SSH c'est keypair auth only. Du coup fail2ban ne sert absolument à rien dans ce cas.
Par contre certain logiciel qui repose sur du mot de passe n'ont pas de sécurité de ce type par défaut et la oui un Fail2ban peut être intéressant.
@Guillaume :
Bah non justement , au titre de ton article je suis moi aussi déçu.Tu enfonces des portes ouvertes et c'est dommage !
Au final pour des services de base comme ssh , un simple durcissement de la conf suffirait sans parler du hardenning sytemd .
Ca te permet de ne pas rajouter un programme tiers comme Fail2ban à ton système et qui plus est tourne sur ta machine avec les privilèges root
Et attention , je ne dis pas que fail2ban ne sert à rien . Dans certains cas il est très complémentaire. Mais un peu de nuance aurait été de bon aloi et t'aurais différencié des centaines d'autres articles qui traitent du sujet sans vraiement connaitre les possibilités natives :P
.
@Bruno :
Bonjour,
Ne vous trompez pas de lecture.
Cet article présente l'intérêt évident de fail2ban dans une stratégie de sécurisation d'un serveur ; il n'a pas vocation à discuter sur comment configurer et/ou sécuriser un serveur SSH.
Il est écrit nul part que fail2ban protège d'une attaque par déni de service distribué. Ce n'est d'ailleurs pas la fonction première de fail2ban.
Enfin, si on veut creuser le sujet, on pourrait s'interroger sur la pertinence même d'avoir un service SSH en écoute sur un serveur accessible par Internet sans aucun filtrage. Mais ce n'est pas le sujet de l'article. ;-)
Cordialement,
Guillaume
--
Provya
Ah ben zut alors…
J'attendais avec interêt les arguments sur l'inutilité de fail2ban. Mais non un seul point de vue, sans aucune nuance…
fail2ban est inutile pour un service SSH correctement configuré avec identification uniquement par clés.
fail2ban ne protège pas des faiblesses de configuration de services en amont.
fail2ban ne protège pas d'une vraie attaque DDOS.
Excellent article.
Perso j'utilise SShGuard sur un serveur dont seul le port SSH est ouvert sur internet. Efficace également.
--
cmic
Très bon article. Simple, clair, efficace !
@Edmoi :
Bonjour Edouard,
Je vous confirme que nous commercialisons notre matériel à destination de la Suisse (donc sans TVA effectivement). Lors du passage de votre commande sur https://store.provya.fr lorsque vous choisirez votre pays de destination, le calcul de TVA sera mis à jour automatiquement.
Cordialement,
Guillaume
--
Provya
Bonjour,
Savez-vous ou obtenir en Suisse le même genre de matériel que vous proposer avec également le Wifi intégrer car NetGate ne le propose pas forcement pour les petits réseau.
A moins que vous puissiez revendre sur la Suisse (donc sans TVA) et que vous ayez un partenaire en Suisse pour vos boitier SOHO.
Merci de vos informations.
Cordialement
Edouard
@pietro :
Bonjour,
Si votre carte supporte un débit de 1 Gbps par exemple, alors c'est le débit maximum total que vous aurez pour l'ensemble des VLAN configurés sur cette carte réseau.
Cordialement,
Guillaume
--
Provya
Bonjour,
En terme de bande passante comment ca se passe avec une carte physique sur 2 vlan?
Il y a t il une perte de vitesse sur Re1.
J'aurais précisé que le pfsense comporte 2 cartes reseaux physiques Re0 coté WAN (à préciser sur le schéma) et une seule coté LAN (re1) divisée en 2 carte virtuels