Difference between revisions of "IPv6 Security: Pembatasan Akses"

From OnnoWiki
Jump to navigation Jump to search
 
(10 intermediate revisions by the same user not shown)
Line 1: Line 1:
 
Banyak layanan menggunakan library tcp_wrapper untuk kontrol akses.  
 
Banyak layanan menggunakan library tcp_wrapper untuk kontrol akses.  
 +
Library tcp_wrapper dapat menolong kita untuk memproteksi layanan dari penggunaan yang salah.
  
−
22.8. tcp_wrapper
+
==Kemampuan Filtering==
  
−
tcp_wrapper is a library which can help you to protect service against misuse.
+
Kita dapat menggunakan tcp_wrapper untuk
−
22.8.1. Filtering capabilities
 
  
−
You can use tcp_wrapper for
+
* Filtering terhadap source address (IPv4 atau IPv6)
 +
* Filtering terhadap pengguna (memerlukan inet daemon di client)
  
−
    Filtering against source addresses (IPv4 or IPv6)
+
==Program mana yang mengunakan tcp_wrapper==
  
−
    Filtering against users (requires a running ident daemon on the client)
+
Berikut ini yang di ketahui:
  
−
22.8.2. Which program uses tcp_wrapper
+
* Setiap layanan yang di panggil oleh xinetd (jika xinetd di compile menggunakan library tcp_wrapper)
 +
* sshd (jika dicompile menggunakan tcp_wrapper)
  
−
Following are known:
+
==Penggunaan==
  
−
    Each service which is called by xinetd (if xinetd is compiled using tcp_wrapper library)
+
tcp_wrapper di kontrol oleh dua file /etc/hosts.allow dan /etc/hosts.deny. Untuk informasi lebih lanjut ada baiknya membaca
  
−
    sshd (if compiled using tcp_wrapper)
+
$ man hosts.allow
  
−
22.8.3. Usage
+
===Contoh Untuk /etc/hosts.allow===
  
−
tcp_wrapper is controlled by two files name /etc/hosts.allow and /etc/hosts.deny. For more information see
+
Dalam file ini, setiap layanan harus di filter secara positif (artinya sambungan akan di terima) yang di representasikan dalam kalimat:
  
−
$ man hosts.allow
+
sshd:          1.2.3. [2001:0db8:100:200::]/64
 +
daytime-stream: 1.2.3. [2001:0db8:100:200::]/64
  
−
22.8.3.1. Example for /etc/hosts.allow
+
Catatan: ada beberapa implementasi yang tidak baik yang menggunakan deskripsi jaringan IPv6 yang tidak baik [2001:0db8:100:200::/64]. Mudah-mudahan, pada versi mendatang akan lebih baik.
  
−
In this file, each service which should be positive filtered (means connects are accepted) need a line.
+
===Untuk /etc/hosts.deny===
  
−
sshd:          1.2.3. [2001:0db8:100:200::]/64
+
File ini berisi entri negatif filter, sebaiknya secara normal menolak semua dengan menggunakan perintah
−
daytime-stream: 1.2.3. [2001:0db8:100:200::]/64
 
  
−
Note: there are broken implementations around, which uses following broken IPv6 network description: [2001:0db8:100:200::/64]. Hopefully, such versions will be fixed soon.
+
ALL: ALL
−
22.8.3.2. Example for /etc/hosts.deny
 
  
−
This file contains all negative filter entries and should normally deny the rest using
+
Jika node yang dioperasikan ingin lebih baik kita dapat mengubah kalimat di atas dengan kalimat di bawah ini. Akan tetapi ini bisa menyebabkan serangan DoS (membebani mailer dan directory spool) jika terlalu banyak sambungan dilakukan dalam waktu yang pendek. Mungkin logwatch dapat digunakan untuk kasus seperti itu.
  
−
ALL: ALL
+
ALL: ALL: spawn (echo "Attempt from %h %a to %d at `date`"
 +
  tee -a /var/log/tcp.deny.log | mail root@localhost)
  
−
If this node is a more sensible one you can replace the standard line above with this one, but this can cause a DoS attack (load of mailer and spool directory), if too many connects were made in short time. Perhaps a logwatch is better for such issues.
+
==Logging==
  
−
ALL: ALL: spawn (echo "Attempt from %h %a to %d at `date`"
+
Tergantung entri di konfigurasi syslog daemon /etc/syslog.conf tcp_wrapper log biasanya di simpan di /var/log/secure atau /var/log/syslog
−
| tee -a /var/log/tcp.deny.log | mail root@localhost)
 
  
−
22.8.4. Logging
+
===Penolakan Sambungan===
  
−
Depending on the entry in the syslog daemon configuration file /etc/syslog.conf the tcp_wrapper logs normally into /var/log/secure.
+
Penolakan sambungan melalui IPv4 ke xinetd yang di lindungi oleh layanan daytime akan menghasilkan kalimat sebagai berikut
−
22.8.4.1. Refused connection
 
  
−
A refused connection via IPv4 to an xinetd covered daytime service produces a line like following example
+
Jan 2 20:40:44 gate xinetd-ipv6[12346]: FAIL: daytime-stream libwrap
 +
  from=::ffff:1.2.3.4
 +
Jan 2 20:32:06 gate xinetd-ipv6[12346]: FAIL: daytime-stream libwrap
 +
  from=2001:0db8:100:200::212:34ff:fe12:3456
  
−
Jan 2 20:40:44 gate xinetd-ipv6[12346]: FAIL: daytime-stream libwrap
+
Penolakan sambungan melalui IPv4 ke sshd dual-listen akan menghasilkan kalimat sebagai berikut
−
¬ from=::ffff:1.2.3.4
 
−
Jan 2 20:32:06 gate xinetd-ipv6[12346]: FAIL: daytime-stream libwrap
 
−
from=2001:0db8:100:200::212:34ff:fe12:3456
 
  
−
A refused connection via IPv4 to an dual-listen sshd produces a line like following example
+
Jan 2 20:24:17 gate sshd[12345]: refused connect from ::ffff:1.2.3.4
 +
  (::ffff:1.2.3.4)
 +
Jan 2 20:39:33 gate sshd[12345]: refused connect
 +
  from 2001:0db8:100:200::212:34ff:fe12:3456
 +
  (2001:0db8:100:200::212:34ff:fe12:3456)
  
−
Jan 2 20:24:17 gate sshd[12345]: refused connect from ::ffff:1.2.3.4
+
===Mengijinkan Sambungan===
−
¬ (::ffff:1.2.3.4)
 
−
Jan 2 20:39:33 gate sshd[12345]: refused connect
 
−
from 2001:0db8:100:200::212:34ff:fe12:3456
 
−
¬ (2001:0db8:100:200::212:34ff:fe12:3456)
 
  
−
22.8.4.2. Permitted connection
+
Ijin untuk menyambungkan diri melalui IPv4 ke xinetd yang di lindungi oleh layanan daytime menghasilkan kalimat berikut
  
−
A permitted connection via IPv4 to an xinetd covered daytime service produces a line like following example
+
Jan 2 20:37:50 gate xinetd-ipv6[12346]: START: daytime-stream pid=0
 +
  from=::ffff:1.2.3.4
 +
Jan 2 20:37:56 gate xinetd-ipv6[12346]: START: daytime-stream pid=0
 +
  from=2001:0db8:100:200::212:34ff:fe12:3456
  
−
Jan 2 20:37:50 gate xinetd-ipv6[12346]: START: daytime-stream pid=0
+
Ijin sambungan melalui IPv4 ke semua sshd yang dual-listen sshd menghasilkan kalimat sebagai berikut
−
¬ from=::ffff:1.2.3.4
 
−
Jan 2 20:37:56 gate xinetd-ipv6[12346]: START: daytime-stream pid=0
 
−
from=2001:0db8:100:200::212:34ff:fe12:3456
 
  
−
A permitted connection via IPv4 to an dual-listen sshd produces a line like following example
+
Jan 2 20:43:10 gate sshd[21975]: Accepted password for user from ::ffff:1.2.3.4
 +
  port 33381 ssh2
 +
Jan 2 20:42:19 gate sshd[12345]: Accepted password for user
 +
  from 2001:0db8:100:200::212:34ff:fe12:3456 port 33380 ssh2
  
−
Jan 2 20:43:10 gate sshd[21975]: Accepted password for user from ::ffff:1.2.3.4
+
==Referensi==
−
¬ port 33381 ssh2
 
−
Jan 2 20:42:19 gate sshd[12345]: Accepted password for user
 
−
from 2001:0db8:100:200::212:34ff:fe12:3456 port 33380 ssh2
 
  
 +
* http://www.tldp.org/HOWTO/Linux+IPv6-HOWTO/hints-daemons-tcpwrapper.html
  
  
  
 +
==Pranala Menarik==
  
−
==Referensi==
+
* [[IPv6]]
−
 
 
−
* http://www.tldp.org/HOWTO/Linux+IPv6-HOWTO/hints-daemons-tcpwrapper.html
 

Latest revision as of 10:27, 15 February 2019

Banyak layanan menggunakan library tcp_wrapper untuk kontrol akses. Library tcp_wrapper dapat menolong kita untuk memproteksi layanan dari penggunaan yang salah.

Kemampuan Filtering

Kita dapat menggunakan tcp_wrapper untuk

  • Filtering terhadap source address (IPv4 atau IPv6)
  • Filtering terhadap pengguna (memerlukan inet daemon di client)

Program mana yang mengunakan tcp_wrapper

Berikut ini yang di ketahui:

  • Setiap layanan yang di panggil oleh xinetd (jika xinetd di compile menggunakan library tcp_wrapper)
  • sshd (jika dicompile menggunakan tcp_wrapper)

Penggunaan

tcp_wrapper di kontrol oleh dua file /etc/hosts.allow dan /etc/hosts.deny. Untuk informasi lebih lanjut ada baiknya membaca 

$ man hosts.allow

Contoh Untuk /etc/hosts.allow

Dalam file ini, setiap layanan harus di filter secara positif (artinya sambungan akan di terima) yang di representasikan dalam kalimat: 

sshd:           1.2.3. [2001:0db8:100:200::]/64
daytime-stream: 1.2.3. [2001:0db8:100:200::]/64

Catatan: ada beberapa implementasi yang tidak baik yang menggunakan deskripsi jaringan IPv6 yang tidak baik [2001:0db8:100:200::/64]. Mudah-mudahan, pada versi mendatang akan lebih baik.

Untuk /etc/hosts.deny

File ini berisi entri negatif filter, sebaiknya secara normal menolak semua dengan menggunakan perintah 

ALL: ALL

Jika node yang dioperasikan ingin lebih baik kita dapat mengubah kalimat di atas dengan kalimat di bawah ini. Akan tetapi ini bisa menyebabkan serangan DoS (membebani mailer dan directory spool) jika terlalu banyak sambungan dilakukan dalam waktu yang pendek. Mungkin logwatch dapat digunakan untuk kasus seperti itu. 

ALL: ALL: spawn (echo "Attempt from %h %a to %d at `date`" 
  tee -a /var/log/tcp.deny.log | mail root@localhost)

Logging

Tergantung entri di konfigurasi syslog daemon /etc/syslog.conf tcp_wrapper log biasanya di simpan di /var/log/secure atau /var/log/syslog

Penolakan Sambungan

Penolakan sambungan melalui IPv4 ke xinetd yang di lindungi oleh layanan daytime akan menghasilkan kalimat sebagai berikut 

Jan 2 20:40:44 gate xinetd-ipv6[12346]: FAIL: daytime-stream libwrap
  from=::ffff:1.2.3.4
Jan 2 20:32:06 gate xinetd-ipv6[12346]: FAIL: daytime-stream libwrap
  from=2001:0db8:100:200::212:34ff:fe12:3456

Penolakan sambungan melalui IPv4 ke sshd dual-listen akan menghasilkan kalimat sebagai berikut 

Jan 2 20:24:17 gate sshd[12345]: refused connect from ::ffff:1.2.3.4
  (::ffff:1.2.3.4)
Jan 2 20:39:33 gate sshd[12345]: refused connect 
  from 2001:0db8:100:200::212:34ff:fe12:3456
  (2001:0db8:100:200::212:34ff:fe12:3456)

Mengijinkan Sambungan

Ijin untuk menyambungkan diri melalui IPv4 ke xinetd yang di lindungi oleh layanan daytime menghasilkan kalimat berikut 

Jan 2 20:37:50 gate xinetd-ipv6[12346]: START: daytime-stream pid=0
  from=::ffff:1.2.3.4 
Jan 2 20:37:56 gate xinetd-ipv6[12346]: START: daytime-stream pid=0
  from=2001:0db8:100:200::212:34ff:fe12:3456

Ijin sambungan melalui IPv4 ke semua sshd yang dual-listen sshd menghasilkan kalimat sebagai berikut 

Jan 2 20:43:10 gate sshd[21975]: Accepted password for user from ::ffff:1.2.3.4
  port 33381 ssh2
Jan 2 20:42:19 gate sshd[12345]: Accepted password for user 
  from 2001:0db8:100:200::212:34ff:fe12:3456 port 33380 ssh2

Referensi


Pranala Menarik

Retrieved from "https://onnocenter.or.id/wiki/index.php?title=IPv6_Security:_Pembatasan_Akses&oldid=55308"