Fail2ban op 'n VPN-gateway: wat dit oplos en wat nie

Elke blootgestelde diens kry dieselfde raad: sit fail2ban daarop. Vir 'n VPN-gateway is daardie raad nóg verkeerd nóg voldoende, en om dit as 'n nasorg-merkblokkie te behandel, is hoe mense uiteindelik met 'n tronk (jail) sit wat niks nuttigs blokkeer nie. Fail2ban lees die mislukkingsrekords waarna jy dit wys en vra 'n handhawingsbackend om ooreenstemmende bronne te verban. Die hele waarde daarvan hang daarvan af watter aanmeldingsvlak die rekord geskep het, of die adres daarin die werklike kliënt is, en wat met almal anders agter daardie adres gebeur.

Wat fail2ban meganies is

'n Filter pas reëls in 'n logboek, 'n tronk tel treffers per bron, en 'n aksie pas 'n verbod toe via 'n firewall-backend. Drie bewegende dele, en elkeen kan onafhanklik verkeerd wees.

Nie een van die drie raak die aanmeldingspad nie: fail2ban reageer op bewyse nadat dit gebeur het en valideer nooit self 'n geloofsbrief nie. 'n Tronk kan dus skoon loop terwyl die vlak wat dit noem net so blootgestel bly soos voorheen.

Die tonnel-luisteraar is nie 'n aanmeldingsvorm nie

'n OpenVPN-luisteraar wat met tls-auth of tls-crypt beskerm word, laat pakkette val wat die beheerkanalen-beskerming kort voordat gewone TLS-verwerking begin. 'n Skandeerder wat nooit die sleutel het nie, genereer niks wat jou filter kan tel. Sertifikaat-aanmelding voeg nog 'n hek by, want daar is geen wagwoord om te raai nie. Die Fail2ban-projek dokumenteer 'n algemene loggedrewe model, en 'n generiese VPN-filter verander nie 'n ongeverifieerde pakket in 'n betekenisvolle mislukkingsgebeurtenis nie.

As die gateway slegs sertifikate aanvaar, bestaan die brute-force-verhaal waarteen jy verdedig dalk glad nie op daardie poort nie.

Watter vlak beskerm jy dan?

Dieselfde gasheer stel dikwels drie verskillende dinge bloot: die tonnel-luisteraar, 'n kliëntprofiel- of selfdiensportaal, en 'n administrasiebladsy. Die portaal en die admin-bladsy het wagwoordvorms en lewer logreëls wat 'n filter kan tel. Die tonnel lewer dalk net handskudfoute wat iets heeltemal anders beteken. Pas die tronk by die vlak aan, nie by die produknaam nie.

Een tronk wat die verkeerde logboek dophou, is slegter as geen, want dit skep vertroue sonder dekking. Rig 'n aanmeldingsfilter op tonnel-handskudfoute en die teller slaan op skandeerders wat nooit 'n sleutel gehad het nie, terwyl 'n wagwoordaanval op die portaal nie getel word nie. Lees die logreël wat die filter pas voordat jy die tronk se getal vertrou.

Brontoeskrywing is die swak skakel

'n Verbod is net so goed soos die adres wat dit teiken. Wanneer die diens agter 'n plaaslike omgekeerde proxy sit, is die kliëntadres in die logboek dalk die proxy, en om dit te verban verwyder almal. Om 'n deurgestuurde kop van 'n onbetroubare bron te vertrou, gee 'n aanvaller die vermoë om willekeurige adresse te verban. Op UDP kan bronadresse vervals word, so om hulle te tel verdien meer sorg as om 'n voltooide TCP-aanmelding te tel.

Teken die brontoeskrywingsmetode in die tronk se README aan, want 'n deurgestuurde kop van 'n onbetroubare hop maak van 'n verbod 'n wapen.

Die kollaterale koste is ander mense

Verskeie werknemers agter een kantoor-NAT deel 'n adres, so 'n enkele verouderde gestoorde wagwoord kan die hele perseel uitsluit sodra die drempel oorskry word. Die logboek wys een bron en een rekening wat misluk het, nie 'n perseelwye onderbreking nie.

Kort verbods en beskeie drempels verminder dit, en 'n gedokumenteerde ontsperringspad verminder die ondersteuningslas wanneer dit tog gebeur. Die adres is eerder 'n growwe sein as 'n identiteit, en die persoon wat die kaartjie indien, sal die onderbreking beskryf, nie die drempel nie.

Wanneer om dit te gebruik, en wanneer om iets anders reg te maak

Gebruik dit wanneer daar 'n werklike, toeskryfbare, herhaalde aanlyn aanmeldingsfout op 'n vlak is wat jy beheer, en wanneer die handhawingsbackend daardie vlak werklik dek. Maak iets anders reg wanneer die probleem 'n swak geloofsbriefbeleid is, 'n bestuursbladsy wat aan die internet blootgestel is, of 'n rekening wat suksesvol aanmeld omdat dit gekompromitteer is. 'n Verbod kan niks daarvan herstel nie, en dit kan nie verkeer absorbeer wat jou oplyn reeds versadig het nie. Daardie laaste probleem hoort stroomop, by iemand wat kan filter voordat die pakkette jou bereik.

Hou elke tronk aan een vlak gekoppel, hersien vals positiewe, en meet die aanmeldingswerk wat vermy is eerder as die aantal verbode adresse.