最近發現了廠商會透過類似
SSH Over HTTP 的方式從外部網路直接穿透 80 port 連到機房的內部網路(透過一台在公網有開放 80 port 的設備)，而後再以該台設備為跳板連到其他機器。雖然說只是要進行維護的動作，但違反了資安規定，也因此讓我們驚覺還有這種無法透過 firewall 控管的漏洞。(查了一些資料以後發現，據說連 L7 Switch 都擋不住)
為了防堵這樣的連線方式，想到可以透過設定白名單的方式，正面表列允許使用 ssh 跟主機通訊的網域白名單，以下分別說明在 Solaris 10 & RHEL/CentOS 4/5 要如何設定。
Solaris10
參考：
- Solaris 10 - IPFilter 防火牆
- IP Filter FAQ
其實 IPFilter 的功能很強，透過規則的組合可以達到非常細膩的控制，在參考資料中就可以看到一些範例。要限制可透過 ssh 連線的網域白名單就簡單多了，步驟如下：
Step 1: 確認 pfil & ipfilter service 均已啟用
- 執行 svcs pfil ipfilter，兩個服務的 STATE 應顯示為「online」。
- 預設 pfil 服務是啟用的，而 ipfilter 則是 disabled，只要執行 svcadm enable ipfilter 就可以啟用 ipfilter 服務。
Step 2: 修改 ipfilter 設定檔 /etc/ipf/ipf.conf
- 依序加入以下設定 (順序非常重要，block 的設定要放在最後面):
pass
in quick log proto tcp from 10.10.10.0/24 to any port = 22
pass in quick log proto tcp from 10.10.11.0/24 to any port = 22
block in log proto tcp from any to any port = 22
- 上述設定可允許來自 10.10.10.0 ~ 10.10.10.255 & 10.10.11.0 ~ 10.10.11.255 的 ssh 連線 (inbound)，其他 source ip 一律會被阻擋。這是比較簡單的設定法，只要把來自非法網域的 inbound traffic 擋住了，就不用考慮 outbound traffic 了。
Step 3: 執行 ipf -Fa -f /etc/ipf/ipf.conf，以 flush all 並重讀 firewall 規則表。可再執行 ipfstat -io 來確認目前inbound & outbound的規則為何。
Step 4: 在背景執行ipmon，紀錄被阻擋的連線
- ipmon /path/to/ipf/log &
- 被阻擋的紀錄範例如下：
20/02/2012 14:14:07.082422 e1000g0 @0:4 b 10.1.xx.xx,40258 -> 10.1.xx.xx,22 PR tcp len 20 60 -S IN
參考：
- 執行 ldd /usr/sbin/sshd | grep libwrap，應出現以下 output:
libwrap.so.0 => /usr/lib/libwrap.so.0 (0x00b22000)
Step 2: 編輯 /etc/hosts.allow (不可使用 10.10.0.0/16 表示法):
- sshd:10.10.10.0/255.255.255.0
sshd:10.10.11.0/255.255.255.0
Step 3: 編輯 /etc/hosts.deny (不可使用 10.10.0.0/16 表示法):
Step 4: 設定完畢後不需重起 sshd，會立刻生效。
Step 5: 查看被阻擋的紀錄
- log 檔位置在 /var/log/secure，可執行 grep refused /var/log/secure 來查看
- 範例如下：
Feb 17 17:26:53 [hostname] sshd[3034]: refused
connect from ::ffff:xxx.xx.xxx.xx (::ffff:xxx.xx.xxx.xx)
2012-03-03 Update:
有網友留言詢問此設定能否阻擋reverse ssh tunnel over http，找了一下資料，利用
這篇文章中的作法實作之後，發現在連線時 source IP 會是 127.0.0.1，因此只要在 /etc/hosts.allow 裡面不要允許來自 127.0.0.1 的連線，reverse ssh tunnel 就不會通了。
雖然這篇的作法看來是沒有「over http」，但應該只要觀察 ssh 連線的 source IP，就可以利用 /etc/hosts.{allow|deny} 來阻擋了。
