Зеркало Telegram-чата "Репка / Repka-Pi"

[maxp.dev]

Ну пользоваться или не пользоваться тем или иным инструментом дело каждого. Мне тоже в большинстве случаев привычнее отключить вход по логину и паролю оставив только вход по ключам.

я просто про то, что без fail2ban тоже вполне можно жить, и довольно успешно

 

[Sudarikov Ilya]

они используют инъекции в скриптах. Даже у последних версий phpmyadmin есть уязвимости в библиотеках. Они не напрямую в index бьют, а в конкретные библиотеки.
Чем массовее средство, тем больше у него багов и средств для атак.

Ну тогда один путь завернуть внутрь локалки и использовать ssh туннель

 

[Д D]

я просто про то, что без fail2ban тоже вполне можно жить, и довольно успешно

одно из...да... если речь про доступ к серверу для мониторинга, то достаточно. Как только начинаешь открывать порты для сторонних программ, веб сервера, для портов датчиков, всякие библиотеки для связи... на них отдельные правила...

 

[maxp.dev]

А что мешает использовать для phpmyadmin?

[phpmyadmin]
enabled = true
filter = phpmyadmin
port = https,http
action = iptables-multiport[name=phpmyadmin, port="http,https", protocol=tcp]
vesta[name=PHPMYADMIN]
logpath = /var/log/auth.log
findtime = 3600
maxretry = 3
bantime = 604800

от использования дефолнтых паролей подобное не поможет, а вот самому себе гемора на три попытки очень даже может создать

 

[Sudarikov Ilya]

от использования дефолнтых паролей подобное не поможет, а вот самому себе гемора на три попытки очень даже может создать

Ну так там есть ограничение с ip

 

[maxp.dev]

одно из...да... если речь про доступ к серверу для мониторинга, то достаточно. Как только начинаешь открывать порты для сторонних программ, веб сервера, для портов датчиков, всякие библиотеки для связи... на них отдельные правила...

да, там надо внимательно смотреть.

 

[Д D]

алерты в бота и скрипты обнуления попыток через него же.

 

[Sudarikov Ilya]

Я же не весь конфиг кидал

 

[maxp.dev]

Ну так там есть ограничение с ip

когда, например, с мобилы идешь, то фиг знает какой ип

 

[Д D]

да все поняли, безопасная безопасность - это отдельная ветка. Просто для новичков инфо, чтобы не рисковали на старте своими данными и делали минимальную обвязку, блокировку от ботов, сложные пароли.. это уже убережет на 90%. А дальше тонкости, которые постигнут в процессе.. когда чувствительность к пропаже данных станет существенной, сами они догадаются делать дампы, усложнять доступ и т д

 

[Sudarikov Ilya]

когда, например, с мобилы идешь, то фиг знает какой ип

Еще раз что мешает использовать ключи вместо паролей?

 

[Sudarikov Ilya]

Хотя это уже другая стадия понимания

 

[Д D]

Еще раз что мешает использовать ключи вместо паролей?

как обычно порог знаний. Люди на входе пользуются тем как средство настроено по дефолту))

 

[maxp.dev]

есть относительно простое правило -
вообще не байндить ничего не на локалхост, кроме ssh на большом порту и nginx.
через nginx прокидывать поименно только те ендпоинты, которые хорошо понятны и сконфигурированы - все остальное, при желании, через ssh туннель.

дешево и сердито.

 

[Sudarikov Ilya]

есть относительно простое правило -
вообще не байндить ничего не на локалхост, кроме ssh на большом порту и nginx.
через nginx прокидывать поименно только те ендпоинты, которые хорошо понятны и сконфигурированы - все остальное, при желании, через ssh туннель.

дешево и сердито.

Вот тут полностью согласен

 

[maxp.dev]

Еще раз что мешает использовать ключи вместо паролей?

это само собой, там больше речь про то, что в логах дофига мусора, если ссш на 22 порту висит

 

[Sudarikov Ilya]

это само собой, там больше речь про то, что в логах дофига мусора, если ссш на 22 порту висит

Ну да если анализировать лог то там много и на другие порты но не так как на 22

 

[maxp.dev]

причем, чем больше порт, тем меньше мусора ))

 

[maxp.dev]

ну не прямо так, конечно
но есть смысл делать порт подальше

 

[Sudarikov Ilya]

причем, чем больше порт, тем меньше мусора ))

Да но я стал замечать что начали от обратного уже идти