1.DenyHosts介绍

DenyHosts是Python语言写的一个程序，它会分析sshd的日志文件（/var/log/secure），当发现重 复的***时就会记录IP到/etc/hosts.deny文件，从而达到自动屏IP的功能。

2.DenyHosts应用

当你的linux服务器暴露在互联网之中，该服务器将会遭到互联网上的 扫描软件进行扫描，并试图猜测SSH登录口令。
你会发现，每天会有多条SSH登录失败纪录。那些扫描工具将对你的服务器构成威胁，你必须设置复杂登录口令，并将尝试多次登录失败的IP给阻止掉，让其在一段时间内不能访问该服务器。
用 DenyHosts可以阻止试图猜测SSH登录口令，它会分析/var/log/secure等日志文件，当发现同一IP在进行多次SSH密码尝试时就会记录IP到/etc/hosts.deny文件，从而达到自动屏蔽该IP的目的


3.配置文件详解

      ############ THESE SETTINGS ARE REQUIRED ############
SECURE_LOG = /var/log/secure    
HOSTS_DENY = /etc/hosts.deny
PURGE_DENY = 1w #过多久后清除已经禁止的，其中w代表周，d代表天，h代表小时，s代表秒，m代表分钟BLOCK_SERVICE  = sshd    #阻止服务名
DENY_THRESHOLD_INVALID = 5   #允许无效用户失败的次数
DENY_THRESHOLD_VALID = 5    #允许普通用户登陆失败的次数

DENY_THRESHOLD_ROOT = 1    #允许root登陆失败的次数

DENY_THRESHOLD_RESTRICTED = 1      #设定 deny host 写入到该资料夹

WORK_DIR = /usr/share/denyhosts/data    #将deny的host或ip纪录到Work_dir中SUSPICIOUS_LOGIN_REPORT_ALLOWED_HOSTS=YES
HOSTNAME_LOOKUP=YES
LOCK_FILE = /var/lock/subsys/denyhosts          #将DenyHOts启动的pid纪录到LOCK_FILE中，已确保服务正确启动，防止同时启动多个服务。

############ THESE SETTINGS ARE OPTIONAL ############
ADMIN_EMAIL = 12345@qq.com #若有IP被禁止用户发邮件通知

SMTP_HOST = localhost
SMTP_PORT = 25
SMTP_FROM = DenyHosts <12345@qq.com@localhost>
SMTP_SUBJECT = DenyHosts Report
AGE_RESET_VALID=1d    #有效用户登录失败计数归零的时间

AGE_RESET_ROOT=1d    #root用户登录失败计数归零的时间

AGE_RESET_RESTRICTED=25d
AGE_RESET_INVALID=10d    #无效用户登录失败计数归零的时间

######### THESE SETTINGS ARE SPECIFIC TO DAEMON MODE  ##########
DAEMON_LOG = /var/log/denyhosts    #自己的日志文件  
DAEMON_SLEEP = 30s
DAEMON_PURGE = 1h          #该项与PURGE_DENY 设置成一样，也是清除hosts.deniedssh 用户的时间。

  #########   THESE SETTINGS ARE SPECIFIC TO     ##########
  #########       DAEMON SYNCHRONIZATION         ##########

安装过程


[root@wjg denyhosts]# cd /home/wjg/tools/
[root@wjg tools]# tar zxf DenyHosts-2.6.tar.gz

[root@wjg tools]# cd DenyHosts-2.6

[root@wjg DenyHosts-2.6]# python setup.py install

[root@wjg DenyHosts-2.6]# echo $?

[root@wjg DenyHosts-2.6]# cd /usr/share/denyhosts/

[root@wjg denyhosts]# cp denyhosts.cfg-dist denyhosts.cfg

[root@wjg denyhosts]# cat denyhosts.cfg |egrep -v "^#|^$" >denyhosts.cfg

[root@wjg denyhosts]# vi denyhosts.cfg

[root@wjg denyhosts]# cp daemon-control-dist daemon-control

[root@wjg denyhosts]# chown root daemon-control

[root@wjg denyhosts]# chmod 700 daemon-control

[root@wjg denyhosts]# ./daemon-control start

[root@wjg denyhosts]# ln -s /usr/share/denyhosts/daemon-control /etc/init.d/denyhosts

如果不想让主机拒绝某一个ip，做法如下：

vi /etc/hosts.allow

sshd：10.0.0.1#允许10.0.0.1访问该主机的ssh服务

如果想拒绝某一个ip同样使用vi /etc/hosts.deny


#chkconfig denyhosts on可以用一台电脑远程连接过来测试.如果可以看到/etc/hosts.deny内是否有禁止的ＩＰ,有的话说明已经安装成功了.


注.我发现时间deny以后,删除ip的时间不是很准.解决的方法是改变DAEMON_PURGE = 这个的时间.我发现系统删除时间是以他为准.

DAEMON_PURGE:预设清除:当DenyHosts在预设模式下执行,执行清除机械作用过期最久的HOSTS_DENY,这个会影响PURGE_DENY的间隔

其实这段原理也很简单， 我稍微解释一下；它其实就是收集/var/log/secure的信息，如果root登陆失败次数超过10次，它将其写进/etc/hosts.deny 文件里；其实我们完全可以用shell来做这些事情，脚本控的同学可以关注以下脚本，我在线上服务器已测试成功。我主要是为了安全着想，不想在线上服务器 去进行大的改动，所以采用shell的方式，有这种需求的同学也可关注下。




vim /root/ssh_deny.sh
#! /bin/bash
cat /var/log/secure|awk '/Failed/{print $(NF-3)}'|sort|uniq -c|awk '{print $2"="$1;}'  >/root/black.txt
DEFINE="10"

for i in `cat  /root/black.txt`
do
        IP=`echo $i |awk -F= '{print $1}'`
        NUM=`echo $i|awk -F= '{print $2}'`
        if [ $NUM -gt $DEFINE ];
        then
         grep $IP /etc/hosts.deny > /dev/null
          if [ $? -gt 0 ];
          then
          echo "sshd:$IP" >> /etc/hosts.deny
          fi
        fi
done

vim /etc/crontab
* */1 * * * root sh /root/ssh_deny.sh



写此脚本时我本来想用时间收集的问题，即隔断时间就收集一次/var/log/secure的日志信息，后来觉得这个方法比较复杂；我稍为解释一下上面的 脚本。它其实就是放在crontab里，每隔一个小时就去读一下/var/log/secure的日志信息，定义连接root的IP的阀值为10，如果此 IP在/etc/hosts.deny里，就什么也不做；如果不在($?值不为0，即非状态下)，就将其添加进/etc/hosts.deny里，此脚本 放在线上环境也有一段时间了，效果也可以的。


这个install_denyhosts.sh是全自动下载安装的小脚本，当然安装后还得手动调整配置文件。适合非生产服务器使用；如果是生产服务器，建议大家采用我后面的ssh_deny.sh脚本。

本install_denyhosts.sh脚本如下:


本install_denyhosts.sh脚本如下:

#!/bin/bash
cd /usr/local/src
wget http://jaist.dl.sourceforge.net/sourceforge/denyhosts/DenyHosts-2.6.tar.gz
tar zxf DenyHosts-2.6.tar.gz
cd DenyHosts-2.6
python setup.py install
cd /usr/share/denyhosts/
cp daemon-control-dist daemon-control
chown root daemon-control
chmod 700 daemon-control
grep -v "^#" denyhosts.cfg-dist > denyhosts.cfg
echo "/usr/share/denyhosts/daemon-control start" >>/etc/rc.local
cd /etc/init.d
ln -s /usr/share/denyhosts/daemon-control denyhosts
chkconfig --add denyhosts
chkconfig --level 345 denyhosts on
service denyhosts start

Permission denied (publickey,gssapi-with-mic,password)出现这行表示生效


ADMIN_EMAIL [email==zhenghui@guoguang.net]=zhenghui@guoguang.net[/email] #管理员邮件地址,它会给管理员发邮件