Ma première idée est de faire un mini jeu de règles IPTables pour limiter les sources légitimes plutôt que d'utiliser le TCPWrapper (disons que IPTables protège avant, le tcpwrapper interviendrait alors après dans le mode standalone de SSH si SSH compilé et configuré avec le support TCPWrapper).
En plus, tu peux aussi rajouter des limites du type nombre de connexions max / sec / IP, etc...
La seconde serait de changer le port d'attaque du service SSH (soit sur le routeur NAT avec la bonne règle qui va bien, soit sur la machine dans une directive type Listen ou Port).
Selon certains (avis perso: ce n'est pas mon cas), c'est plus "secure".
La troisième est de n'autoriser que les authentifications par clés pour limiter les attaques sur les login/mot de passe "classiques".
Etc...
Bon courage !
Cdlt,
PS: Ah oui, je ne l'ai pas cité, mais je te conseille vivement d'interdir l'accès root au serveur SSH :D
Avec SUDO et (au moins) un utilisateur qui va bien, on peut s'en passer ^__^
# iptables :-) / port d'écoute différent / ...
Posté par Steve Azriel . En réponse au message Serveur SSH comment se proteger. Évalué à 2.
Ma première idée est de faire un mini jeu de règles IPTables pour limiter les sources légitimes plutôt que d'utiliser le TCPWrapper (disons que IPTables protège avant, le tcpwrapper interviendrait alors après dans le mode standalone de SSH si SSH compilé et configuré avec le support TCPWrapper).
En plus, tu peux aussi rajouter des limites du type nombre de connexions max / sec / IP, etc...
La seconde serait de changer le port d'attaque du service SSH (soit sur le routeur NAT avec la bonne règle qui va bien, soit sur la machine dans une directive type Listen ou Port).
Selon certains (avis perso: ce n'est pas mon cas), c'est plus "secure".
La troisième est de n'autoriser que les authentifications par clés pour limiter les attaques sur les login/mot de passe "classiques".
Etc...
Bon courage !
Cdlt,
PS: Ah oui, je ne l'ai pas cité, mais je te conseille vivement d'interdir l'accès root au serveur SSH :D
Avec SUDO et (au moins) un utilisateur qui va bien, on peut s'en passer ^__^