Denyhosts
1.DenyHosts介绍
2.DenyHosts应用
3.配置文件详解
############ THESE SETTINGS ARE REQUIRED ############
SECURE_LOG = /var/log/secure
HOSTS_DENY = /etc/hosts.deny
PURGE_DENY = 1w #过多久后清除已经禁止的，其中w代表周，d代表天，h代表小时，s代表秒，m代表分钟BLOCK_SERVICE = sshd #阻止服务名
DENY_THRESHOLD_INVALID = 5 #允许无效用户失败的次数
DENY_THRESHOLD_VALID = 5 #允许普通用户登陆失败的次数
DENY_THRESHOLD_ROOT = 1 #允许root登陆失败的次数
DENY_THRESHOLD_RESTRICTED = 1 #设定 deny host 写入到该资料夹
WORK_DIR = /usr/share/denyhosts/data #将deny的host或ip纪录到Work_dir中SUSPICIOUS_LOGIN_REPORT_ALLOWED_HOSTS=YES
HOSTNAME_LOOKUP=YES
LOCK_FILE = /var/lock/subsys/denyhosts #将DenyHOts启动的pid纪录到LOCK_FILE中，已确保服务正确启动，防止同时启动多个服务。
############ THESE SETTINGS ARE OPTIONAL ############
ADMIN_EMAIL = [email protected] #若有IP被禁止用户发邮件通知
SMTP_HOST = localhost
SMTP_PORT = 25
SMTP_FROM = DenyHosts <[email protected]@localhost>
SMTP_SUBJECT = DenyHosts Report
AGE_RESET_VALID=1d #有效用户登录失败计数归零的时间
AGE_RESET_ROOT=1d #root用户登录失败计数归零的时间
AGE_RESET_RESTRICTED=25d
AGE_RESET_INVALID=10d #无效用户登录失败计数归零的时间
######### THESE SETTINGS ARE SPECIFIC TO DAEMON MODE ##########
DAEMON_LOG = /var/log/denyhosts #自己的日志文件
DAEMON_SLEEP = 30s
DAEMON_PURGE = 1h #该项与PURGE_DENY 设置成一样，也是清除hosts.deniedssh 用户的时间。
######### THESE SETTINGS ARE SPECIFIC TO ##########
######### DAEMON SYNCHRONIZATION ##########
安装过程
[root@wjg denyhosts]# cd /home/wjg/tools/
[root@wjg tools]# tar zxf DenyHosts-2.6.tar.gz
[root@wjg tools]# cd DenyHosts-2.6
[root@wjg DenyHosts-2.6]# python setup.py install
[root@wjg DenyHosts-2.6]# echo $?
[root@wjg DenyHosts-2.6]# cd /usr/share/denyhosts/
[root@wjg denyhosts]# cp denyhosts.cfg-dist denyhosts.cfg
[root@wjg denyhosts]# cat denyhosts.cfg |egrep -v "^#|^$" >denyhosts.cfg
[root@wjg denyhosts]# vi denyhosts.cfg
[root@wjg denyhosts]# cp daemon-control-dist daemon-control
[root@wjg denyhosts]# chown root daemon-control
[root@wjg denyhosts]# chmod 700 daemon-control
[root@wjg denyhosts]# ./daemon-control start
[root@wjg denyhosts]# ln -s /usr/share/denyhosts/daemon-control /etc/init.d/denyhosts
如果不想让主机拒绝某一个ip，做法如下：
vi /etc/hosts.allow
sshd：10.0.0.1#允许10.0.0.1访问该主机的ssh服务
如果想拒绝某一个ip同样使用vi /etc/hosts.deny
#chkconfig denyhosts on可以用一台电脑远程连接过来测试.如果可以看到/etc/hosts.deny内是否有禁止的ＩＰ,有的话说明已经安装成功了.
注.我发现时间deny以后,删除ip的时间不是很准.解决的方法是改变DAEMON_PURGE = 这个的时间.我发现系统删除时间是以他为准.
DAEMON_PURGE:预设清除:当DenyHosts在预设模式下执行,执行清除机械作用过期最久的HOSTS_DENY,这个会影响PURGE_DENY的间隔
其实这段原理也很简单， 我稍微解释一下；它其实就是收集/var/log/secure的信息，如果root登陆失败次数超过10次，它将其写进/etc/hosts.deny 文件里；其实我们完全可以用shell来做这些事情，脚本控的同学可以关注以下脚本，我在线上服务器已测试成功。我主要是为了安全着想，不想在线上服务器 去进行大的改动，所以采用shell的方式，有这种需求的同学也可关注下。
vim /root/ssh_deny.sh
#! /bin/bash
cat /var/log/secure|awk '/Failed/{print $(NF-3)}'|sort|uniq -c|awk '{print $2"="$1;}' >/root/black.txt
DEFINE="10"
for i in `cat /root/black.txt`
do
IP=`echo $i |awk -F= '{print $1}'`
NUM=`echo $i|awk -F= '{print $2}'`
if [ $NUM -gt $DEFINE ];
then
grep $IP /etc/hosts.deny > /dev/null
if [ $? -gt 0 ];
then
echo "sshd:$IP" >> /etc/hosts.deny
fi
fi
done
vim /etc/crontab
* */1 * * * root sh /root/ssh_deny.sh
写此脚本时我本来想用时间收集的问题，即隔断时间就收集一次/var/log/secure的日志信息，后来觉得这个方法比较复杂；我稍为解释一下上面的 脚本。它其实就是放在crontab里，每隔一个小时就去读一下/var/log/secure的日志信息，定义连接root的IP的阀值为10，如果此 IP在/etc/hosts.deny里，就什么也不做；如果不在($?值不为0，即非状态下)，就将其添加进/etc/hosts.deny里，此脚本 放在线上环境也有一段时间了，效果也可以的。
这个install_denyhosts.sh是全自动下载安装的小脚本，当然安装后还得手动调整配置文件。适合非生产服务器使用；如果是生产服务器，建议大家采用我后面的ssh_deny.sh脚本。
本install_denyhosts.sh脚本如下:
本install_denyhosts.sh脚本如下:
#!/bin/bash
cd /usr/local/src
wget http://jaist.dl.sourceforge.net/sourceforge/denyhosts/DenyHosts-2.6.tar.gz
tar zxf DenyHosts-2.6.tar.gz
cd DenyHosts-2.6
python setup.py install
cd /usr/share/denyhosts/
cp daemon-control-dist daemon-control
chown root daemon-control
chmod 700 daemon-control
grep -v "^#" denyhosts.cfg-dist > denyhosts.cfg
echo "/usr/share/denyhosts/daemon-control start" >>/etc/rc.local
cd /etc/init.d
ln -s /usr/share/denyhosts/daemon-control denyhosts
chkconfig --add denyhosts
chkconfig --level 345 denyhosts on
service denyhosts start
Permission denied (publickey,gssapi-with-mic,password)出现这行表示生效
ADMIN_EMAIL [email protected] #管理员邮件地址,它会给管理员发邮件