Защитна стена за сървър с инсталиран oscam

[Чейреков]

Здравейте колеги,
позволявам си да повдигна тази тема за да споделя опита си във филтрацията на връзки към оскам сървъра ми които напоследък са доста зачестили при мен.

Нека да обозначим кои връзки към оскам сървъра не желаем.
1. Връзки от т.н. анонимни потребители които могат да бъдат роботи спамери или т.н.
Търсим ги в лог файла по няколко начина:
 Първи начин (по-сложен) чрез връзка към сървъра със SSH
 команда: more -f /put_do_log_fajla/logfajl |grep anonymous
ако има такива опити ще видим нещо от сорта
2014/04/09 14:49:05  237A8B0 c anonymous disconnected from 80.*.220.*
2014/04/09 14:49:07  2384630 c anonymous disconnected from 197.251.*.6
2014/04/09 14:49:20  239DFA0 c anonymous disconnected from 80.*.220.*
2014/04/09 14:49:26  237E7B0 c anonymous disconnected from 197.251.*.6
2014/04/09 14:49:29  2347040 c anonymous disconnected from 197.251.*.6
2014/04/09 14:49:32  2384630 c anonymous disconnected from 197.251.*.6
2014/04/09 14:49:33  239DFA0 c anonymous disconnected from *.205.173.12

Втори начин: чрез т.н. LiveLog (в последните версии и ако оскам-а ни е компилиран с тази възможност)
В полето за търсене написваме anonymous слагаме отметка на found only както и сменяме цвета на Color на някакъв друг различен от бял ;-)
Ще видим същият резултат като по-горе (ако имаме връзки от анонимни потребители ест.)
2. Нежелани връзки от потребители които сме дезактивирали/изтрили
По същия начин но този път командата от Първи начин ще е :
more -f /put_do_log_fajla/logfajl |grep rejected
Втори начин: в полето на търсене пишем rejected
и по двата начина ще видим нещо от сорта:
2014/04/09 15:00:48  236CC30 c encrypted cccam-client 193.*.7.* rejected (disabled account)

Всички начини за намиране на злонамерени връзки описани по-горе работят само ако е активиран лог файла във оскам и е събрал достатъчно информация.

След като сме ги обозначили виждаме ИП адресите от които идват запитванията (заменил съм някои от числата със*)

Тъй като моята операционна система е убунту сървър предлагам начин за филтриране на връзки от ип адреси чрез инструмента ufw:
Влизаме като root чрез ssh/telnet във сървъра и пишем
ufw default allow
-тази команда казва на защитната стена по подразбиране на пропуска всички връзки
ufw enable
-тази команда активира защитната стена
ufw deny from IP_ADRESS_KOITO_ISKAME_DA_FILTRIRAME
-тази команда забранява изцяло всякакви връзки от IP_ADRESS_KOITO_ISKAME_DA_FILTRIRAME
ufw status numbered
- тази команда показва филтрите които са активирани до този момент по номера
Ако искаме да премахнем някой филтър пишем:
ufw delete NOMERA_NA_FILTARA

За повече информация за инструмента ufw тук

ВАЖНО: 1. чрез правилата по-горе спирате достъпа от посочените адреси изцяло до вашия сървър а не само до оска-ма
2. Работете внимателно с инструмента ufw и първо проверете дали нямате други потребители които трябва да работят от ип адресите които виждате от посочените примери.

Ще се радвам ако споделите опита си за филтриране на връзки в други операционни системи или сте си написали различни скриптове

Благодаря предварително

[дрим]

Поздравления колега за отделеното време и подробното обяснение.
Аз лично използвам Iptables, но както се казва въпрос на вкус и предпочитания.
Като цяло най-добрия вариянт е ако клиентите са ви със статични адреси, да ги пермитвате само тях, а останалите да са реджекнати по подразбиране, което би било перфектно, но за съжаление много рядко срещано.
Във всички случаи препоръчвам менъджмент порта да е отворен само за адресите от които вие се свързвате и да не позволявате root достъп под конзола.
Поздрави от мен.

[Онджичек]

Аз ползвам iptables директно на рутера. Имам едно питане към @чейреков- каква е идеята да се рови в лога, при положение че оскам има фейлбан? Да не би той (фейлбана) да пропуска нещо?!

[дрим]

Ами ако някой от усерите ти си пусне за момент втори приемник със същата линия преди да е загасил първия и си с unique 1 ще го баннеш и него


Sent from my GT-N7100 using Tapatalk

[jassen]

Аз ползвам iptables директно на рутера. Имам едно питане към @чейреков- каква е идеята да се рови в лога, при положение че оскам има фейлбан? Да не би той (фейлбана) да пропуска нещо?!

Жоро, фейлбан-а блокира достъпа до картите, иначе самите те се виждат и точно това използват някой недобронамерени колеги. След това ги представят като свои, друг е въпроса че няма да работят.

[Чък Норис]

Жоро, фейлбан-а блокира достъпа до картите, иначе самите те се виждат и точно това използват някой недобронамерени колеги. След това ги представят като свои, друг е въпроса че няма да работят.

Не е вярно това, директно те изхвърля и нямаш достъп до оскама, може би се бъркаш с антикаскадинга.

Ами ако някой от усерите ти си пусне за момент втори  приемник със същата линия преди да е загасил първия и си с unique 1 ще  го баннеш и него

Затова има опцията failbancount, което е хубаво да се остави на 2 или 3, аз даже поставям и 5, защото има шитави приемници, които първият им лог винаги го изписва като анонимен, дори и с някои от версиите на оскама го прави.

[Чейреков]

Не е вярно това, директно те изхвърля и нямаш достъп до оскама, може би се бъркаш с антикаскадинга.

Затова има опцията failbancount, което е хубаво да се остави на 2 или 3, аз даже поставям и 5, защото има шитави приемници, които първият им лог винаги го изписва като анонимен, дори и с някои от версиите на оскама го прави.

Да разбираме ли, че защитата която предоставя oscam е достатъчна за да защитим него и нашия сървър от нежелани връзки ?

Искаше  ми се (от заглавието на темата си личи) колегите да споделят тяхното  виждане за защитна стена, затова съм благодарен на колегите, които са  написали, че те ползват iptables.

Ще съм още по-благодарен ако споделят и конкретни примери за тяхната защитна стена.

Ще съм благодарен как те откриват такива връзки към oscam (автоматизирани скриптове и пр.)

Ще съм благодарен и на умните глави ако колеги споделят защитни стени които са правили на приемници и ембедед устройства.

Благодаря предварително.

[Чък Норис]

За малки домашни сървъри е напълно достатъчно.
От там винаги може да добавиш нежеланите за постоянно в iptables.

[Чейреков]

За малки домашни сървъри е напълно достатъчно.
От там винаги може да добавиш нежеланите за постоянно в iptables.

Хах както се казваше в един виц: "Поименно колега поименно..."

Та ... Примери г-н ПРОДУЦЕНТ примери (ако желаете естествено)
как вземате ип-тата които да сложите в iptables и какви команди използвате. С това темата ще е още по полезна за всички.
Как го правим ако не-желаем да ползваме failban примерно ?

Домашно или не сигурността мисля, че е на важно място защото принася за стабилност

Наздраве

[njor]

Когато е на една и съща машина както се получава когато бана се осъществява от оскама или от операционната система(убунтото) разликата е минимална.По голямо значение има начина на шкартиране,дали ще му се отговори или няма да му се обърна внимание(написано елементарно за да ме разберат и колеги които не се занимават със сървари).
По чистия начин е с рутер или друго устройство преди машината която се защитава.

[Чък Норис]

Използвай малко фантазията си, може да копираш ип-тата от уебинтерфейса(съвсем за ламери), а може и от конзола:

Код [Маркирай кода] Разшири

wget http://user:pass@oscam_webif.to:12345/failban.html
cat failban.html
.....
останалото го оставям на въображението ти