Problemas com SSH: IP sendo banido após x logins bem-sucedidos consecutivos [RESOLVIDO]

1. Problemas com SSH: IP sendo banido após x logins bem-sucedidos consecutivos [RESOLVIDO]

thinomar
thinomar

(usa Linux Mint)

Enviado em 23/12/2014 - 18:19h

Olá pessoal,

Estou tendo um pequeno problema com o SSH de um dos servidores da empresa. O problema é que estou utilizando um software de monitoramento chamado Nagios, e como a utilização de algum outro modo de checagem, como o NRPE, exige a instalação de diversos pacotes que prefiro não instalar, já que o servidor é dedicado, resolvi utilizar checagem por SSH. Criei uma chave de acesso, pro próprio Nagios fazer o acesso por SSH e coletar as informações e deu tudo certo. Agora que o problema aparece. Toda vez que ativo as checagens nesse servidor, ele checa tudo normal, mas quando vai fazer a quinta ou sexta checagem consecutiva, o meu IP é banido e dá timeout, então tenho que ir em outro servidor, pular pra ele e desbanir meu IP, mas assim que o Nagios vai fazer as checagens o IP já é banido novamente.

Vejam bem, o problema não é na chave de acesso que criei, pois ela funciona normalmente, inclusive quando testo com o comando abaixo:

sudo -u nagios ssh nagios@servidor 


Ou com o próprio plugin do Nagios:

sudo -u nagios ./check_by_ssh -l nagios -H <ip-do-servidor> -C "<comando>" 


A questão é a quantidade de vezes que logo. Pelo que notei, após 4 logins consecutivos, ele já bane meu IP.

Há alguma configuração do SSH, talvez em /etc/ssh/sshd_config ou /etc/ssh/ssh_config, que permita configurar o número permitido de logins bem-sucedidos consecutivos? Algo como o maxretry e bantime.

P.S. ignoreip não é uma opção, já que o IP da empresa é dinâmico.

Desde já agradeço.

Att.,
Thiago Martins



  


2. MELHOR RESPOSTA

Perfil removido
removido

(usa Nenhuma)

Enviado em 29/12/2014 - 14:20h

thinomar escreveu:

Fiz o teste manualmente, acessando o outro servidor via SSH, saindo e entrando até bloquear. O número de tentativas bem sucedidas é 5. Na sexta tentativa ele dá timeout, retornando a seguinte mensagem:

ssh: connect to host <server>.<domain> port <port-number>: Connection timed out 


O cliente 'ssh' não consegue acessar o host. Não parece algo vindo do 'sshd'.

É possível acessar novamente cerca de 10 minutos após o bloqueio.
[/quote]

Espero que alguém tenha uma resposta mais precisa mas eu desconheço uma maneira de fazer este tipo de coisa através do 'sshd'. Inclusive, vejo essas coisas serem implementadas através de outros softwares como 'failban', 'snort', 'iptables' etc.

1. Solução ideal:
- Caso você seja o administrador dos servidores:
- Procurar e corrigir as configurações/softwares que estejam provocando este comportamento.

- Caso você não seja o administrador dos servidores:
- Solicitar aos mesmos uma revisão de regras para liberar ao menos o seu servidor com Nagios.

2. Solução gambiarra (no seu caso, não soluciona, apenas muda o problema de lugar):
- Abrir um única conexão SSH de forma a manter um file socket aberto para que todas as demais conexões reutilizassem essa conexão. Isto não funcionaria se por acaso o servidor estiver configurado para aceitar uma única conexão. Caso os servidores destino possuam configuração para desconectar clientes ociosos, seria necessário ainda configurar o cliente para "pingar" a conexão num tempo menor que o "tempo de limite de ociosidade".

Utilize a segunda opção somente se você não conseguir resolver pela primeira e tenha em mente que gambiarras são traiçoeiras e necessitam de monitoramento ininterrupto além da certeza que a qualquer momento elas irão lhe trair.


3. Re: Problemas com SSH: IP sendo banido após x logins bem-sucedidos consecutivos [RESOLVIDO]

Perfil removido
removido

(usa Nenhuma)

Enviado em 24/12/2014 - 00:28h

É certeza que você não tem nenhum outro software nesse servidor que esteja banindo o IP do nagios? Qual é a exata mensagem que você recebe?



4. Re: Problemas com SSH: IP sendo banido após x logins bem-sucedidos consecutivos [RESOLVIDO]

thinomar
thinomar

(usa Linux Mint)

Enviado em 29/12/2014 - 12:01h

Olá textmode,

Bom, inicialmente ele retorna as respostas esperadas, que são os dados coletados pelos plugins, porém, após uma certa quantidade de checagens, ele para de responder e começa a retornar timeout. Então tento acessar o servidor pelo terminal com o root e retorna timout também, ficando acessível novamente após alguns minutos ou após o desbanimento do IP, que eu faço acessando o servidor através de outro servidor.


5. Re: Problemas com SSH: IP sendo banido após x logins bem-sucedidos consecutivos [RESOLVIDO]

thinomar
thinomar

(usa Linux Mint)

Enviado em 29/12/2014 - 12:39h

Fiz o teste manualmente, acessando o outro servidor via SSH, saindo e entrando até bloquear. O número de tentativas bem sucedidas é 5. Na sexta tentativa ele dá timeout, retornando a seguinte mensagem:

ssh: connect to host <server>.<domain> port <port-number>: Connection timed out 


É possível acessar novamente cerca de 10 minutos após o bloqueio.



6. Re: Problemas com SSH: IP sendo banido após x logins bem-sucedidos consecutivos [RESOLVIDO]

thinomar
thinomar

(usa Linux Mint)

Enviado em 29/12/2014 - 16:34h

Olá textmode,

Creio que as configurações sejam no fail2ban ou no iptables.

Assim que eu conseguir solucionar o problema, notifico aqui.

Obrigado pela atenção.


7. Re: Problemas com SSH: IP sendo banido após x logins bem-sucedidos consecutivos [RESOLVIDO]

thinomar
thinomar

(usa Linux Mint)

Enviado em 29/12/2014 - 17:45h

Consegui encontrar a razão do problema, o que já torna tudo mais fácil.

O problema estava no fail2ban, no arquivo jail.conf. Ele tem uma regra para ssh que bloqueia após seis tentativas de login, porém, pelo que percebi, ele não diferencia logins bem sucedidos de mal sucedidos. A regra é essa:

[ssh]

enabled = true
port = ssh
filter = sshd
logpath = /var/log/auth.log
maxretry = 6


Adicionei o meu IP em ignoreip e ele parou de limitar o número de acessos. Isso é ótimo, porém o IP externo é dinâmico, o que dificulta um pouco as coisas. Mas pra resumir, o problema já está praticamente resolvido. Preciso apenas alterar o sshd.conf ou criar algum outro filtro ou exceção para que ele ignore os acessos bem sucedidos.

Assim que eu conseguir criar ou ajustar um filtro, notifico aqui.

Obrigado.


8. Re: Problemas com SSH: IP sendo banido após x logins bem-sucedidos consecutivos [RESOLVIDO]

thinomar
thinomar

(usa Linux Mint)

Enviado em 30/12/2014 - 13:31h

Consegui solucionar o problema. Ele bloqueava porque o arquivo sshd.conf do fail2ban tinha alguns failregex que apareciam também quando o login era bem-sucedido.

Muito obrigado pela atenção, textmode.






Patrocínio

Site hospedado pelo provedor RedeHost.
Linux banner

Destaques

Artigos

Dicas

Tópicos

Top 10 do mês

Scripts