Auth.log dosyasındaki “sshd: error: connect_to… başarısız oldu” ne anlama geliyor?

/var/log/auth.logBir sunucuda aşağıdaki hata mesajının birkaç tekrarını fark ettim :

Aug 10 09:10:16 hostname sshd[661]: error: connect_to 1.1.1.1 port
25: failed.

Gerçek IP adresini değiştirdim, genellikle posta sunucularına ait harici adresler.

Anlamadığım kısım, bu adreslere kimlerin tam olarak bağlanmaya çalıştığı ve sshd'nin bununla ne ilgisi olduğu. Sshd 22 numaralı bağlantı noktasında çalışıyor, bu sunucudaki 25 numaralı bağlantı noktasında çalışan hiçbir şey yok.

Bu hat tam olarak ne anlama geliyor, bağlantıyı kim başlatıyor ve neden sshd dahil oluyor?

SSH dinamik bağlantı noktası yönlendirmesini ayarlayarak bunu çoğaltabilirsiniz:

man ssh:

 -D [bind_address:]port
         Specifies a local “dynamic” application-level port forwarding.  This works by allocating a socket
         to listen to port on the local side, optionally bound to the specified bind_address.  Whenever a
         connection is made to this port, the connection is forwarded over the secure channel, and the
         application protocol is then used to determine where to connect to from the remote machine.  Cur‐
         rently the SOCKS4 and SOCKS5 protocols are supported, and ssh will act as a SOCKS server.  Only
         root can forward privileged ports.  Dynamic port forwardings can also be specified in the configu‐
         ration file.

         IPv6 addresses can be specified by enclosing the address in square brackets.  Only the superuser
         can forward privileged ports.  By default, the local port is bound in accordance with the
         GatewayPorts setting.  However, an explicit bind_address may be used to bind the connection to a
         specific address.  The bind_address of “localhost” indicates that the listening port be bound for
         local use only, while an empty address or ‘*’ indicates that the port should be available from all
         interfaces.

Localhost, 2302 numaralı bağlantı noktasında bir SOCKS proxy'si başlatın:

$ ssh -v -ND 2302 user@host

HTTP trafiğini bu tünelden yönlendirmek için Firefox'ta:

Düzenle -> Tercihler -> Gelişmiş -> Ağ sekmesi -> Ayarlar -> Manuel Proxy Yapılandırması -> SOCKS Ana Bilgisayar: localhost ve Bağlantı Noktası: 2302

SOCKS proxy'sini diğer trafikle birlikte kullanmak için aşağıdakiler gibi bir çorap programı kullanabilirsiniz tsocks:

[I] net-proxy/tsocks
     Available versions:  1.8_beta5-r3 ~1.8_beta5-r4 1.8_beta5-r5 ~1.8_beta5-r6 {tordns}
     Installed versions:  1.8_beta5-r5(10:08:28 AM 06/15/2010)(-tordns)
     Homepage:            http://tsocks.sourceforge.net/
     Description:         Transparent SOCKS v4 proxying library

/etc/socks/tsocks.confGentoo'mda aşağıdaki gibi düzenleyin :

# Otherwise we use the server
server = 127.0.0.1
server_port = 2302

Test yapmak:

$ tsocks telnet 255.255.255.255 25

/var/log/secureSSH sunucusunda şöyle bir şey göreceksiniz :

sshd[28491]: error: connect_to 255.255.255.255 port 25: failed.

Anlamadığım kısım, bu adreslere kimlerin tam olarak bağlanmaya çalıştığı

Daraltmak için, /var/log/secure( auth.logdağıtımınızda) bir göz atın ve bundan önce kimlerin giriş yaptığını inceleyin:

sshd[26898]: pam_unix(sshd:session): session opened for user quanta

Bir kullanıcının kabuğunu / bin / false olarak ayarlamak ssh bağlantı noktası iletmeyi engellemez.

http://random.cconn.info/2012/05/06/binfalse-sbinnologin-and-ssh/ http://www.semicomplete.com/articles/ssh-security/

Benim tahminim, OP'nin zayıf veya önemsiz bir parolayla kullanıcı girişi yapmış olması, kabuğu / bin / false veya / bin / nologin olarak ayarlayarak hesabı "devre dışı bırakması" ve ssh port yönlendirme ile spam gönderilmesinden yararlanmasıdır.

Belki sunucunuza giriş yapan biri 1.1.1.1:25 için bir ssh tüneli kurmaya çalışıyor?