Защита сетевого сервиса *nix от перебора пароля

• fail2ban - общее решение, слежение и анализ журналов
  • http://www.fail2ban.org/wiki/index.php/Main_Page
  • http://www.howtoforge.com/fail2ban_debian_etch
  нужно проверить потребление ресурсов
• пакетный фильтр под каждый сервис
  • http://www.opennet.ru/openforum/vsluhforumID3/57830.html
  • http://www.opennet.ru/tips/2338_iptables_spam_block_bruteforce.shtml
  • http://www.opennet.ru/tips/2386_brouteforce_iptables_linux.shtml
  linux, bsd - разные фильтры
• решение для непостоянно требуемого сервиса - открытие порта по требованию

  http://www.opennet.ru/openforum/vsluhforumID3/60976.html#215
  простейший portknock'ер работающий по icmp
  -A INPUT -p icmp --icmp-type 8 -m length --length 153 -m recent --name pk --rsource --set -j ACCEPT
  -A INPUT -p icmp --icmp-type 8 -m length --length 154 -m recent --name pk --rsource --update --hitcount 1 -j ACCEPT
  -A INPUT -p icmp --icmp-type 8 -m length --length 155 -m recent --name pk --rsource --update --hitcount 2 -j ACCEPT
  -A INPUT -p tcp --dport 22 -m recent --name pk --rsource --rcheck -j ACCEPT
  -A INPUT -p tcp --dport 22 -j DROP
  для того чтобы открыть 22 порт достаточно и необходимо
  ping -s 125 -c 1 адрес
  ping -s 126 -c 1 адрес
  ping -s 127 -c 1 адрес
  
  количество пакетов регулируется через --hitcount
  сами числа передаются через длину icmp-echo
  
  хорош тем что инструмен "стучания" обычно доступен