Új hozzászólás Aktív témák

• #32993 M_AND_Ms addikt DoItYourself #32990

  Új Válasz 2018-02-07 09:17:07 #32993

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  M_AND_Ms

  addikt

  válasz DoItYourself #32990 üzenetére

  De az, hogy (túlzott) biztonsági megfontolásokból kikapcsolom az SSH-t és az, hogy az SSH-t Putty, vagy Winscp klienssel használom az két külön dolog, két külön téma.

  Én arról írtam, hogy egy fájl szerkesztését a Putty, Vi editor páros alkalmazása helyett kényelmesen a Winscp-vel is meg lehet oldani (mindezt egy olyan topiktársnak, aki pont a Vi editor nehézkességére panaszkodott - joggal). Erre bejön ide nekem és elkezdi nyomni, hogy az nem jó, mert az SSH-t nem szabad állandóan engedélyezetten tartani, mert az nagy biztonsági kockázat. Mi van??? Hogy jön ez az eredeti témához?

  "mi a helyzet egy belső fertőzés esetén? Mégiscsak egy olyan eszközről van szó, amihez nagyon egyszerűen root jogot lehet szerezni. Pl. adatgyűjtéshez, adatlopáshoz használható."
  Persze. De az meg sokaknak fáj, hogy Win10-nél user/jelszó párossal lehet csak megosztani. Ott nem számít a biztonság. Sőt, a Windowshoz nem egyszerű "root" jogot szerezni?
  Azért túlzottan ne legyünk már paranoiásak. Ennyi erővel a boxot ne dugjuk a helyi hálózatra se. Sőt HDD-t se tegyünk rá! Meg tegyük tűzálló szekrénybe. Mi több, haza se menjünk - így megúszhatjuk az otthoni esetleges gázrobbanás káros hatásait.

  Azért az elégséges, elfogadható és józan biztonsági tett, ha az SSH-t (sőt semmi olyat se, amire valóban nincs szükség. Minden másra ott a VPN) nem engedjük ki az Internetre és ha jelszóval védjük (félősebbek kulcsfájllal - amit elkészíteni nem nagy ördöngösség). Túlzásokba nem kell esni. Szerintem... ha már belementünk

  Aki tejszínhabot szeretne, az inkább verje ki a fejéből!

• #32999 Ejelhar senior tag DoItYourself #32990

  Új Válasz 2018-02-07 09:51:16 #32999

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  Ejelhar

  senior tag

  válasz DoItYourself #32990 üzenetére

  Szerintem erre az a legkényelmesebb megoldás, ha aktív marad az ssh szerver az LE-n, de lekorlátozzuk elérését, ugyanis lehet tűzfal szabályokat definiálni a kodiban, bár a belső hálón fix IP címet kell birtokolnia annak a gépnek, melyről el akarjuk érni.
  Például nálam a fő desktop az a 172.16.168.1 IP-n liheg állandóan.
  Na most, azt tudjuk, hogy az ssh default portja az a 22 TCP protokolon, akkor mondjuk meg az LE linuxnak: csak erről, a fenti IP címről fogadjon kéréseket ha az az ssh portjára irányul:
  iptables -I INPUT ! -s 172.16.168.1 -p tcp --dport 22 -j DROP

  Ennyi, ezt be is lehet rakni az autostart.sh file-ba, bootkor mindig felhúzza majd.
  Szövegesen értelmezve: a bemeneti láncba ellenőrizze, hogy jön e kérés TCP protokollon a 22-es portra és ha a kapcsolatot kezdeményező host IP-je nem 172.16.168.1, akkor dobja el a csomagokat, mintha soha nem is jött volna. Vagyis már el sem jut a kérés az ssh szerverig ha nem az engedélyezett IP-ről jön.

  [ Szerkesztve ]

Új hozzászólás Aktív témák