ubuntuusers.de

Hallo liebe Community,

Ich habe festgestellt, dass Spammer permanent versuchen, sich in meinen Mail-Server (der auf meinem Ubuntu-vServer läuft) einzuloggen.

Das ganze mail.log ist voll damit:

Jul 22 14:19:56 vsrt02 pop3d: Disconnected, ip=[::ffff:82.208.173.16]
Jul 22 14:19:56 vsrt02 pop3d: Connection, ip=[::ffff:82.208.173.16]
Jul 22 14:19:57 vsrt02 pop3d: LOGIN FAILED, user=bakay, ip=[::ffff:82.208.173.16]
Jul 22 14:20:02 vsrt02 pop3d: Disconnected, ip=[::ffff:82.208.173.16]
Jul 22 14:20:02 vsrt02 pop3d: Connection, ip=[::ffff:82.208.173.16]
Jul 22 14:20:02 vsrt02 pop3d: LOGIN FAILED, user=iricska, ip=[::ffff:82.208.173.16]
Jul 22 14:20:07 vsrt02 pop3d: Disconnected, ip=[::ffff:82.208.173.16]
Jul 22 14:20:07 vsrt02 pop3d: Connection, ip=[::ffff:82.208.173.16]
Jul 22 14:20:07 vsrt02 pop3d: LOGIN FAILED, user=csaba, ip=[::ffff:82.208.173.16]
Jul 22 14:20:12 vsrt02 pop3d: Disconnected, ip=[::ffff:82.208.173.16]
Jul 22 14:20:12 vsrt02 pop3d: Connection, ip=[::ffff:82.208.173.16]
Jul 22 14:20:12 vsrt02 pop3d: LOGIN FAILED, user=hidna, ip=[::ffff:82.208.173.16]
Jul 22 14:20:17 vsrt02 pop3d: Disconnected, ip=[::ffff:82.208.173.16]
Jul 22 14:20:17 vsrt02 pop3d: Connection, ip=[::ffff:82.208.173.16]
Jul 22 14:20:17 vsrt02 pop3d: LOGIN FAILED, user=reka, ip=[::ffff:82.208.173.16]
Jul 22 14:20:23 vsrt02 pop3d: Disconnected, ip=[::ffff:82.208.173.16]
Jul 22 14:20:23 vsrt02 pop3d: Connection, ip=[::ffff:82.208.173.16]
Jul 22 14:20:23 vsrt02 pop3d: LOGIN FAILED, user=noci, ip=[::ffff:82.208.173.16]
Jul 22 14:20:28 vsrt02 pop3d: Disconnected, ip=[::ffff:82.208.173.16]
Jul 22 14:20:28 vsrt02 pop3d: Connection, ip=[::ffff:82.208.173.16]
Jul 22 14:20:28 vsrt02 pop3d: LOGIN FAILED, user=nagy, ip=[::ffff:82.208.173.16]
Jul 22 14:20:33 vsrt02 pop3d: Disconnected, ip=[::ffff:82.208.173.16]
Jul 22 14:20:33 vsrt02 pop3d: Connection, ip=[::ffff:82.208.173.16]
Jul 22 14:20:33 vsrt02 pop3d: LOGIN FAILED, user=sandor, ip=[::ffff:82.208.173.16]

Gibt es eine Möglichkeit den Mailserver so einzustellen, dass von einer IP nur 5 Login-Versuche akzeptiert werden (oder sonst was in der Art)? Via SSH haben sie es auch schon versucht...

Und gibt es wie hier (http://www.nine.ch/help/vserver/brute_force/) auch eine solche host.deny, die noch grösser ausgelegt ist, sprich nicht nur von diesem Provider (zu dem ich nicht gehöre), die man regelmässig downloaden könnte?

Danke, Alex

Klar, fail2ban z.B. . Aber vorsicht, wärst nicht der erste der sich ausschließt 😀

😀 Wär ja noch typisch für mich 😉

Beim Googeln nach fail2ban bin ich noch auf DenyHosts gestossen. Ist das eine dem anderen vorzuziehen oder ist das Geschmackssache?

Alex

Denyhost ist für ssh, fail2ban ist für alles, das nen Log führt.

Hat alles geklappt. Habe das Tutorial ( http://www.howtoforge.com/fail2ban_debian_etch ) verwendet, hatte einige Fehler. Dazu kam, dass ich nicht Ubuntu 9.10 sondern 9.04 hatte, wobei ich dann noch Python2.5 installieren und fail2ban für diese Verwendung anpassen musste.

Jetzt läuft's, so wie's aussieht.

Danke nochmals!

Alex