এসএসএইচ-এ লগ ইন করার সময় আমার কী প্রমাণীকরণ ব্যবহার করা উচিত, বা কেবল ব্যর্থ 2ban + ssh (রুট লগইন অক্ষম) এর জন্য যেতে হবে কিনা তা নিয়ে আমার সন্দেহ।
ফেলফ্যানবান কি নিরাপদ নাকি কেবলমাত্র এগিয়ে গিয়ে কী তৈরি করা এবং কনফিগার করা কি আমার সমস্ত ক্লায়েন্ট মেশিনে যেগুলি এসএসএসের সাথে সংযোগ স্থাপন করা দরকার সেগুলি আরও ভাল?
উত্তর:
আমি এটিকে স্থিতিশীল পণ্য হিসাবে বিচার করি এবং আমি এটিকে নিরাপদ হিসাবে বিবেচনা করি। অতিরিক্ত সতর্কতা হিসাবে আমি নিজের উত্সের আইপি ঠিকানাটি আপনাকে নিজের অবরুদ্ধ না করে তা নিশ্চিত করার জন্য ignoreipনির্দেশিকায় যুক্ত jails.confকরব।
যেহেতু এটি ssh লগগুলিকে বিশ্লেষণ করে একটি টিসিপি সেশনটি প্রতিষ্ঠিত হতে চলেছে তাই উত্সের আইপিগুলি ফাঁকি দেওয়ার জন্য এবং টিসিপি সিকোয়েন্স সংখ্যাগুলি সঠিকভাবে পাওয়া যায় যাতে এক ধরণের ব্যাকস্কেটার বৈচিত্র তৈরি হয়।
এর উপরে কীগুলি ব্যবহার করা কোনও খারাপ ধারণা নয়। অন্যান্য বিকল্পগুলি যা "সাম্প্রতিক" iptables মডিউলটি ব্যবহার করে একটি অমানুষ আইপি তে ssh স্থানান্তরিত করতে সহায়তা করে বা লোকেরা পাসওয়ার্ড জোর করে ফেলতে চেষ্টা করে তবে আপনার কোনও যত্ন নেই iding এগুলির জন্য আরও এই সার্ভারফল্ট পোস্টটি দেখুন ।
প্রতিবার আমি যখন কোনও পরিবেশের পরিবেশে অস্বীকারকারী বা ব্যর্থ2ban বাস্তবায়ন করেছি তখন এটি আনলক অনুরোধগুলির একটি গ্যারান্টিযুক্ত টিকিট-স্ট্রিম তৈরি করেছে, পাসওয়ার্ড পুনরায় সেট করার অনুরোধগুলি, সেটিংস পরিবর্তন করতে বা শ্বেতলিস্ট পরিচালনা করার জন্য অনুরোধ এবং সাধারণভাবে লগ ইন ছেড়ে দেওয়া লোকেরা তারা নিজেরাই করতে পারে এমন জিনিসগুলির জন্য সিসাদমিনগুলিতে জিনিসগুলি দেখুন এবং আরও ঝুঁকুন।
এটি প্রতি-সেয়ে কোনও সরঞ্জামের সাথে কোনও প্রযুক্তিগত সমস্যা নয়, তবে আপনার ব্যবহারকারীরা যদি কয়েক ডজন বা তার বেশি সংখ্যক হয় তবে এটি সমর্থন কাজের চাপ এবং হতাশ ব্যবহারকারীদের ক্ষেত্রে একটি লক্ষণীয় উপকারী হতে চলেছে।
এছাড়াও, তারা যে সমস্যার সমাধান করে তা হ'ল তারা হ'ল ব্রুট ফোর্স এসএস লগইন আক্রমণগুলির ঝুঁকি হ্রাস করে। সত্যিই, যতক্ষণ না আপনার কাছে একটি মাঝারি শালীন পাসওয়ার্ড নীতি রয়েছে ততক্ষণ এর ঝুঁকি অবিশ্বাস্যভাবে ছোট।
আমি এখনই অল্প সময়ের জন্য Fail2Ban চালিয়েছি এবং সম্প্রতি আমি আমার এসএসএইচ সার্ভারে প্রবেশের চেষ্টাগুলি বিতরণ করেছি। তারা যে হারে যাচ্ছে তাতে তারা কখনই সফল হবে না, তবে আমি এটি লক্ষ্য রাখছি।
তারা একটি অভিধান দিয়ে যাচ্ছিল, প্রতিটি আইপি দু'বার চেষ্টা করে, সেই চেষ্টাগুলি ব্যর্থ হওয়ার পরে অন্য আইপিও এরকম করে না etc. ইত্যাদি আমি আইপি নিষিদ্ধ করার বিষয়টি বিবেচনা করেছি যা অজানা ব্যবহারকারীর নাম x বার চেষ্টা করে। তবে এখন পর্যন্ত আমি কয়েক হাজার বিভিন্ন আইপি পেতে চেষ্টা করেছি; এবং আমি উদ্বিগ্ন যে আমি তাদের সমস্ত ব্লক করলেও আরও অনেক কিছু থাকবে be
.confফাইল সম্পাদনা করতে হবে না এবং পরিবর্তে ফাইলগুলিতে আপনার কনফিগারেশন স্থাপন.localকরা হবে। এটি আপনার স্থানীয় ফাইলগুলির কোনও ওভাররাইট করা না হওয়ায় এটি আপগ্রেডগুলি আরও সহজ করে তোলে।