ssh टनलिंग ट्रैफिक को कैसे ब्लॉक करें?


14

अगर किसी को काम या घर से / के लिए एक ssh सुरंग स्थापित करना था, तो क्या भविष्य के SSH सुरंग यातायात को रोकने का कोई तरीका है?

मैं समझता हूं कि websense ट्रैफ़िक को ब्लॉक कर सकता है, लेकिन जो उपयोगकर्ता ssh टनलिंग का उपयोग करते हैं, वेबेंस या अन्य समान उत्पादों को बायपास कर सकते हैं क्योंकि यह वैध या अवैध ट्रैफ़िक के बीच अंतर बताने के लिए पैकेट में डिक्रिप्ट या आगे नहीं देख सकता है।

कुछ पढ़ने और शोध से, मैंने पाया कि कुछ चीजें जो आप कर सकते हैं वे निम्नलिखित हैं: - SSH को पूरी तरह से बंद करें; अनुमति नहीं है - केवल उन उपयोगकर्ताओं के लिए ssh एक्सेस को प्रतिबंधित करें, जो एक्सेस के लिए उनकी आवश्यकता रखते हैं और बाकी सभी को ssh एक्सेस से वंचित करते हैं - गंतव्य के द्वारा ब्लैकलिस्ट या श्वेतसूची ट्रैफ़िक के लिए एक कस्टम प्रोटोकॉल बनाएं (सूचियाँ माननीय हैं) - ss ट्रैफ़िक की समीक्षा लॉग गंतव्य आईपी और जाँच करें कि क्या वे वैध या स्वीकार्य उपकरणों का समाधान करते हैं या नहीं, या जाँच करें कि क्या यातायात को सुरंग बनाने की तुलना में अधिक नियमित इंटरनेट ट्रैफ़िक है और आप उस IP को अस्वीकार / ब्लैकलिस्ट कर सकते हैं

लेकिन मैं सोच रहा था, इन विकल्पों के अलावा, क्या यह एक मानव-मध्य हमले के माध्यम से उपरोक्त विकल्पों को दरकिनार करना संभव होगा?

या ssh टनलिंग ट्रैफ़िक को ब्लॉक करने के लिए या यहाँ तक कि कुछ नेटवर्क डिवाइस जो इस ट्रैफ़िक को फ़िल्टर / ब्लॉक कर सकते हैं, को ब्लॉक करने का एक और विकल्प है?

सहायता के लिए धन्यवाद।


वैसे, यहाँ कुछ लिंक हैं जो ssh टनलिंग को समझाने में मदद करते हैं: chamibuddhika.wordpress.com/2012/03/21/ssh-tunnelling-explained Revsys.com/writings/quicktips/shsh-faster-connections.html alvinalexander.com/unix / edu /… और कुछ जो उपरोक्त विकल्पों के अलावा, ssh टनलिंग को ब्लॉक करने में सक्षम नहीं होने के बारे में बताते हैं: समुदाय.
websense.com/forums/p/11004/28405.aspx

जवाबों:


13

आउटबाउंड ssh कनेक्शनों को रोकना, और इस तरह किसी भी सुरंगों को गहरे पैकेट निरीक्षण के माध्यम से आउटबाउंड कनेक्शनों की पूर्ण नाकाबंदी की आवश्यकता होगी । बंदरगाहों को देखना 100% बेकार होगा। यह SSH है यह जानने के लिए आपको वास्तविक पैकेट पेलोड को देखना होगा। (यह वही है जो websense कर रहा है।)

एकमात्र अन्य विकल्प "प्रॉक्सी" होस्ट स्थापित कर रहा है। कॉन्फ़िगरेशन को लॉक करें ताकि ssh क्लाइंट और सर्वर सुरंग बनाने की अनुमति न दें, फिर केवल उस मशीन को आउटबाउंड ssh कनेक्शन बनाने की अनुमति दें - बेशक, इसमें सिस्टम को सुरक्षित करना भी शामिल है, अन्यथा लोग जो भी ssh सॉफ़्टवेयर चाहते हैं उसे चला सकते हैं।


टिप्पणी के लिए धन्यवाद। इसलिए सभी विकल्पों में से, यह एक बेहतर दृष्टिकोण की तरह लगता है। मदद की सराहना करते हैं।
user1609

9

एक अन्य विधि है, यदि आप केवल SSH को प्रॉक्सी वर्कअराउंड के रूप में उपयोग करने से रोक रहे हैं, तो इसे 20kB / sec या ऐसा करने के लिए दर सीमित न करें, जो वेब के लिए काफी दर्दनाक है, लेकिन कंसोल उपयोग के लिए अगोचर है।

यदि आप सामान्य गति से फ़ाइल स्थानांतरण की अनुमति देना चाहते हैं तो यह एक विकल्प नहीं होगा।


दिलचस्प बिंदु और सोचने के लिए अच्छा है। इसे साझा करने के लिए धन्यवाद।
user1609

1
यह किसी भी "एससीपी" ट्रैफ़िक को भी रेट-लिमिट करेगा, जो कि लोगों को फाइलों को कॉपी करने की आवश्यकता के आधार पर बहुत अच्छी तरह से नहीं जा सकता है।
रिकी बीम

6

यदि आप SSH सर्वर और फ़ायरवॉल को नियंत्रित करते हैं, तो आप SSH सर्वर का उपयोग कर रहे पोर्ट के लिए पहुँच को अवरुद्ध करके पहुँच को नियंत्रित कर सकते हैं (डिफ़ॉल्ट रूप से 22)। जब तक कि पोर्ट पहले नहीं खोला गया है, तब इनबाउंड कनेक्शन वैसे भी अवरुद्ध होने की संभावना है, हालांकि आप शायद पाएंगे कि आउटबाउंड कनेक्शन की अनुमति होगी। सही डिजाइन और योजना के साथ, आप ठीक-ठाक या मोटे तौर पर पहुंच को नियंत्रित कर सकते हैं।

यदि आप SSH सर्वर को नियंत्रित नहीं करते हैं, तो आप पोर्ट का उपयोग करने की गारंटी नहीं दे सकते हैं, इसलिए केवल पोर्ट के आधार पर फ़िल्टर करना कहीं अधिक कठिन होगा।

यदि आपको अपने नेटवर्क में रहते हुए सभी को एक SSH सर्वर तक पहुंचने की अनुमति देने की आवश्यकता है, लेकिन इसके बाहर होने पर केवल कुछ ही चुनिंदा होते हैं, तो पोर्ट नॉकिंग एक साफ पढ़ा जाता है।


1
साझा करने के लिए धन्यवाद। पोर्ट दस्तक के बारे में कुछ लिंक मिला। यह एक दिलचस्प अवधारणा है, पहली बार जब मैंने इसके बारे में सुना। रुचि रखने वाले किसी व्यक्ति के लिए, मैं इस सुविधा के लिए अब तक क्या पढ़ रहा हूं: portknocking.org और bsdly.blogspot.com/2012/04/why-not-use-port-knocking.html
user1609
हमारी साइट का प्रयोग करके, आप स्वीकार करते हैं कि आपने हमारी Cookie Policy और निजता नीति को पढ़ और समझा लिया है।
Licensed under cc by-sa 3.0 with attribution required.