Protéger SSH avec sshguard OLD (1.4)

Cette documentation se limite à sshguard 1.4.X. Pour les versions plus récentes : http://wiki.csnu.org/index.php?title=Prot%C3%A9ger_SSH_avec_sshguard

Pour Debian Lenny, vérifiez que vous avez les dépôts backports configurés dans /etc/apt/sources.list :

deb http://backports.debian.org/debian-backports lenny-backports main

Sous Debian Squeeze, le paquet est disponible dans les dépôts debian.

aptitude install sshguard psmisc

Configurez la whitelist :

#les deux ips de la boucle locale (ipv4 et ipv6)
echo "127.0.0.1" > /etc/sshguard_whitelist
echo "0:0:0:0:0:0:0:1" >>  /etc/sshguard_whitelist
#On peut aussi ajouter des block d'ips, ici, un range local
echo "192.168.0.0/24" >> /etc/sshguard_whitelist
#et pareil avec les ipv6 si vous êtes en version 1.5 minimum
echo "2001:462:9a02:1003:0000:0000:0000:0000/64" >> /etc/sshguard_whitelist

Lancement manuel

Support IPv4 :

iptables -N sshguard

Support IPv6 :

ip6tables -N sshguard

Paramétrer le blocage pour les ports ssh, ftp, pop, imap, http et https :

iptables -A INPUT -m multiport -p tcp --destination-ports 21,22,110,143,80,443 -j sshguard
ip6tables -A INPUT -m multiport -p tcp --destination-ports 21,22,110,143,80,443 -j sshguard

Configurez la restauration automatique des règles iptables lors d'un reboot :

iptables-save > /etc/sshguard_iptables
ip6tables-save > /etc/sshguard_ip6tables

Créez le fichier /etc/network/if-up.d/sshguard contenant :

#! /bin/sh
iptables-restore < /etc/sshguard_iptables
ip6tables-restore < /etc/sshguard_ip6tables

Rendez ce fichier exécutable :

chmod +x /etc/network/if-up.d/sshguard

Après un reboot, vous pouvez vérifier que les règles ont bien été redéfinies :

iptables --list sshguard
ip6tables --list sshguard

Enfin, voici comment lancer sshguard :

tail -n0 -F /var/log/auth.log | /usr/sbin/sshguard -a 2 -p 1800 -w /etc/sshguard_whitelist &

Vous pouvez ajouter cette ligne à la fin du fichier /etc/rc.local

Lancement automatique avant ssh

Créez le fichier /etc/init.d/sshguard :

#! /bin/sh

### BEGIN INIT INFO
# Provides:             sshguard
# Required-Start:       $remote_fs $syslog
# Required-Stop:        $remote_fs $syslog
# Default-Start:        2 3 4 5
# Default-Stop:         
# Short-Description:    sshguard
### END INIT INFO

case "$1" in
        start)
                iptables -N sshguard
                ip6tables -N sshguard
                iptables -A INPUT -m multiport -p tcp --destination-ports 21,22,110,143,80,443 -j sshguard
                ip6tables -A INPUT -m multiport -p tcp --destination-ports 21,22,110,143,80,443 -j sshguard
                tail -n0 -F /var/log/auth.log | /usr/sbin/sshguard -a 2 -p 1800 -w /etc/sshguard_whitelist &
                #décommentez ceci si vous utilisez http://wiki.csnu.org/index.php?title=Firewall
                #/root/firewall/firewall.sh start   
        ;;
        stop)
                killall /usr/sbin/sshguard
                iptables -D INPUT -m multiport -p tcp --destination-ports 21,22,110,143,80,443 -j sshguard
                ip6tables -D INPUT -m multiport -p tcp --destination-ports 21,22,110,143,80,443 -j sshguard
                iptables -X sshguard
                ip6tables -X sshguard
        ;;
        *)
                echo "Usage: $0 {start|stop}"
                exit 1
        ;;
esac

Rendez le exectuable :

chmod +x /etc/init.d/sshguard

Sous debian lenny :

update-rc.d sshguard start 15 2 3 4 5 . stop 85 1 .

Sous debian squeeze :

insserv sshguard