Bonjour,
pour limiter les tentatives de connexion sur le port 22, j'ai activé Firewall Network en bloquant le port 22 et en ouvrant un port xxxx qui au niveau du serveur est redirigé vers le 22 par firewalld(serveur linux). J'ai beau changer régulièrement de port, les tentatives sont toujours là.
Sur cette règle j'ai ajouter l'ip source de ma connexion, c'est une ip fixe.
Je me connecte sans problème, depuis une autre ligne, il n'y a pas de réponse, je me croyais donc sauvé mais ce matin je retrouve encore des tentatives listés par fail2ban.
Par où sont-ils passés ?
Merci, Gérard
Salut @GerardL14
Question toute bête, pourquoi tu ne modifie tout simplement pas ta conf ssh (/etc/ssh/sshd.conf ) et modifie le port ssh ???
Tu dois savoir que le firewall network n'agit qu'en entré du backbone OVH, c'est a dire uniquement a l'entrée du réseau.
Les IP OVH ne passent pas par ce firewall.
Tu peu donc avoir des tests de ton port 22 qui viennent de là.
Dans les logs tu auras les IP, tu peux donc faire un whois dessus et voir si c'est ça.
Si les IP que tu vois sont hors d'ovh, c'est que ton FW est mal configuré et que le trafic continue de passer.
Essai de check ces docs au cas où :
https://docs.ovh.com/fr/dedicated/firewall-network/
https://docs.ovh.com/fr/dedicated/securiser-un-serveur-dedie/
Jalinn
Pour la question bête, c'est plus simple et moins risqué. En cas de problème il suffit de désactiver FW. Sur Fedora car il s'agit de Fedora, il ne suffit pas de modifier sshd.conf, il faut aussi le faire prendre en compte par SeLinux. Il m'est arrivé une fois de perdre la main à cause de cela. La page de la doc ne me semble pas à jour car la plupart des distribution utilise maintenant SeLinux.
J'ai vérifié les ip et de fait ce sont de ip ovh mais cela ne ressemble pas à des test puisque c'est une tentative de connexion `password check failed for user (root)`.
Cela veut-il dire qu'il suffit d'avoir une machine ovh pour hacker les machines ovh sans passer par le FW ?
Merci
Bonjour,
Le FW du manager est celui qui se trouve dans le VAC, donc en bordure du réseau OVH.
Donc celui-ci ne filtre que les entrées/sorties du réseau OVH et non le réseau interne (par contre ils ont des sondes anti-ddos sur le réseau interne).
Cordialement, janus57
ok, je comprend en gros car je ne sais pas ce qu'est le VAC ! par contre je confirme que le poste 51.38.238.205 à multiplié les tentatives de connexion avec une bibliothèque de nom visiblement : fabian, master1, manager1, apache, cricket etc…
Bonjour,
je ne sais pas ce qu'est le VAC
c'est comme ça que se nomme le système anti-ddos de OVH (Cf : https://www.ovh.com/fr/anti-ddos/mitigation.xml) de mémoire c'est le diminutif de vacuum car cela va aspirer l'attaquer.
Et sinon il faut voir ça comme un équipement de filtrage présent dans chaque DataCentre ou gros point de connexion au réseau internet de OVH qui va filtre les attaques de type (D)DOS.
https://www.ovh.com/fr/abuse/ ==> pour dénoncer le serveur/VPS qui vous bruteforce (qui est sans doute infecté).
Cordialement, janus57