Що означає "sshd: error: connect_to… failed" в auth.log?

Я помітив кілька повторів наступного повідомлення /var/log/auth.logпро помилку на сервері:

Aug 10 09:10:16 hostname sshd[661]: error: connect_to 1.1.1.1 port
25: failed.

Я змінив фактичну IP-адресу, це зовнішні адреси, які часто належать поштовим серверам.

Частина, яку я не розумію, - це хто саме намагається підключитися до цих адрес і що sshd пов’язане з цим. Sshd працює на порту 22, на цьому сервері нічого не працює на порту 25.

Що саме означає цей рядок, хто ініціює з'єднання і чому задіяний sshd?

Ви можете відтворити це, встановивши динамічну переадресацію порту SSH:

man ssh:

 -D [bind_address:]port
         Specifies a local “dynamic” application-level port forwarding.  This works by allocating a socket
         to listen to port on the local side, optionally bound to the specified bind_address.  Whenever a
         connection is made to this port, the connection is forwarded over the secure channel, and the
         application protocol is then used to determine where to connect to from the remote machine.  Cur‐
         rently the SOCKS4 and SOCKS5 protocols are supported, and ssh will act as a SOCKS server.  Only
         root can forward privileged ports.  Dynamic port forwardings can also be specified in the configu‐
         ration file.

         IPv6 addresses can be specified by enclosing the address in square brackets.  Only the superuser
         can forward privileged ports.  By default, the local port is bound in accordance with the
         GatewayPorts setting.  However, an explicit bind_address may be used to bind the connection to a
         specific address.  The bind_address of “localhost” indicates that the listening port be bound for
         local use only, while an empty address or ‘*’ indicates that the port should be available from all
         interfaces.

Запустіть проксі-сервер SOCKS на localhost, порт 2302:

$ ssh -v -ND 2302 user@host

Для маршрутизації трафіку HTTP через цей тунель у Firefox:

Редагувати -> Налаштування -> Додатково -> Вкладка мережі -> Налаштування -> Налаштування проксі-сервера вручну -> Хост SOCKS: localhost та порт: 2302

Для того, щоб використовувати проксі-сервер SOCKS з іншим трафіком, ви можете використовувати програму socksifier, наприклад tsocks:

[I] net-proxy/tsocks
     Available versions:  1.8_beta5-r3 ~1.8_beta5-r4 1.8_beta5-r5 ~1.8_beta5-r6 {tordns}
     Installed versions:  1.8_beta5-r5(10:08:28 AM 06/15/2010)(-tordns)
     Homepage:            http://tsocks.sourceforge.net/
     Description:         Transparent SOCKS v4 proxying library

На моєму Gentoo відредагуйте наступні нижче /etc/socks/tsocks.conf:

# Otherwise we use the server
server = 127.0.0.1
server_port = 2302

Тестування:

$ tsocks telnet 255.255.255.255 25

Щось подібне ви побачите /var/log/secureна сервері SSH:

sshd[28491]: error: connect_to 255.255.255.255 port 25: failed.

Частина, яку я не розумію, - це хто саме намагається підключитися до цих адрес

Щоб звузитись, подивіться на /var/log/secure( auth.logу своєму дистрибутиві) та вивчіть, хто до цього ввійшов:

sshd[26898]: pam_unix(sshd:session): session opened for user quanta

Встановлення оболонки користувача на / bin / false не перешкоджає переадресації ssh-порта.

http://random.cconn.info/2012/05/06/binfalse-sbinnologin-and-ssh/ http://www.semicomplete.com/articles/ssh-security/

Тож я здогадуюсь, що в ОП був вхід користувача зі слабким або тривіальним паролем, "відключив" обліковий запис, встановивши оболонку на / bin / false або / bin / nologin, і це було використано для відправки спаму шляхом переадресації порту ssh.

Можливо, хтось, хто входить у свій сервер, намагається встановити ssh тунель до 1.1.1.1:25?