Действительно легкий вес Linux для VM никакие расширения

Простое и в эффективной защите практики от основанных на сканировании нападений не должно использовать стандартный порт. 443 (https порт) подвергает Вас различным атакам перебором, которые не собираются взламывать Ваши слабые пароли, и возможно работает через большее количество брандмауэров, чем порт по умолчанию (22).

Большинство методов для предотвращения ssh атак перебором является отличными способами к само-DOS (ой, я завинтил конфигурацию! Ой, я сделал набор быстрого rsync's и теперь запрещаюсь на день!) или assisted-self-DoS (Ой, взломщик происходит из ниспровергавшего машина в той же подсети как я (динамический диапазон IP, сеть колледжа...) и я становлюсь запрещенным также!).

Если Вы только входите в систему от нескольких мест, можно просто добавить исходные IP-адреса в белый список. Это очевидно бесполезно, если Вы хотите к ssh от своего ноутбука или сотового телефона на движении.

Наличие ssh демона, который только слушает соединения IPv6, должно защитить Вас от сканирований в течение нескольких лет все же. Но много брандмауэров не позволят Вам транспортировать IPv6 любым разумным способом.

Другой метод, который Вы не упоминаете, является стуком порта. Это не страдает от как проблемы само-DOS (кроме неверной конфигурации), но это не пересекает брандмауэры хорошо и может добавить задержку нескольких секунд к установлению соединения.

Если у Вас есть хорошие пароли, или можно жить без аутентификации по паролю, отключить аутентификацию по паролю. (Ключи и одноразовые пароли достаточны для большинства вариантов использования: если Вы не доверяете клиентской машине достаточно для хранения ssh ключа, Вы не доверяете ему, чтобы не иметь клавиатурный перехватчик любой). Затем атаки перебором будут стоить Вам небольшого количества ЦП и пропускной способности, но не подвергают Вас проникновению (как долго, поскольку Вы проверили, что ни один из Ваших ключей не прибыл из низкой энтропии Debian OpenSSL).

В целом, действительно обратите внимание, что изменение порта не значительно уменьшает Ваше воздействие. Вы получите меньше сканирования, но все, что можно отключить, является низко висящим плодом, который стремится использовать старые уязвимости и слабые пароли. Пока Вы держите своего демона в курсе и или осуществляете разумные пароли или и разумные ограничения скорости попытки, переключение порта является большим количеством ответственности, чем меры безопасности.

5
11.07.2011, 01:02
3 ответа

Qemu не является правильным инструментом для задания. Qemu эмулирует целый компьютер, включая ЦП. Это полезно для работы виртуальной машины, где виртуальное аппаратное обеспечение отличается от аппаратных средств хоста, но это не требуется здесь.

Кроме того, эмуляция amd64 ЦП, вероятно, будет медленнее, чем эмуляция i386 ЦП. Это одно могло бы объяснить различие между Debian/amd64 и DSL/i386. Дополнительные процессы увеличили бы время начальной загрузки, но они не оказывают влияния на производительность после этого (неактивные процессы используют память, но по определению никакое процессорное время).

Для выполнения Linux на Linux правильный инструмент является специализированной технологией виртуализации Linux на Linux, такой как LXC, Linux-VServer, OpenVZ или Непривилегированный режим Linux. У Википедии и Новичков Ядра Linux есть страницы сравнения, чтобы помочь Вам сделать выбор.

4
27.01.2020, 20:38

Крайне медленный мог бы быть относительно Вашего ввода-вывода. Я приехал для обнаружения твердого способа, которым это могло бы быть исправлено, говоря libvirt использовать virtio. Проверить мой:

# virsh list
 Id Name                 State
----------------------------------
 11 ca                   running
 13 new_box           running
.....


# virsh dumpxml ca|awk '/disk/,/<\/disk>/'
    <disk type='block' device='disk'>
      <driver name='qemu'/>
      <source dev='/dev/xen02/ca.root'/>
      <target dev='vda' bus='virtio'/>
      <alias name='virtio-disk0'/>
      <address type='pci' domain='0x0000' bus='0x00' slot='0x04' function='0x0'/>
    </disk>
    <disk type='block' device='cdrom'>
      <target dev='hdc' bus='ide'/>
      <readonly/>
      <alias name='ide0-1-0'/>
      <address type='drive' controller='0' bus='1' unit='0'/>
    </disk>

Можно сделать это во время установки или немного более мучительно путем редактирования существующего определения VM. Взгляните на это

2
27.01.2020, 20:38
  • 1
    Спасибо за ответ я уверен, что это - дисковые доступы, замедляющие машину, и у меня, кажется, нет virtio на; просто нормальная шина ='ide', virtio работает без расширений виртуализации?спасибо. –  651bobby 26.05.2011, 02:39
  • 2
    Вы могли попробовать, инстанцируют простого vm с virtio на. Или, возможно, отредактируйте конфигурацию для своего существующего vm и посмотрите. –  Lmwangi 26.05.2011, 15:20

Я просто создал ssh VM на работе несколько дней назад по той же причине, Вы хотите создать Ваш. на самом деле это для исходящего ssh, передающего для локальных рабочих станций на частных адресах, а также для входящего проксирования ssh.

Я просто использовал debian, сжимают (минимальная основная установка, № X о единственной необычной вещи был libpam-ldap для аутентификации через сервер Active Directory университета... и надлежащую конфигурацию/etc/security/access.conf, конечно так, чтобы только пользователи в моей способности могли войти в систему, и не каждая учетная запись теста/теста, которую некоторый идиот в некоторой другой способности создал в их OU., также настроили sshd_config так, чтобы логины пароля были только позволены от локальной сети, в то время как соединения отовсюду еще требуют открытого ключа. и iptables недавнее соответствие управляет для отфильтровывания безостановочных ssh датчиков деточки сценария),

VM 512M (вероятно, больше, чем действительно необходимо), и virtio диск и сетевые драйверы. производительность более, чем приемлема. это только имеет 1 ЦП, выделенный ему, мне, возможно, придется добавить больше, если использование выше, чем в настоящее время предсказываемый (несколько дюжин академиков и поствыпускников).

"крайне медленным" Вы имеете в виду при просмотре консоли VNC в virt-менеджере?

если так, это - известная ошибка - работа virt-менеджера VNC плачевна. сам VM прекрасен, ssh в него выполнения в нормальной скорости, соединение VNC от любого другого клиента VNC является большим, но использует, консоль VNC, встроенная virt-менеджеру, мучительна..., Вы видите, что отдельные символы появляются на экране по одному, поскольку текст производится.

1
27.01.2020, 20:38
  • 1
    Спасибо за ответ крайне медленным я имею в виду вещь, в которую я приехал кроме быть мгновенным на нормальной установке на, занимают время для случая. Я думаю, что это - доступ к диску, который является крупнейшим преступником. –  651bobby 26.05.2011, 02:27

Теги

Похожие вопросы