/0  -> 0.0.0.0/0
INVALID  tcp opt -- in * out !lo  0.0.0.0/0  -> 0.0.0.0/0
ACCEPT  all opt -- in !lo out *  85.26.183.39  -> 0.0.0.0/0
ACCEPT  all opt -- in * out !lo  0.0.0.0/0  -> 85.26.183.39
ACCEPT  all opt -- in !lo out *  0.0.0.0/0  -> 0.0.0.0/0  state RELATED,ESTABLISHED
ACCEPT  all opt -- in * out !lo  0.0.0.0/0  -> 0.0.0.0/0  state RELATED,ESTABLISHED
ACCEPT  tcp opt -- in !lo out *  0.0.0.0/0  -> 0.0.0.0/0  state NEW tcp dpt:20
ACCEPT  tcp opt -- in !lo out *  0.0.0.0/0  -> 0.0.0.0/0  state NEW tcp dpt:21
ACCEPT  tcp opt -- in !lo out *  0.0.0.0/0  -> 0.0.0.0/0  state NEW tcp dpt:22
ACCEPT  tcp opt -- in !lo out *  0.0.0.0/0  -> 0.0.0.0/0  state NEW tcp dpt:25
ACCEPT  tcp opt -- in !lo out *  0.0.0.0/0  -> 0.0.0.0/0  state NEW tcp dpt:53
ACCEPT  tcp opt -- in !lo out *  0.0.0.0/0  -> 0.0.0.0/0  state NEW tcp dpt:80
ACCEPT  tcp opt -- in !lo out *  0.0.0.0/0  -> 0.0.0.0/0  state NEW tcp dpt:110
ACCEPT  tcp opt -- in !lo out *  0.0.0.0/0  -> 0.0.0.0/0  state NEW tcp dpt:143
ACCEPT  tcp opt -- in !lo out *  0.0.0.0/0  -> 0.0.0.0/0  state NEW tcp dpt:443
ACCEPT  tcp opt -- in !lo out *  0.0.0.0/0  -> 0.0.0.0/0  state NEW tcp dpt:465
ACCEPT  tcp opt -- in !lo out *  0.0.0.0/0  -> 0.0.0.0/0  state NEW tcp dpt:587
ACCEPT  tcp opt -- in !lo out *  0.0.0.0/0  -> 0.0.0.0/0  state NEW tcp dpt:993
ACCEPT  tcp opt -- in !lo out *  0.0.0.0/0  -> 0.0.0.0/0  state NEW tcp dpt:995
ACCEPT  tcp opt -- in * out !lo  0.0.0.0/0  -> 0.0.0.0/0  state NEW tcp dpt:20
ACCEPT  tcp opt -- in * out !lo  0.0.0.0/0  -> 0.0.0.0/0  state NEW tcp dpt:21
ACCEPT  tcp opt -- in * out !lo  0.0.0.0/0  -> 0.0.0.0/0  state NEW tcp dpt:22
ACCEPT  tcp opt -- in * out !lo  0.0.0.0/0  -> 0.0.0.0/0  state NEW tcp dpt:25
ACCEPT  tcp opt -- in * out !lo  0.0.0.0/0  -> 0.0.0.0/0  state NEW tcp dpt:53
ACCEPT  tcp opt -- in * out !lo  0.0.0.0/0  -> 0.0.0.0/0  state NEW tcp dpt:80
ACCEPT  tcp opt -- in * out !lo  0.0.0.0/0  -> 0.0.0.0/0  state NEW tcp dpt:110
ACCEPT  tcp opt -- in * out !lo  0.0.0.0/0  -> 0.0.0.0/0  state NEW tcp dpt:113
ACCEPT  tcp opt -- in * out !lo  0.0.0.0/0  -> 0.0.0.0/0  state NEW tcp dpt:443
ACCEPT  udp opt -- in !lo out *  0.0.0.0/0  -> 0.0.0.0/0  state NEW udp dpt:20
ACCEPT  udp opt -- in !lo out *  0.0.0.0/0  -> 0.0.0.0/0  state NEW udp dpt:21
ACCEPT  udp opt -- in !lo out *  0.0.0.0/0  -> 0.0.0.0/0  state NEW udp dpt:53
ACCEPT  udp opt -- in * out !lo  0.0.0.0/0  -> 0.0.0.0/0  state NEW udp dpt:20
ACCEPT  udp opt -- in * out !lo  0.0.0.0/0  -> 0.0.0.0/0  state NEW udp dpt:21
ACCEPT  udp opt -- in * out !lo  0.0.0.0/0  -> 0.0.0.0/0  state NEW udp dpt:53
ACCEPT  udp opt -- in * out !lo  0.0.0.0/0  -> 0.0.0.0/0  state NEW udp dpt:113
ACCEPT  udp opt -- in * out !lo  0.0.0.0/0  -> 0.0.0.0/0  state NEW udp dpt:123
ACCEPT  icmp opt -- in !lo out *  0.0.0.0/0  -> 0.0.0.0/0  icmp type 8 limit: avg 1/sec burst 5
ACCEPT  icmp opt -- in * out !lo  0.0.0.0/0  -> 0.0.0.0/0  icmp type 0
ACCEPT  icmp opt -- in * out !lo  0.0.0.0/0  -> 0.0.0.0/0  icmp type 8
ACCEPT  icmp opt -- in !lo out *  0.0.0.0/0  -> 0.0.0.0/0  icmp type 0 limit: avg 1/sec burst 5
ACCEPT  icmp opt -- in !lo out *  0.0.0.0/0  -> 0.0.0.0/0  icmp type 11
ACCEPT  icmp opt -- in !lo out *  0.0.0.0/0  -> 0.0.0.0/0  icmp type 3
ACCEPT  icmp opt -- in * out !lo  0.0.0.0/0  -> 0.0.0.0/0  icmp type 11
ACCEPT  icmp opt -- in * out !lo  0.0.0.0/0  -> 0.0.0.0/0  icmp type 3
ACCEPT  udp opt -- in !lo out *  8.8.8.8  -> 0.0.0.0/0  udp spt:53 dpt:53
ACCEPT  tcp opt -- in !lo out *  8.8.8.8  -> 0.0.0.0/0  tcp spt:53 dpts:1024:65535
ACCEPT  udp opt -- in !lo out *  8.8.8.8  -> 0.0.0.0/0  udp spt:53 dpts:1024:65535
ACCEPT  tcp opt -- in !lo out *  8.8.8.8  -> 0.0.0.0/0  tcp spts:1024:65535 dpt:53
ACCEPT  udp opt -- in !lo out *  8.8.8.8  -> 0.0.0.0/0  udp spts:1024:65535 dpt:53
ACCEPT  udp opt -- in !lo out *  8.8.4.4  -> 0.0.0.0/0  udp spt:53 dpt:53
ACCEPT  tcp opt -- in !lo out *  8.8.4.4  -> 0.0.0.0/0  tcp spt:53 dpts:1024:65535
ACCEPT  udp opt -- in !lo out *  8.8.4.4  -> 0.0.0.0/0  udp spt:53 dpts:1024:65535
ACCEPT  tcp opt -- in !lo out *  8.8.4.4  -> 0.0.0.0/0  tcp spts:1024:65535 dpt:53
ACCEPT  udp opt -- in !lo out *  8.8.4.4  -> 0.0.0.0/0  udp spts:1024:65535 dpt:53
ACCEPT  udp opt -- in * out !lo  0.0.0.0/0  -> 0.0.0.0/0  udp spt:53
ACCEPT  tcp opt -- in * out !lo  0.0.0.0/0  -> 0.0.0.0/0  tcp spt:53
ACCEPT  udp opt -- in * out !lo  0.0.0.0/0  -> 0.0.0.0/0  udp dpt:53
ACCEPT  tcp opt -- in * out !lo  0.0.0.0/0  -> 0.0.0.0/0  tcp dpt:53
ACCEPT  all opt -- in lo out *  0.0.0.0/0  -> 0.0.0.0/0
ACCEPT  all opt -- in * out lo  0.0.0.0/0  -> 0.0.0.0/0
LOGDROPOUT  all opt -- in * out !lo  0.0.0.0/0  -> 0.0.0.0/0
LOGDROPIN  all opt -- in !lo out *  0.0.0.0/0  -> 0.0.0.0/0
LOCALOUTPUT  all opt -- in * out !lo  0.0.0.0/0  -> 0.0.0.0/0
LOCALINPUT  all opt -- in !lo out *  0.0.0.0/0  -> 0.0.0.0/0
*WARNING* TESTING mode is enabled - do not forget to disable it in the configuration


Сейчас гляну где в csf стоит тестовый режим и отключу в конфиге
Mr-X
2011-02-25, 16:01
А этот параметр отключен IPV6_ICMP_STRICT = "0"
Цитата
IPv6 uses icmpv6 packets very heavily. By default, csf will allow all icmpv6 traffic in the INPUT and OUTPUT chains. However, this could increase the risk of icmpv6 attacks. To restrict incoming icmpv6, set to "1" but may break some connection types
Интересно он мне нужен IPV6? может заблокировать его вообще?
Mr-X
2011-02-28, 22:44
csf потихоньку блокирует нарушителей
85.25.71.51 # lfd: 5 (sshd) login failures from 85.25.71.51 (DE/Germany/loft1373.serverloft.de) in the last 300 secs - Sat Feb 26 00:03:01 2011
78.129.222.63 # lfd: 5 (sshd) login failures from 78.129.222.63 (FI/Finland/-) in the last 300 secs - Sat Feb 26 03:33:42 2011
125.5.65.8 # lfd: 5 (sshd) login failures from 125.5.65.8 (PH/Philippines/-) in the last 300 secs - Sat Feb 26 22:26:38 2011
212.150.176.110 # lfd: 5 (sshd) login failures from 212.150.176.110 (IL/Israel/-) in the last 300 secs - Sun Feb 27 02:33:37 2011
95.143.115.91 # lfd: 5 (sshd) login failures from 95.143.115.91 (EU/-/-) in the last 300 secs - Sun Feb 27 04:43:08 2011
218.91.46.202 # lfd: 5 (sshd) login failures from 218.91.46.202 (CN/China/-) in the last 300 secs - Sun Feb 27 09:00:13 2011
69.10.57.110 # lfd: 5 (sshd) login failures from 69.10.57.110 (US/United States/silverhost.biz) in the last 300 secs - Sun Feb 27 16:12:14 2011
66.11.123.195 # lfd: 5 (sshd) login failures from 66.11.123.195 (US/United States/-) in the last 300 secs - Sun Feb 27 18:02:27 2011
208.115.242.58 # lfd: 5 (sshd) login failures from 208.115.242.58 (-/-/58-242-115-208.static.reverse.lstn.net) in the last 300 secs - Mon Feb 28 17:53:12 2011
118.142.11.52 # lfd: 5 (sshd) login failures from 118.142.11.52 (HK/Hong Kong Special Administrative Region of China/-) in the last 300 secs - Mon Feb 28 19:52:16 2011

Только не могу понять login failures from 118.142.11.52 in the last 300 secs и где уменьшить этот параметр, или это LF_SSHD // Отвечает за допустимое количество неверных попыток входа в ssh. По умолчанию 5 (пять наверно в минутах подразумевается а не в количестве попыток?)
Screatch
2011-03-01, 1:15
Нет, как раз таки 5 попыток.

Интервал меняется в
LF_INTERVAL = "300"

Количество попыток соответственно LF_SSHD.
Mr-X
2011-03-01, 11:00
Такой текст с вопросами навалял, но как показал гугл, есть уже на них ответы _http://www.podelko.com/2009/03/04/описание-настроек-для-csflfd/ :rolleyes:
Для просмотра полной версии этой страницы, пожалуйста, пройдите по ссылке.