Mathieu L. a écrit :
> On Mon, Nov 19, 2007 at 02:32:06PM +0100, Lionel Giraud wrote:
>
>>> Pour me protéger, en plus de l'authentification par clé, j'utilise aussi
>>> du port-knocking pour cacher l'ouverture de ce port.
>>>
>>> Typiquement, en temps normal seule certaines IP peuvent accéder à ce
>>> port, si je suis en déplacement, il me suffit de taper à la porte pour
>>> m'y donner accès.
>>>
>>> Je n'ai pas changé le port par défaut de SSH, mais je n'ai plus toutes
>>> ces tentatives de login puisqu'elle sont bloquées par iptables
>>>
>> C'est pas mal comme système le port-locking
>> (http://fr.wikipedia.org/wiki/Port_knocking). A ce que j'ai compris, il
>> faut faire un petit script qui active un port lorsqu'une séquence de
>> tentative de connexion a été effectué. Y'a-t-il des scripts déjà tout
>> fait ?
>>
>> Autre question :
>> Est-il vraiment nécessaire de mettre un firewall sur un linux n'ayant
>> qu'un service SSH routé (derrière une Freebox par exemple) ?
>>
>
> Ben perso j'ai deux machines en ssh derrière une freebox; celle sur le
> port non standard n'a jusqu'à maintenant subi aucune attaque, mais celle
> sur le 22 recevait des centaines de tentatives chaque jour, ce qui m'a
> fait mettre un shorewall pour faire une sorte de white listing par ip.
>
>
Ok pour éviter les tentatives de connexion (un bon mdp ou une clé RSA
"doivent" suffire). Faire une white-list n'est pas applicable dans mon
cas d'utilisation. En revanche, le port-locking + modif de port semble
une bonne pratique (légère tout en laissant disponible le service ou que
l'on soit). C'est plus pour me rendre compte si c'est comme les
anti-cafards dans les carburateurs (c'est sur que ça marche parce qu'il
y a pas de cafard dans mon carburateur...) ou si ça apporte quelque
chose au système ?
