Как да защитим нашият cccam сървар от нежелани

[galiano]

Колеги, може ли някой да каже, как мога да направя изключение за един от моите пиъри? Искам само за него да не важи правилото за double login. След няколко разговора с него, установих ме, че прави тези команди, само когато той си ребуутва системата, и тъй като използва, някакъв алтернативен емулатор, а не истински ццкам, около 1-2 мин. докато му се стартира системата, той праща съобщения за double login, което всъщност не е така.
Та въпроса ми е: как е правилния синтаксис на настройката? Вероятно трябва да е нещо токова:

[Definition]
failregex = CCcam: double login .*, \(previous <HOST>\), reject
ignoreregex = CCcam: double login (Usera), (previous 8x5.x7.87.1xx), reject

Това е само предположение, така, че ако някой има конкретно решение, моля да подскаже!

[turbopower]

В jail.conf имаш ред ignoreip = там добави IP адреса на този за който не искаш да действа защитата. Другият вариант ако искаш само за дадено правило се пише само IP адреса след ignoreregex =

[galiano]

Благодарско!

То го пишело в Wiki-то, ама кой да чете!?

To avoid problems with Analogic and DECT gateways we recommend to add their IP adresses in the ignoreregex field

the example below make the fail2ban ignore failed registrations from IP 192.168.80.200 and 192.168.80.210

ignoreregex = 192.168.80.200
192.168.80.210

[lilisan]

А работи ли? Т.е. доволен ли е вече пиар-а ти?
Аз имах подобно съмнение за моя доставчик, защото бях с Арива, а тя е с доста алтернативен ССкам.
Преди да му сигнализирам обаче реших да пробвам със стария си дриймбокс и сега продавам Аривата :-d

[galiano]

А работи ли? Т.е. доволен ли е вече пиар-а ти?
Аз имах подобно съмнение за моя доставчик, защото бях с Арива, а тя е с доста алтернативен ССкам.
Преди да му сигнализирам обаче реших да пробвам със стария си дриймбокс и сега продавам Аривата :-d

Всички приемници от този клас, (ниския) правят меко казано, много странни команди, за това промених допустимите 10 лоши искания на 15, но въпреки това, от време на време, някой "изяжда банана" ама това си е техен проблем. Имах един, който дори се показваше като illegal, макар, че имаше редовен акаунт, там обаче няма компромис и на 3 нелегални искания, бан. Накрая си изтрихме взаимно линиите и проблема се реши кардинално. Преди време, имаше подобни проблеми с юзерите използващи осакм, но сега вече кама е пипнат и няма разлика то класическия ццкам, работи добре.

[turbopower]

Ако искате да използвате пълноценно fail2ban най-добре анализирайте редовно лога си, ако видите нещо необичайно създайте ново правило. Ако не знаете как да го създадете използвайте форума, ако мога винаги съм готов да помогна. galiano ако имаш възможност прикрепи тук лог за оскам който съдържа опити на недобросъвестни потребителите, за да изготвим правила и за него. Това че държите на сървара си означава, че сте сериозен при размяната на линий, а който го хваща защитата означава едно, да ходи да си прави номерата на друго място.

[galiano]

@bobiturboto
В предишния си пост, споменах оскам, защото преди време (разбирай повече от година) самия кам беше бъгав и правеше много лоши команди, в повечето случай без вина на юзерите. Вече нещата с осакм, са на съвсем друго ниво и няма подобни проблеми. Това имах предвид по-горе. Сага ако има лоши команди от потребители с осакм, те почти сигурно са опити за злоупотреба, софта си ги лови коректно и "гризват дръвчето" Най-интересно е, че след като ги предупредя, да не правят опити за double login, първото което правят е истерично да отричат за такива манипулации, но малко по-късно двойните влизания спират. Явно отлично знаят за какво става въпрос. В повечето случаи, това са хора от нашите географски ширини, Източна Европа. Опитвате се да влязат с две места, защото наемат VPS в Германия или Холандия, и слагат линията в домашния бокс, качват я и на виртуалния сървър, ето ти дабъл лог. Иначе лидерите в тия тарикатлъци са извън Европа, но лично аз с тях не разменям, забравил съм ги по мрежа направо от рутера.

Боби, видях в една час от твоя лог на файл2бан-а, която беше публикувал като пример, че и теб те мъчат юзери с IP-та започващи с 41..., (не казвам директно коя е страната, защото сме в международен форум и някой може да се обиди, но всеки може да провери коя е) забрани ги по мрежа:

/usr/sbin/iptables -I FORWARD 1 -s 196.0.0.0/8 -j DROP
/usr/sbin/iptables -I FORWARD 1 -s 41.0.0.0/8 -j DROP

и ще видиш как файлбан-а започва направо да скучае.

[turbopower]

Най-простото правило е ако някой има пинг повече от 70 msec не разменяйте с него. От въпросната страна, която не е в европейският съюз не всички са такива, има членове на екипа от там и мога да ви уверя, че са много коректни.

[galiano]

Късметлия си, аз не можах да попадна на пиъри от тази част на света. Преди няколко години правих опити, но все неуспешни и се отказах, а и в най-добрия случай пинга до там е 120 ms. не, че до Испания и Гърция с тия IDSL-ли е по-добре, но това е друга тема.

[turbopower]

Ами другите измамници са vps те разчитат на добър пинг до сървара и работят само с н линий с трик 256. Реално картата ако има такава е някъде по света, с много лош пинг до нея. Писах с колегите от админ форума да се опитаме да ограничим това.