Wieso...

[jones1024]

...sollte man einen offenen SSH Port vorhalten? Mindestens eine Firewall sollte nur bestimmte IPs zulassen.

[Megusta]

OK und wie soll das mit einem öffentlichen Server und wechselnder ip (von Zuhause) funktionieren?

Vpn? Benötigt aber auch offenen Port



1 mal bearbeitet, zuletzt am 19.12.23 15:19 durch Megusta.

[franzs]

Die Provider nutzen bestimme Netze, aus denen die dynamischen IP-Adressen stammen. Eine Möglichkeit ist, nur diese Netze freizugeben. Ja, die Netze sind groß, aber immer noch kleiner als der komplette Netzbereich des internets.

Die Providernetze kann man mit whois rausfinden, wenn man seine aktuelle IP-Adresse nutzt, z. B.

whois -r 1.2.3.4 | grep route:

[dura]

jones1024 schrieb:
--------------------------------------------------------------------------------
> ...sollte man einen offenen SSH Port vorhalten? Mindestens eine Firewall
> sollte nur bestimmte IPs zulassen.

1. Ändert das an diesem Angriff genau *gar nichts*. Es handelt sich um ein MitM und wenn du dich einloggst, von deiner freigegebenen IP, dann kannst du angegriffen werden. Egal wie streng die FW ist.

2. Wird man sich da am Ende nur selbst aussperren. Man man begrenzen will, dann eher auf Netze bspw. mittels VLAN, aber Richtung Internet ist das, wenn man nicht grad' feste IPs hat, schon kaum möglich.
Man kann natürlich Port-Knocking o.ä. probieren, aber sich komplett rauszukicken? Was ist wenn der Provider plötzlich doch ein neues Netz hat, oder das Internet ausfällt und man per Mobilfunk oder fremdem Netz zugreifen muss, dann hat man Pech?

(Auf fail2ban zu setzen und vielleicht sogar noch Blocklists würde ich ja noch verstehen, aber generelle Allowlist bei allen SSH-Servern ist utopisch und unnötig.)

[Fritz-Box]

Wieso auch nicht? SSH ist gut zu konfigurieren und nicht alles muss hinter ein VPN.

Public key auth an, root login aus. Dürfte ähnlich viel Sicherheit bieten wie ein VPN.



1 mal bearbeitet, zuletzt am 19.12.23 22:27 durch Fritz-Box.

[ldlx]

Wie wärs mit DynDNS-Diensten? Also eigene IP-Adresse per DynDNS auflösen lassen und den Hostnamen beim Zielserver als freigegebene Adresse eintragen.