ROS 天天被人扫描，有没有办法让尝试登录错误3次的IP到地址列表？

ww111222 · 发表于 2011-10-30 12:55:45

您需要登录才可以下载或查看，没有账号？注册

×

然后根据地址列表，DROP掉？

谢谢啦

老树昏鸦 · 发表于 2011-10-30 13:20:10

应该DROP不掉吧，这地址应该是动态的。
你可以尝试在IP－services 里面只留下winbox项，其它都禁掉，试试看，或者是把登陆的端口，改一下。
我也是新手，只是建议。
要是有效果告诉我一下。

YAWPYNG · 发表于 2011-10-30 13:24:09

真的不能關閉SSH的話，那就自己加上防火牆.

ww111222 · 发表于 2011-10-30 13:37:16

谢谢，看来还是自己加防火墙了。

smqwx · 发表于 2011-10-30 14:06:07

关闭不必要的端口

YAWPYNG · 发表于 2011-10-30 14:45:25

SSH 是你自己要用的而已?

zhjchina · 发表于 2011-10-30 16:40:48

ssh扫描和正常的ssh登录有个区别，扫描情况下会新建多个ssh连接，正常情况下，一般只有一个ssh连接。
要判断是否是登录错误，这个比较困难，但是可以对一分钟内，新建ssh连接大于3的，将其源地址加入地址列表。然后再进行处理。

ww111222 · 发表于 2011-10-31 00:29:30

zhjchina 发表于 2011-10-30 16:40

登录/注册后可看大图

ssh扫描和正常的ssh登录有个区别，扫描情况下会新建多个ssh连接，正常情况下，一般只有一个ssh连接。
要判 ...

谢谢指点。

能否再详细一点。

wanken · 发表于 2011-10-31 08:51:20

给你参考我的方式.........将所有连线服务 IP-->Service 这边都改为 192.168.0.0/16 然后开启pptp vpn
用vpn 连线进来进入ros ，对外进入ros的wan网路封包在防火墙都设定 Drop

小狼 · 发表于 2011-10-31 17:30:22

用PSD，可以识别出端口扫描。
Weight Threshold：权重
Delay Threshold：统计间隔
Low Port Weight：小端口号（1-1024）连接权重
Hight Port Weight：大端口号权重
比如我的规则，3秒内发生5次端口访问则认为是端口扫描行为。

zjslf003 · 发表于 2011-10-31 22:27:55

楼上正解

:):)

ww111222 · 发表于 2011-10-31 23:00:02

小狼发表于 2011-10-31 17:30

登录/注册后可看大图

用PSD，可以识别出端口扫描。
Weight Threshold：权重
Delay Threshold：统计间隔

谢谢，这个要借鉴一下

zhjchina · 发表于 2011-11-1 10:14:50

小狼发表于 2011-10-31 17:30

登录/注册后可看大图

用PSD，可以识别出端口扫描。
Weight Threshold：权重
Delay Threshold：统计间隔

感觉这位大哥没看清楚问题就开始乱回答了。

图片中不是什么端口扫描，是对 tcp 22端口的密码穷举。
其实换个端口好了，或者像有些人说的，先建立VPN，然后必须从vpn上登录ssh也是可行的办法。

小狼 · 发表于 2011-11-1 10:25:41

zhjchina 发表于 2011-11-1 10:14

登录/注册后可看大图

感觉这位大哥没看清楚问题就开始乱回答了。

图片中不是什么端口扫描，是对 tcp 22端口的密码穷举。

咋死脑筋呢。

这样不就可以像你说的那样判断SSH端口扫描了么。

ssh扫描和正常的ssh登录有个区别，扫描情况下会新建多个ssh连接，正常情况下，一般只有一个ssh连接。
要判断是否是登录错误，这个比较困难，但是可以对一分钟内，新建ssh连接大于3的，将其源地址加入地址列表。然后再进行处理。

BINBINWAL · 发表于 2011-11-1 17:45:55

其实可以先把外网端口封了，然后用一个别的端口NAT到LAN口。不就行了！

账号		自动登录	找回密码
密码			注册

[其它] ROS 天天被人扫描， 有没有办法 让尝试登录错误3次的IP到地址列表？