Voir la source de Trucs:Configurer sshdfilter sur une Mandriva2008.0 pour qu'il travaille avec shorewall comme pare-feu

==Configurer sshdfilter sur une Mandriva2008.0 pour qu'il travaille avec shorewall comme pare-feu==

L'outil '''sshdfilter''' permet de réagir en temps réel aux attaques en force brute sur le serveur '''sshd'''. Après un certain nombre de refus de connexion, l'adresse '''ip''' de l'attaquant est bloquée par le pare-feu pour une période définie.

La détection est faite par une analyse en continu les messages de '''sshd'''. Les réactions sont l'envoi de consignes de blocage d'adresses '''ip''' au pare-feu. L'outil '''sshdfilter''' est construit à la base pour travailler avec le pare-feu '''iptables''', mais sur la '''Mandriva2008.0''' le pare-feu standard est '''shorewall'''.


'''1 Modifier /etc/sysconfig/sshd''' (cette opération aurait du être faite par le script d'installation du paquetage '''sshdfilter''')
<code>SSHD="/usr/sbin/sshdfilter"
</code>
(Verifier dans ''/etc/init.d/sshd'' que la ligne ''[ -f /etc/sysconfig/sshd ] && . /etc/sysconfig/sshd''
se situe apres la ligne ''SSHD=/usr/sbin/sshd'')

'''2 Vérifier/modifier les parametres suivants dans /etc/sshdfilterrc'''
<code>firewalladd='shorewall drop $ip'
firewalldel='shorewall allow $ip'
logsource='STDIN'
debug=0
</code>

'''3 Relancer le service sshd'''
<code># service sshd restart
</code>


C'est fini ! Lire le fichier '''/etc/sshdfilterrc''' pour affiner les réglages si ça vous dit.

Pour lister les adresses bloquées
<code># shorewall show dynamic
</code>

Pour débloquer toutes les adresses (relance du pare-feu)
<code># service shorewall restart
</code>

Attention : les messages de '''sshd''' n'apparaissent plus dans '''/var/log/messages''' mais dans '''/var/log/auth.log''' . Les messages relatifs à la chaine '''SSHD''' sont issus de commandes "en dur" dans '''sshdfilter''', lesquelles servent à commander '''iptables''' ; ces erreurs sont sans conséquence.