Техническое. Удивления
Mar. 3rd, 2007 03:18 pm![[personal profile]](https://www.dreamwidth.org/img/silk/identity/user.png){kind=small}
netchУдивился, почему в sshd (от OpenSSH) нигде нет настройки вида "пускать паролем/PAM только с указанных хостов, а с остальных только по ключу". В финском таки есть - через host-specific subconfig. В опёнковском нет - что странно, потому что в ssh_config конфиги по хостам есть. Неужели никто пока такого не просил?
Ну и защита против перебора у него слабовата.
(вслед этому простому хауту)
D-Link удивляет. Новые линейки (DVG-40xx, DVG-70xx) - кому и зачем нужны дикие комбинации типа "16*FXS+16*FXO"? Я понимаю нафига например 2*FXO+6*FXS - вместо миниАТСки (только надо сервер добавить). Понятно зачем просто 4*FXS или 4*FXO. А зачем такая странная смесь?
В ru.unix.bsd интересная дискуссия вокруг MTU & IPSec. В принципе против IPSec у меня давно зуб (чуть поменьше чем против IPv6, но примерно того же характера), только надо сформулировать почётче.
Кстати, RFC4459 - рассуждения о проблемах MTU - достаточно грамотно и по сути.
Ну и защита против перебора у него слабовата.
(вслед этому простому хауту)
D-Link удивляет. Новые линейки (DVG-40xx, DVG-70xx) - кому и зачем нужны дикие комбинации типа "16*FXS+16*FXO"? Я понимаю нафига например 2*FXO+6*FXS - вместо миниАТСки (только надо сервер добавить). Понятно зачем просто 4*FXS или 4*FXO. А зачем такая странная смесь?
В ru.unix.bsd интересная дискуссия вокруг MTU & IPSec. В принципе против IPSec у меня давно зуб (чуть поменьше чем против IPv6, но примерно того же характера), только надо сформулировать почётче.
Кстати, RFC4459 - рассуждения о проблемах MTU - достаточно грамотно и по сути.
![[identity profile]](https://www.dreamwidth.org/img/silk/identity/openid.png){kind=small}
no subject
Date: 2007-03-03 01:46 pm (UTC)А насчет брутфорса таки есть пачка методов. Во-первых pam_tally. Во-вторых в рассылках netbsd говорили про способ как забивать ip брутфорсеров в ipfw сразу же. Тоже через pam, по-мойму.
no subject
Date: 2007-03-03 01:57 pm (UTC)Но вообще по ключу извне сети - было бы, конечно, неплохо.
А так - приходится два разных демона вешать:)
no subject
Date: 2007-03-03 02:52 pm (UTC)сервера, а от всех остальных ssh закрыт.
Попробую в рассылку опенбсдшную написать идею, может быть кто вдохновится. :)
no subject
Date: 2007-03-04 11:43 am (UTC)> Попробую в рассылку опенбсдшную написать идею, может быть кто вдохновится. :)
Может, они просто субконфиги сделают?
no subject
Date: 2007-03-04 04:30 pm (UTC)no subject
Date: 2007-03-04 05:09 pm (UTC)no subject
Date: 2007-03-04 05:21 pm (UTC)Это понятно, но мало ли.
За ссылку спасибо, разные варианты стука могут когда-то и понадобиться... (knockd по последовательности портов работает, что и телнетом можно напеть, если без UDP)
Финский -- это прошу прощения какой?
Date: 2007-03-03 05:00 pm (UTC)Re: Финский -- это прошу прощения какой?
Date: 2007-03-04 10:31 am (UTC)Финский - это тот самый ssh, который до ~1999 был единственным и из последней действительно открытой версии которого была взята база для оёнковского OpenSSH.
Берётся на www.ssh.fi, для фрёвого порта - ports/security/ssh2
no subject
Date: 2007-03-04 11:38 am (UTC)А 2 демона и правила в iptables с редиректом на разные порты... как-то геморройно, мне кажется.
no subject
Date: 2007-03-04 11:40 am (UTC)Другое дело, что аналоговые шлюзы Длинка раньше традиционно были на редкость глючными и кривыми.
В отличие от нормальных.
no subject
Date: 2007-03-04 11:45 am (UTC)no subject
Date: 2007-03-04 11:51 am (UTC)А без миниАТС, соотв. только fxs..
Сервер для ip АТС с аналоговыми входами и выходами - это как мне кажется, тупиковая идея.
Шлюзы типа 2+2 делает тот же Аддпак - и они вполне хороши.
no subject
Date: 2007-03-04 12:08 pm (UTC)Ему удобнее использовать PRI или IP для доступа к аплинку. FXO вообще штука достаточно узкоспециализированная - в современных условиях.
no subject
Date: 2007-03-04 12:22 pm (UTC)fxo - для тех, у кого миниАТС.
no subject
Date: 2007-03-04 01:53 pm (UTC)no subject
Date: 2007-03-04 08:36 pm (UTC)no subject
Date: 2007-03-04 08:43 pm (UTC)no subject
Date: 2007-03-05 10:07 am (UTC)no subject
Date: 2007-03-04 11:52 am (UTC)no subject
Date: 2007-03-04 12:09 pm (UTC)no subject
Date: 2007-03-04 12:22 pm (UTC)no subject
Date: 2007-03-09 10:18 pm (UTC)http://www.opennet.ru/opennews/art.shtml?num=10061
no subject
Date: 2007-03-10 11:15 am (UTC)no subject
Date: 2007-03-10 10:53 am (UTC)OpenSSH 4.6 :
Changes since OpenSSH 4.5:
============================
* sshd now allows the enabling and disabling of authentication
methods on a per user, group, host and network basis via the
Match directive in sshd_config.
Надо будет проверить, можно ли задать разрешения для ключей.
no subject
Date: 2007-03-10 11:14 am (UTC)Если можно для дефолтной группы хостов написать "PasswordAuthentication no" и "ChallengeResponseAuthentication no", а для своих - разрешить хотя бы второе - будет достаточно положительного эффекта:)) Все переборщики резко пойдут лесом.
no subject
Date: 2007-03-10 12:55 pm (UTC)Мне например, было бы удобно для спец. логина открыть доступ с 0/0, а вот для типовых рабочих - только со своих сеток.
offtopic (приятное удивление)
Date: 2007-03-15 07:11 am (UTC)LINUX NET APPLIANCE PLATFORM TARGETS SECURITY APPS
Bivio Networks has added a high-end model to its line of Linux-based
network appliances for deep packet inspection. The sub-$10,000 "7000"
runs the company's Linux-based BiviOS on an interesting AMP
(asymmetrical multiprocessing) architecture claimed capable of
wirespeed Layer 3-7 network application processing at 10
gigabits-per-second.
http://ct.enews.deviceforge.com/rd/cts?d=207-199-2-28-11164-17518-0-0-0-1
Будто минимум одни докопались в правильном направлении?