Encontrei muitas entradas no meu log de autenticação ....
Failed password for root from 59.45.175.12 port 59662 ssh2
(ip acima do IP não real por razões de segurança) O que eu acho que é alguém tentando invadir, isso não é problema meu, eu posso facilmente bloquear o IP no UFW.
Mas, o que não consigo entender é a porta "59962" (isso parece mudar em cada entrada pelo caminho) Atualmente, tenho o UFW instalado e em execução, já que, até onde posso ver, a porta acima (59962) já está bloqueada no UFW, então não entendi e como a solicitação de autenticação está chegando até o SSH?
UFW, como eu entendo, bloqueia todas as portas, exceto aquelas especificamente permitidas, a porta acima não está na minha lista de permissões - a menos que eu esteja perdendo algo ...
Alguém pode explicar por favor?
IcarusBop
O número da porta que está sendo registrada ( 59962 ) é a porta de origem no sistema outro ( 59.45.175.12 ). Veja man 7 socket para informações sobre como funcionam os sockets.
Sim, parece que você está sendo atacado. Veja o pacote fail2ban :
fail2ban - ban hosts that cause multiple authentication errors
Encontre o nome do host do outro sistema via:
dig -x 59.45.175.12