Fail2ban en una passarel·la VPN: què arregla i què no

Cada servei exposat rep el mateix consell: posa-hi fail2ban. Per a una passarel·la VPN aquest consell no és ni equivocat ni suficient, i tractar-lo com una casella de reforç és com la gent acaba amb una presó (jail) que no bloqueja res d'útil. Fail2ban llegeix els registres de fallades cap on l'assenyales i demana a un backend d'aplicació que prohibeixi les fonts coincidents. Tot el seu valor depèn de quina superfície d'autenticació va produir el registre, si l'adreça que hi apareix és el client real i què passa amb tota la resta darrere d'aquesta adreça.

Què és fail2ban, mecànicament

Un filtre fa coincidir línies d'un registre, una presó compta les coincidències per font i una acció aplica una prohibició mitjançant un backend de tallafoc. Tres peces mòbils, i cadascuna pot estar equivocada de manera independent.

Cap de les tres no toca el camí d'autenticació: fail2ban reacciona a l'evidència després del fet i mai no valida cap credencial per si mateix. Per tant, una presó pot funcionar netament mentre la superfície que anomena continua tan exposada com abans.

L'oient del túnel no és un formulari d'inici de sessió

Un oient OpenVPN protegit amb tls-auth o tls-crypt descarta els paquets que no tenen la protecció del canal de control abans que comenci el processament normal de TLS. Un escàner que mai no té la clau no genera res que el teu filtre pugui comptar. L'autenticació per certificat afegeix una altra porta, perquè no hi ha cap contrasenya per endevinar. El projecte Fail2ban documenta un model general basat en registres, i un filtre VPN genèric no converteix un paquet no autenticat en un esdeveniment de fallada significatiu.

Si la passarel·la només accepta certificats, potser la història de força bruta contra la qual et defenses no existeix en aquest port.

I doncs, quina superfície protegeixes?

El mateix amfitrió sovint exposa tres coses diferents: l'oient del túnel, un portal de perfils de client o d'autoservei i una pàgina d'administració. El portal i la pàgina d'administració tenen formularis de contrasenya i produeixen línies de registre que un filtre pot comptar. El túnel pot produir només errors d'apretada de mans que signifiquen una cosa completament diferent. Fes coincidir la presó amb la superfície, no amb el nom del producte.

Una presó que vigila el registre equivocat és pitjor que cap, perquè crea confiança sense cobertura. Apunta un filtre d'inici de sessió als errors d'apretada de mans del túnel i el comptador saltarà amb escàners que mai no han tingut cap clau, mentre que un atac de contrasenya contra el portal quedarà sense comptar. Llegeix la línia de registre que el filtre fa coincidir abans de confiar en el número de la presó.

L'atribució de la font és l'enllaç feble

Una prohibició val tant com l'adreça a què apunta. Quan el servei se situa darrere d'un proxy invers local, l'adreça del client al registre pot ser la del proxy, i prohibir-la elimina tothom. Confiar en una capçalera reenviada d'una font no fiable dona a un atacant la capacitat de prohibir adreces arbitràries. A UDP, les adreces d'origen es poden falsificar, així que comptar-les mereix més cura que comptar un inici de sessió TCP complet.

Anota el mètode d'atribució de la font al README de la presó, perquè una capçalera reenviada d'un salt no fiable converteix una prohibició en una arma.

El cost col·lateral són els altres

Diversos empleats darrere d'un NAT d'oficina comparteixen una adreça, així que una sola contrasenya desada i obsoleta pot bloquejar tot el lloc un cop se supera el llindar. El registre mostra una font i un compte que van fallar, no una caiguda a tot el lloc.

Les prohibicions curtes i els llindars moderats ho redueixen, i un camí documentat per aixecar la prohibició redueix la càrrega de suport quan passa igualment. L'adreça és un senyal groller en lloc d'una identitat, i qui obri el tiquet descriurà la caiguda, no el llindar.

Quan adoptar-ho i quan arreglar una altra cosa

Adopta-ho quan hi hagi una fallada d'inici de sessió en línia real, atribuïble i repetida en una superfície que controlis, i quan el backend d'aplicació cobreixi realment aquesta superfície. Arregla una altra cosa quan el problema sigui una política de credencials feble, una pàgina de gestió exposada a internet o un compte que inicia sessió amb èxit perquè ha estat compromès. Una prohibició no pot reparar cap d'aquestes coses i no pot absorbir el trànsit que ja ha saturat el teu enllaç ascendent. Aquest darrer problema pertany aigües amunt, a algú que pugui filtrar abans que els paquets arribin a tu.

Mantingues cada presó lligada a una superfície, revisa els falsos positius i mesura la feina d'autenticació evitada en lloc del nombre d'adreces prohibides.