5 respuestas en este tema

[seoane]

Recientemente he alquilado un servidor dedicado (Atom™ N2800 1.86 GHz+ 4 GB 1 TB) y le he instalado debian. La primera preocupación que tuve es proteger mi pequeño servidor en esta jungla que es internet  y así es como descubrí esta maravillosa herramienta UncomplicatedFirewall (ufw) que basicamente es un "frontend" que permite manejar el firewall integrado en el kernel de linux usando comandos realmente simples.

Por ejemplo:

delphi

ufw deny 22
ufw allow 22
ufw deny from 220.60.90.55 to any por 22

Así de sencillo es bloquear un puerto, una ip, etc ...

El siguiente paso es añadir reglas a nuestro firewall, para esto recomiendo el programa fail2ban que monitoriza los ficheros de logs en busca de ataques y añadirá las "malas" IPs a la lista de baneados de nuestro firewall, pudiendo programar la duración del "castigo" para que les saque el baneo después de un tiempo prudencial.

Hasta aquí es una instalación típica (ufw + fail2ban) que podéis encontrar en cientos de tutoriales de internet.

Mi pequeña contribución es la siguiente.

En la pagina https://www.badips.com/get/list/ssh/1 podemos descargarnos una lista actualizada de IPs que han tenido un "mal comportamiento", así que podemos hacer un script que las añada a nuestro firewall:

delphi

curl https://www.badips.com/get/list/ssh/2 > blacklist.txt
ufw status > status.txt
./badip status.txt blacklist.txt > add.sh
sh add.sh

La primera linea descarga la lista actualizada de internet, luego guardamos una lista con las reglas que se aplican actualmente en el firewall, comprobamos que nuevas IPs hay en la lista y las añadimos. De la ultima parte, la de comprobar que IPs se han añadido y generar los comandos necesarios se encarga el siguiente programa en freepascal:

delphi

program badip;
 
uses Sysutils, Classes;
 
var
  Str: String;
  Blacklist: Text;
begin
  if ParamCount <> 2 then
    Halt;
 
  with TStringList.Create do
  try
    Sorted:= TRUE;
    Duplicates:= dupIgnore;
    if FileExists(ParamStr(1)) then
    begin
      AssignFile(BlackList,ParamStr(1));
      {$i-}
        Reset(BlackList);
      {$i+}
      if IOResult = 0 then
      try
        while not EOF(BlackList) do
        begin
          Readln(BlackList,Str);
          if Copy(Str,1,39) = 'Anywhere                   DENY        ' then
            Add(Copy(Str,40,MAXINT));
        end;
      finally
        CloseFile(BlackList);
      end;
    end;
 
    AssignFile(BlackList,ParamStr(2));
    {$i-}
      Reset(Blacklist);
    {$i+}
    if IOResult = 0 then
    try
      while not EOF(BlackList) do
      begin
        Readln(BlackList,Str);
        if IndexOf(Str) < 0 then
          Writeln('ufw insert 1 deny from  ' + Str);
      end;
    finally
      CloseFile(BlackList);
    end;
  finally
    Free;
  end;
 
end.

En resumen tenemos el servidor fortificado usando ufw + fails2ban + badips 

Solo tenemos que tener el cuidado de ejecutar el script peridicamente para mantener a los malos a raya.

Saludos

[seoane]

Ya veo que no tuvo mucho exito este tema 

Pero de todas formas dejo por aqui lo que finalmente monte, ya que el uso de ufw se hacia demaisado lento para esta tarea (no esta pensado para eso).

Al final monte "ipset" que si que es la herramienta adecuada para hacer "blacklists"

delphi

apt-get ipset
 
Creamos el set
ipset create badips hash:ip family inet hashsize 8192 maxelem 65536
 
Añadimos la regla a las iptables
iptables -I INPUT -m set --match-set badips src -j DROP
 
Añadimos ips a la lista negra
ipset add badips 69.164.195.172

Y ahora la parte de hacerlo automatico. Me olvide de pascal  y hice un pequeño script en bash

delphi

#!/bin/sh
 
cd /root/scripts/badips
curl https://www.badips.com/get/list/ssh/2 -o blacklist.txt &> /dev/null
ipset list badips > temp.txt
echo 213.213.213.213 >> temp.txt
grep -F -x -v -f temp.txt blacklist.txt > new.txt
for ip in $(grep -E -o "(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)" new.txt); do
	echo add: $ip
	ipset add badips $ip
done

* 213.213.213.213 es cualquier ip que queremos impedir que se añada a la lista negra.

Y listo, mas rapido y sencillo no puede ser

Saludos

[egostar]

Vaya, no habia visto éste mensaje hasta ahora que lo actualizas, yo estoy pagando un servicio de Cloud en DigitalOcean donde le instalamos ubuntu ( creo, poliburro debería saber más que yo de eso) y ahí está sin usarse y sin verificarse, es decir, en estado silvestre

Me parece muy interesante.

Saludos

[seoane]

Vaya, no habia visto éste mensaje hasta ahora que lo actualizas, yo estoy pagando un servicio de Cloud en DigitalOcean donde le instalamos ubuntu ( creo, poliburro debería saber más que yo de eso) y ahí está sin usarse y sin verificarse, es decir, en estado silvestre

No conozco DigitalOcean ¿con que proposito lo contratasteis?

Yo cogi el mas barato que encontre  en OVH, uno de los que ofertan bajo la marca Kimsufi. Son muy baratos, servidores dedicados desde 5 Euros al mes (llegaron a ofertarlos a 3 Euros), pero hay que pillarlos al vuelo en cuanto queda alguno disponible hay alguien que lo contrata, casi nunca hay stock. Yo lo afronte como un reto, me hice un programa que consultaba el webservices de kimsufi y me avisaba al movil cuando quedaba uno disponible  (... si me aburro mucho  )

Al final no cogi el mas barato, sino el siguiente, el de 10 Euros, y si digo la verdad todavia no se que hacer con el. Le he instalado un debian, le he configurado el firewall (ufw + fail2ban + ipset) y le he puesto un servidor de Subversion para alojar mis proyectos, pero lo he dejado ahi. Tembien probe a montar un servidor web (nginx + php + mysql) y sobre el montar OwnCloud (parecido a dropbox pero OpenSource), pero una vez montado no le vi utilidad y lo desmonte todo (... ya dije que me aburro mucho  ...)

Pues a seguir jugando ¿alguna sugerencia de que montar en mi pequeño servidor?

[Delphius]

Yo espero algún día aprender a mantener un servidor en Linux. 
Y que en realidad DEBO aprenderlo y más temprano que tarde.  Si bien mi equipo actual es una máquina a la que se la podría atacar con mil peticiones y aún ronronearía  no me arriesgaría a tenerla por siempre como servidor. En 1ra porque es una notebook de sus kilos, y otra que... vamos, que es para lanzar mi desarrollo profesional.

Algún día esta máquina tendrá sus hijitos y formará una familia en mi emprendimiento. Y para entonces los conocimientos que nos brindas, como éste, Domingo prefiero tenerlos como lecciones antes que jugarmelas a decir bueno... que se arregle solito en server. 

Saludos,

[egostar]

No conozco DigitalOcean ¿con que proposito lo contratasteis?

Pues, sólo para ver que era, pago 5 dolares al mes por el servicio, algún día lo usaré en algo

Yo cogi el mas barato que encontre  en OVH, uno de los que ofertan bajo la marca Kimsufi. Son muy baratos, servidores dedicados desde 5 Euros al mes (llegaron a ofertarlos a 3 Euros), pero hay que pillarlos al vuelo en cuanto queda alguno disponible hay alguien que lo contrata, casi nunca hay stock. Yo lo afronte como un reto, me hice un programa que consultaba el webservices de kimsufi y me avisaba al movil cuando quedaba uno disponible  (... si me aburro mucho  )

Al final no cogi el mas barato, sino el siguiente, el de 10 Euros, y si digo la verdad todavia no se que hacer con el. Le he instalado un debian, le he configurado el firewall (ufw + fail2ban + ipset) y le he puesto un servidor de Subversion para alojar mis proyectos, pero lo he dejado ahi. Tembien probe a montar un servidor web (nginx + php + mysql) y sobre el montar OwnCloud (parecido a dropbox pero OpenSource), pero una vez montado no le vi utilidad y lo desmonte todo (... ya dije que me aburro mucho  ...)

Pues a seguir jugando ¿alguna sugerencia de que montar en mi pequeño servidor?

Pues si alguien da alguna sugerencia, yo me anoto para hacer uso de ese Cloud que está sin uso práctico.

Saludos