Как открыть (безопасно) порт для динамического IP? (Ip выдается на USB-модем (МТС))

[atlet]

Нужно администрировать сервер по SSH. А выдаются динамические айпишники (на машину с которой админю). Если открыть так: ipfw ... any to me 5000 - это не безопасно.

Подскажите, что можно сделать?

[SLEDopit]

http://rm.pp.ru/info/ipv6

[atlet]

http://rm.pp.ru/info/ipv6

Спасибо. Почитаю, попробую...
А есть ли русскоязычные туннельные брокеры (Русского про-ва)?

[Shad0w]

Динамический айпи выдается серверу?
Динамический ДНС вам в помощь.

Безопастно открыть порт - имхо не очень корректно сказано. Либо открываем, либо нет. Если открываем, то за безопасность отвечает уже сам сервис. Можно "помочь", ограничив кол-во подключений, разрешив подключения с определенных айпи адресов и т.д.

Да, еще, для пущей секурности можно использовать это. В портах фри валяется пара реализаций.

[atlet]

Динамический айпи выдается серверу?
Динамический ДНС вам в помощь.

У сервера - статический (белый), а вот машина с которой админить на динамическом...

Безопастно открыть порт - имхо не очень корректно сказано. Либо открываем, либо нет. Если открываем, то за безопасность отвечает уже сам сервис. Можно "помочь", ограничив кол-во подключений, разрешив подключения с определенных айпи адресов и т.д.

Так вот и надо сделать так, чтоб уменьшить количество "желающих" подключиться!

[Shad0w]

Количество желающих подключится можно рубить файрволом после нескольких неудачных попыток. Еще как вариант - авторизация по ключам. Ну и в сторону port knocking посмотреть.

[SLEDopit]

У сервера - статический (белый), а вот машина с которой админить на динамическом...

Погодите, вы тогда неправильно проблему сформулировали. Вас тут все поняли, что у вас на сервере динамика.
Раз на сервере статика - тогда ни ипв6, ни динднс вам не нужны.
Просто хотите обезопасить сервер?
Кидаете ssh не на стандартный 22 порт, а, скажем, на 8076. Это спасает от армии ботов, орудующих в просторах сети.
Запрещаете логин под рутом. А еще лучше разрешаете логин только ограниченному числу пользователей системы.
Пароли ставите как можно сложнее, только сами не забудьте их.
Если за вами наблюдаются параноидальные наклонности, можете реализовать на сервере предложенный выше port knocking.
Я уж не говорю про такие вещи, как корректно настроенные iptables и минимальное количество открытых портов.
Ну и само собой необходимо ставить последние обновления для вашей версии дистрибутива, т.к. в них, как правило, закрывают недавно найденные дырки, которые могут представлять серьезную угрозу безопасности сервера.

[Shad0w]

Кидаете ssh не на стандартный 22 порт, а, скажем, на 8076. Это спасает от армии ботов, орудующих в просторах сети.
Запрещаете логин под рутом. А еще лучше разрешаете логин только ограниченному числу пользователей системы.
Пароли ставите как можно сложнее, только сами не забудьте их.

+1


Я тут еще подумал. Можно на машине с динамикой поднять динднс клиент, а на серваке настругать скрипт, который раз в N минут делает nslookup, выдирает оттуда айпи и вставляет в файер, заодно удаляя старое правило на ssh.

[rm_]

Кидаете ssh не на стандартный 22 порт, а, скажем, на 8076. Это спасает от армии ботов, орудующих в просторах сети.

Ещё можно узнать диапазон сети провайдера, откуда надо админить, и разрешить входящие подключения только из той сети.

Пароли ставите как можно сложнее, только сами не забудьте их.

Авторизацию по паролю вообще нужно обязательно выключить, оставить только по ключу.

[drBatty]

Авторизацию по паролю вообще нужно обязательно выключить

разве нельзя сделать вход по ключу, а потом логин по паролю? ИМХО так самое лучшее.

[rm_]

Авторизацию по паролю вообще нужно обязательно выключить

разве нельзя сделать вход по ключу, а потом логин по паролю? ИМХО так самое лучшее.

А оно так и будет, каждый ключ "закрывается" дополнительно ещё и паролем. Этого можно не делать, но крайне не рекомендуется из соображений безопасности. Почитайте по ссылке.

[drBatty]

Этого можно не делать, но крайне не рекомендуется из соображений безопасности. Почитайте по ссылке.

да, конечно. вот похожая статья по-русски: http://www.opennet.ru/base/sec/ssh_pubkey_auth.txt.html

[atlet]

Просто хотите обезопасить сервер?
Кидаете ssh не на стандартный 22 порт, а, скажем, на 8076. Это спасает от армии ботов, орудующих в просторах сети.
Запрещаете логин под рутом. А еще лучше разрешаете логин только ограниченному числу пользователей системы.

Да, хочу обезопасить. Согласен на счет нестандартного порта! Логин под рутом уже запрещен (ssh conf), логинюсь под обычным а потом уже - su и т. д. Думал может что-нибудь еще можно придумать.

На счет подсети провайдера узнаю... У меня МТС, у кого спрашивать не знаю - в справочной (и в офисах) девочки ничего не знают (и в офисах)... Белые IP физикам не выдают (юрикам - дороговато)!

[drBatty]

На счет подсети провайдера узнаю... У меня МТС, у кого спрашивать не знаю - в справочной (и в офисах) девочки ничего не знают (и в офисах)... Белые IP физикам не выдают (юрикам - дороговато)!

ага. и чего-же вы боитесь? у вас все порты из Сети по любому будут закрыты.

[rm_]

На счет подсети провайдера узнаю... У меня МТС, у кого спрашивать не знаю - в справочной (и в офисах) девочки ничего не знают (и в офисах)... Белые IP физикам не выдают (юрикам - дороговато)!

В командной строке наберите "whois свой айпишник", там в одной из строк будет указана интересующая Вас подсеть.

[atlet]

ага. и чего-же вы боитесь? у вас все порты из Сети по любому будут закрыты.

Я ведь на сервере порт открываю! Он и будет доступным!

[drBatty]

Я ведь на сервере порт открываю! Он и будет доступным!

а управлять будете с МТС?
http://2ip.ru

[atlet]

а управлять будете с МТС?
http://2ip.ru

Да!