SSH honeypot - zaznamenaná sezení

Od commar

Dne 2016-06-05 20:14

Poslední záznam mám z 1.6. z Argentiny...

Od Elty

Dne 2016-06-06 09:38

Tak mám asi někde problém, protože port 22 na WAN se nepřesměrovává na vnitřní 58732, ale jakýkoliv jiný ano.

config redirect
  option target 'DNAT'
  option src 'wan'
  option dest 'lan'
  option proto 'tcp'
  option src_dport '22'
  option dest_port '58732'
  option name 'SSH honeypot'

Vyzkoušeno zaráz toto nastavení souběžně s tím samým, pouze změněn src_dport za jiný a to funguje a perfektně to přesměrovává do honeypotu. Nechápu, proč na 22 to nejede. Normální přesměrování SSH (bez honeypotu) také funguje.

Zřejmě to musí souviset s nějakou změnou, která se udála od 14.5. dále, protože potom nejsou v rozhraní vidět žádné pokusy o připojení.

Od commar

Dne 2016-06-06 09:54

A jak se připojujete zvenku přes SSH? Máte to na jiném portu?

config redirect
  option target 'DNAT'
  option src 'wan'
  option dest 'lan'
  option proto 'tcp udp'
  option src_dport '22022'
  option dest_ip '10.0.0.1'
  option dest_port '22'
  option name 'SSH_redirect'

Od Elty

Dne 2016-06-06 10:02

Zvenku pořád stejně. Na klasické SSH mám taky přesměrovaný port a to funguje. Nicméně mi jde o funkčnost honeypotu na 22.

Od commar

Dne 2016-06-06 10:29

Jen mě napadlo jestli se vám to spolu někde nepere...

Od Elty

Dne 2016-06-06 10:39

Jenže jak to rozlišit? A do 14.5. to bylo plně funkční a nic se z mé strany neměnilo, spíše to vidím na nějakou souvislost s upgradem.

Od commar

Dne 2016-06-06 10:49

Já mám za den třeba 10 záznamů a pak týden nic.
Ale víc jak týden klid nikdy nebyl.
Od 14.5. je to opravdu už dlouho...

Od Elty

Dne 2016-06-06 11:17

Hlavně jde ověřit, že na portu 22 zvenku nic neposlouchá, respektive nelze se připojit.

Od Jan Čermák (>>)

Dne 2016-06-06 12:25

Můžete nám prosím na tech.support@turris.cz hodit výstup iptables-save, případně i netstat -tulpn a obsah konfiguráku pro firewall? Podíváme se, zda není chyba někde v nastavení.

Od Elty

Dne 2016-06-06 20:20

Odesláno, děkuji za prověření.

Od Elty

Dne 2016-07-15 08:31

Jen se po více než měsíci připomínám, jestli se povedlo něco zjistit. Honeypot stále nejede.

Od Pepe

Dne 2016-07-15 11:14

Já mam poslední záznam zrovna ze včera. Koukám, že mají rádi hodně Cisco. :lol:

Od Milan_S

Dne 2016-07-15 20:25

u mne také po verzi 3.1, kdy jsem musel jít přes tovární nastavení chvíli nejel honey pot, stačilo ho v updateru odinstalovat a znovu nainstalovat a už opět funguje a záznamů je tam každý den víc než 10

Od NONES

Dne 2016-07-16 05:42

Pravděpodobně byl s Honeypotem nějaký problém - v mé evidence je poslední záznam 1.7.2016 11:40 a pak dlouho ticho a další záznam až 13.7.2016 v 6:50
To se mi ještě nikdy nestalo, aby po takhle dlouhou dobu nebyl žádný záznam.
Buďto hackeři ctí svátek Cyrila a Metoděje a mistra Jana Husa, nebo na honeypotu byla opravdu nějaká závada.
Každopádně se spravila "sama" - tj. bez mého aktivního přičinění.
Možná nám k tomu časem kolegové z CZ.NIC pár slov na vysvětlení napíšou.

Od miska

Dne 2016-07-21 14:28

V tomhle obdobi probihaly nejake updaty na NIC serveru co dela honeypot a doslo tedy k vypadku.