Motore di Google Compute: bloccato dopo aver effettuato l'accesso a SSH alcune volte

Question

Ho una VM del motore di calcolo di google, eseguo ubuntu e utilizzo di Laravel Forge.

Mi sembra di essere bloccato dalla VM dopo aver effettuato l'accesso a SSH alcune volte (2-4), anche se effettuo il login correttamente. Riavviare la VM mi sblocca.

Ho notato per la prima volta il problema perché avevo problemi di accesso a SSH, dopo alcuni tentativi sarebbe diventato irraggiungibile. Anche il mio sito web ospitato non sarebbe stato risolto. Dopo aver riavviato il vm, potrei provare ad accedere di nuovo a ssh e il mio sito web funzionerà. Questo è successo un paio di volte prima che ho capito come accedere correttamente con SSH.

Successivamente, tentando di accedere al database con HeidiSQL, che utilizza plink, accedo correttamente. Ma sembra che continui a riconnettersi via SSH ogni volta che faccio qualcosa, e dopo 2-4 di queste riconnessioni, ottengo lo stesso problema con la VM non raggiungibile da SSH e il mio sito web ospitato su di esso è inattivo.

Utilizzando SQLyog, che sembra mantenere l'unica connessione SSH, piuttosto che riconnettersi costantemente come HeidiSQL, non ho problemi.

Quando il mio sito web non funziona, uso i siti web di "down for everyone o just me" per vedere se è giù, e apparentemente è solo per me, quindi devo essere bloccato.

Quindi immagino che le mie domande siano: 1. È normale? 2. Posso sbloccarmi senza riavviare la VM? 3. Posso eseguire il blocco in modo meno rigoroso? 4. Perché HeidiSQL continua a riconnettersi tramite SSH invece di mantenere la sola connessione come sembra SQLyog?

Answer 1

Si è verificato sshguard, che è abilitato di default sulle immagini GCE di Ubuntu (almeno sull'immagine 14.10, dove l'ho incontrato io stesso). C'è un file lista bianca in/etc/sshguard/whitelist.

La configurazione predefinita di sshguard sulla mia VM ha una soglia di "pericolosità" di 40. La maggior parte degli "attacchi" rilevati da sshguard comportano una pericolosità di 10, quindi il blocco dopo 4 ricollega i suoni a destra.

L'attacco firme sono elencate qui: http://www.sshguard.net/docs/reference/attack-signatures/

Sono pronto a scommettere che ci si connette da un IP che ha una configurazione inversa DNS non valido (ero). Quattro si connettono così e la configurazione di default ti blocca per 20 minuti.