Apache Proxy für Outlook WebAccess (OWA) incl Zugangskontrolle im Apache gegen ADS

webcontact@gummel-informatics.de (Dominik Gummel) — Mon, 01 Jan 2024 00:00:00 +0000

Outlook WebAccess soll als Webmailer für einen Exchange-Server über das Internet zugreifbar sein. Da mir bei dem Gedanken an einen weltweit zugreifbaren, ungeschützten M$-IIS nicht wohl war musste eine sichere Lösung her. Was liegt näher, als aus bewährten Open-Source Tools wie Apache einen Proxy für OWA zu bauen?

SSH brute force Attacken mittels Netfilter/Iptables verhindern

webcontact@gummel-informatics.de (Dominik Gummel) — Mon, 01 Jan 2024 00:00:00 +0000

Welcher Linux-Admin kennt die brute-force Wörterbuch-Attacken gegen SSH nicht aus den Logfiles?Mit dem recent Modul von Netfilter/Iptables kann man sich dagegen wehren:

#log chain, loggt die Versuche und droppt sieiptables -N logsshiptables -A logssh -m limit --limit 10/min --limit-burst 20 -j LOG --log-prefix "alert (ssh brute-force): "iptables -A logssh -j DROP
# matcht wenn IP bereits 3 x in der Liste ist und die last seen time < 60 sec ist
# zusätzlich muss die TTL des Paketes gleich dem ursprünglichen sein, das die Regel mit --set gemacht hatte
# verhindert denial-of service attacken per ip-spoofing!
iptables -A INPUT -i $IFACE_EXT -p tcp --dport 22 -m state --state NEW -m recent --update --seconds 60 --rttl --hitcount 3 --name SSH -j logssh
# weniger als 3 mal: fügt die Source-Adresse zu der Liste hinzu bzw updatet sie
iptables -A INPUT -i $IFACE_EXT -p tcp --dport 22 -m state --state NEW -m recent --set --name SSH -j ACCEPT

Wer den Angreifer noch mehr ärgern will sollte sich mal das Iptables-Target TARPIT anschauen…

Linux on gummel.net

Apache Proxy für Outlook WebAccess (OWA) incl Zugangskontrolle im Apache gegen ADS

SSH brute force Attacken mittels Netfilter/Iptables verhindern