[Solaris10/RHEL4/5] 設定允許使用ssh登入主機的網域白名單

最近發現了廠商會透過類似 SSH Over HTTP 的方式從外部網路直接穿透 80 port 連到機房的內部網路(透過一台在公網有開放 80 port 的設備)，而後再以該台設備為跳板連到其他機器。雖然說只是要進行維護的動作，但違反了資安規定，也因此讓我們驚覺還有這種無法透過 firewall 控管的漏洞。(查了一些資料以後發現，據說連 L7 Switch 都擋不住)

為了防堵這樣的連線方式，想到可以透過設定白名單的方式，正面表列允許使用 ssh 跟主機通訊的網域白名單，以下分別說明在 Solaris 10 & RHEL/CentOS 4/5 要如何設定。

Solaris10
參考：

1. Solaris 10 - IPFilter 防火牆
2. IP Filter FAQ

其實 IPFilter 的功能很強，透過規則的組合可以達到非常細膩的控制，在參考資料中就可以看到一些範例。要限制可透過 ssh 連線的網域白名單就簡單多了，步驟如下：

Step 1: 確認 pfil & ipfilter service 均已啟用

• 執行 svcs pfil ipfilter，兩個服務的 STATE 應顯示為「online」。
• 預設 pfil 服務是啟用的，而 ipfilter 則是 disabled，只要執行 svcadm enable ipfilter 就可以啟用 ipfilter 服務。

Step 2: 修改 ipfilter 設定檔 /etc/ipf/ipf.conf

• 依序加入以下設定 (順序非常重要，block 的設定要放在最後面):
  pass in quick log proto tcp from 10.10.10.0/24 to any port = 22
  pass in quick log proto tcp from 10.10.11.0/24 to any port = 22
  block in log proto tcp from any to any port = 22
• 上述設定可允許來自 10.10.10.0 ~ 10.10.10.255 & 10.10.11.0 ~ 10.10.11.255 的 ssh 連線 (inbound)，其他 source ip 一律會被阻擋。這是比較簡單的設定法，只要把來自非法網域的 inbound traffic 擋住了，就不用考慮 outbound traffic 了。

Step 3: 執行 ipf -Fa -f /etc/ipf/ipf.conf，以 flush all 並重讀 firewall 規則表。可再執行 ipfstat -io 來確認目前inbound & outbound的規則為何。

Step 4: 在背景執行ipmon，紀錄被阻擋的連線

• ipmon /path/to/ipf/log &
• 被阻擋的紀錄範例如下：
  20/02/2012 14:14:07.082422 e1000g0 @0:4 b 10.1.xx.xx,40258 -> 10.1.xx.xx,22 PR tcp len 20 60 -S IN

RHEL/CentOS 4/5

參考：

1. TCP Wrapper for added Security on SSH
2. /etc/hosts.{allow|deny} 的設定方式

由於 /etc/hosts.{allow|deny} 設定比較簡單，且 RHEL/CentOS 4/5內建的sshd就有支援 TCP Wrapper，所以就用這種方式囉。

Step 1: 確認目前使用的 sshd 是否支援 TCP Wrapper

• 執行 ldd /usr/sbin/sshd | grep libwrap，應出現以下 output:
  libwrap.so.0 => /usr/lib/libwrap.so.0 (0x00b22000)

Step 2: 編輯 /etc/hosts.allow (不可使用 10.10.0.0/16 表示法):

• sshd:10.10.10.0/255.255.255.0
  sshd:10.10.11.0/255.255.255.0

Step 3: 編輯 /etc/hosts.deny (不可使用 10.10.0.0/16 表示法):

• sshd:ALL

Step 4: 設定完畢後不需重起 sshd，會立刻生效。

Step 5: 查看被阻擋的紀錄

• log 檔位置在 /var/log/secure，可執行 grep refused /var/log/secure 來查看
• 範例如下：
  Feb 17 17:26:53 [hostname] sshd[3034]: refused connect from ::ffff:xxx.xx.xxx.xx (::ffff:xxx.xx.xxx.xx)

2012-03-03 Update:
有網友留言詢問此設定能否阻擋reverse ssh tunnel over http，找了一下資料，利用這篇文章中的作法實作之後，發現在連線時 source IP 會是 127.0.0.1，因此只要在 /etc/hosts.allow 裡面不要允許來自 127.0.0.1 的連線，reverse ssh tunnel 就不會通了。

雖然這篇的作法看來是沒有「over http」，但應該只要觀察 ssh 連線的 source IP，就可以利用 /etc/hosts.{allow|deny} 來阻擋了。