![[personal profile]](https://www.dreamwidth.org/img/silk/identity/user.png){kind=small}
Техническое. Удивления
Удивился, почему в sshd (от OpenSSH) нигде нет настройки вида "пускать паролем/PAM только с указанных хостов, а с остальных только по ключу". В финском таки есть - через host-specific subconfig. В опёнковском нет - что странно, потому что в ssh_config конфиги по хостам есть. Неужели никто пока такого не просил?
Ну и защита против перебора у него слабовата.
(вслед этому простому хауту)
D-Link удивляет. Новые линейки (DVG-40xx, DVG-70xx) - кому и зачем нужны дикие комбинации типа "16*FXS+16*FXO"? Я понимаю нафига например 2*FXO+6*FXS - вместо миниАТСки (только надо сервер добавить). Понятно зачем просто 4*FXS или 4*FXO. А зачем такая странная смесь?
В ru.unix.bsd интересная дискуссия вокруг MTU & IPSec. В принципе против IPSec у меня давно зуб (чуть поменьше чем против IPv6, но примерно того же характера), только надо сформулировать почётче.
Кстати, RFC4459 - рассуждения о проблемах MTU - достаточно грамотно и по сути.
Ну и защита против перебора у него слабовата.
(вслед этому простому хауту)
D-Link удивляет. Новые линейки (DVG-40xx, DVG-70xx) - кому и зачем нужны дикие комбинации типа "16*FXS+16*FXO"? Я понимаю нафига например 2*FXO+6*FXS - вместо миниАТСки (только надо сервер добавить). Понятно зачем просто 4*FXS или 4*FXO. А зачем такая странная смесь?
В ru.unix.bsd интересная дискуссия вокруг MTU & IPSec. В принципе против IPSec у меня давно зуб (чуть поменьше чем против IPv6, но примерно того же характера), только надо сформулировать почётче.
Кстати, RFC4459 - рассуждения о проблемах MTU - достаточно грамотно и по сути.
no subject
А насчет брутфорса таки есть пачка методов. Во-первых pam_tally. Во-вторых в рассылках netbsd говорили про способ как забивать ip брутфорсеров в ipfw сразу же. Тоже через pam, по-мойму.
no subject
Но вообще по ключу извне сети - было бы, конечно, неплохо.
А так - приходится два разных демона вешать:)
no subject
сервера, а от всех остальных ssh закрыт.
Попробую в рассылку опенбсдшную написать идею, может быть кто вдохновится. :)
no subject
> Попробую в рассылку опенбсдшную написать идею, может быть кто вдохновится. :)
Может, они просто субконфиги сделают?
no subject
no subject
no subject
Это понятно, но мало ли.
За ссылку спасибо, разные варианты стука могут когда-то и понадобиться... (knockd по последовательности портов работает, что и телнетом можно напеть, если без UDP)
Финский -- это прошу прощения какой?
(Anonymous) 2007-03-03 05:00 pm (UTC)(link)Re: Финский -- это прошу прощения какой?
Финский - это тот самый ssh, который до ~1999 был единственным и из последней действительно открытой версии которого была взята база для оёнковского OpenSSH.
Берётся на www.ssh.fi, для фрёвого порта - ports/security/ssh2
no subject
А 2 демона и правила в iptables с редиректом на разные порты... как-то геморройно, мне кажется.
no subject
Другое дело, что аналоговые шлюзы Длинка раньше традиционно были на редкость глючными и кривыми.
В отличие от нормальных.
no subject
no subject
А без миниАТС, соотв. только fxs..
Сервер для ip АТС с аналоговыми входами и выходами - это как мне кажется, тупиковая идея.
Шлюзы типа 2+2 делает тот же Аддпак - и они вполне хороши.
no subject
Ему удобнее использовать PRI или IP для доступа к аплинку. FXO вообще штука достаточно узкоспециализированная - в современных условиях.
no subject
fxo - для тех, у кого миниАТС.
no subject
no subject
no subject
no subject
no subject
no subject
no subject
no subject
http://www.opennet.ru/opennews/art.shtml?num=10061
no subject
no subject
OpenSSH 4.6 :
Changes since OpenSSH 4.5:
============================
* sshd now allows the enabling and disabling of authentication
methods on a per user, group, host and network basis via the
Match directive in sshd_config.
Надо будет проверить, можно ли задать разрешения для ключей.
no subject
Если можно для дефолтной группы хостов написать "PasswordAuthentication no" и "ChallengeResponseAuthentication no", а для своих - разрешить хотя бы второе - будет достаточно положительного эффекта:)) Все переборщики резко пойдут лесом.
no subject
Мне например, было бы удобно для спец. логина открыть доступ с 0/0, а вот для типовых рабочих - только со своих сеток.
offtopic (приятное удивление)
LINUX NET APPLIANCE PLATFORM TARGETS SECURITY APPS
Bivio Networks has added a high-end model to its line of Linux-based
network appliances for deep packet inspection. The sub-$10,000 "7000"
runs the company's Linux-based BiviOS on an interesting AMP
(asymmetrical multiprocessing) architecture claimed capable of
wirespeed Layer 3-7 network application processing at 10
gigabits-per-second.
http://ct.enews.deviceforge.com/rd/cts?d=207-199-2-28-11164-17518-0-0-0-1
Будто минимум одни докопались в правильном направлении?