Fail2ban ar borth VPN: beth mae'n ei drwsio a beth nad yw

Mae pob gwasanaeth agored yn cael yr un cyngor: rhowch fail2ban arno. Ar gyfer porth VPN nid yw'r cyngor hwnnw na'n anghywir nac yn ddigon, ac mae trin hynny fel tic blwch caledu yw sut mae pobl yn gorffen gyda charchar (jail) nad yw'n rhwystro unrhyw beth defnyddiol. Mae Fail2ban yn darllen y cofnodion methiant rydych yn eu nodi ato ac yn gofyn i backend gorfodi wahardd ffynonellau sy'n cyfateb. Mae ei werth cyfan yn dibynnu ar ba wyneb dilysu a gynhyrchodd y cofnod, ai'r cyfeiriad ynddo yw'r cleient go iawn, a beth sy'n digwydd i bawb arall y tu ôl i'r cyfeiriad hwnnw.

Beth yw fail2ban yn fecanyddol

Mae hidlydd yn paru llinellau mewn log, mae carchar yn cyfrif parau fesul ffynhonnell, ac mae gweithred yn cymhwyso gwaharddiad trwy backend mur tan. Tair rhan sy'n symud, a gall pob un fod yn anghywir yn annibynnol.

Nid oes yr un o'r tri yn cyffwrdd â'r llwybr dilysu: mae fail2ban yn ymateb i dystiolaeth ar ôl y digwyddiad ac ni fydd byth yn dilysu tystlythyr ei hun. Felly gall carchar redeg yn lân tra bo'r wyneb y mae'n ei enwi yn parhau mor agored ag o'r blaen.

Nid yw gwrandawr y twnnel yn ffurflen fewngofnodi

Mae gwrandawr OpenVPN wedi'i amddiffyn â tls-auth neu tls-crypt yn gollwng pecynnau heb amddiffyniad y sianel reoli cyn i brosesu TLS arferol ddechrau. Nid yw sganiwr nad oes ganddo'r allwedd byth yn cynhyrchu unrhyw beth y gall eich hidlydd ei gyfrif. Mae dilysu tystysgrif yn ychwanegu giât arall, oherwydd nid oes cyfrinair i'w ddyfalu. Mae prosiect Fail2ban yn dogfennu model cyffredinol sy'n cael ei yrru gan logiau, ac nid yw hidlydd VPN cyffredinol yn troi pecyn heb ei ddilysu yn ddigwyddiad methiant ystyrlon.

Os yw'r porth yn derbyn tystysgrifau yn unig, efallai nad yw'r stori brute-force rydych yn amddiffyn rhagddi yn bodoli o gwbl ar y porth hwnnw.

Felly pa wyneb ydych chi'n ei amddiffyn?

Mae'r un gwesteiwr yn aml yn agor tri pheth gwahanol: gwrandawr y twnnel, porth proffil cleient neu hunanwasanaeth, a thudalen weinyddu. Mae gan y porth a'r dudalen weinyddu ffurflemni cyfrinair ac maent yn cynhyrchu llinellau log y gall hidlydd eu cyfrif. Efallai mai dim ond gwallau ysgwyd llaw sy'n golygu rhywbeth hollol wahanol y mae'r twnnel yn eu cynhyrchu. Parwch y carchar â'r wyneb, nid ag enw'r cynnyrch.

Mae un carchar sy'n gwylio'r log anghywir yn waeth nag un o gwbl, oherwydd mae'n creu hyder heb gynnwys. Anelwch hidlydd mewngofnodi at wallau ysgwyd llaw'r twnnel a bydd y rhifydd yn tanio ar sganwyr nad oedd ganddynt allwedd erioed, tra bo ymosodiad cyfrinair ar y porth yn mynd heb ei gyfrif. Darllenwch y llinell log y mae'r hidlydd yn ei pharu cyn i chi ymddiried yn rhif y carchar.

Priodoli ffynhonnell yw'r ddolen wan

Nid yw gwaharddiad yn well na'r cyfeiriad y mae'n anelu ato. Pan fo'r gwasanaeth y tu ôl i brocsi gwrthdro lleol, gall cyfeiriad y cleient yn y log fod y procsi, ac mae gwahardd hwnnw'n tynnu pawb. Mae ymddiried mewn pennawd a anfonwyd ymlaen o ffynhonnell annibynadwy yn rhoi gallu i ymosodwr wahardd cyfeiriadau mympwyol. Ar UDP gellir ffugio cyfeiriadau ffynhonnell, felly mae eu cyfrif yn haeddu mwy o ofal na chyfrif mewngofnodiad TCP cyflawn.

Cofnodwch y dull priodoli ffynhonnell yn README y carchar, oherwydd mae pennawd a anfonwyd ymlaen o hop annibynadwy yn troi gwaharddiad yn arf.

Y gost ochr yw pobl eraill

Mae sawl gweithiwr y tu ôl i un NAT swyddfa yn rhannu cyfeiriad, felly gall un cyfrinair hen a chadw gloi'r swyddfa gyfan unwaith y bydd y trothwy'n cael ei groesi. Mae'r log yn dangos un ffynhonnell ac un cyfrif a fethodd, nid methiant ar draws y swyddfa gyfan.

Mae gwaharddiadau byr a throthwyon cymedrol yn lleihau hynny, ac mae llwybr dad-wahardd wedi'i ddogfennu yn lleihau'r baich cymorth pan fydd yn digwydd beth bynnag. Y cyfeiriad yw arwydd bras yn hytrach nag hunaniaeth, a bydd y sawl sy'n codi'r tocyn yn disgrifio'r methiant, nid y trothwy.

Pryd i'w fabwysiadu, a phryd i drwsio rhywbeth arall

Mabwysiadwch ef pan fo methiant mewngofnodi ar-lein gwirioneddol, y gellir ei briodoli ac sy'n ailadroddus ar wyneb rydych yn ei reoli, a phan fo'r backend gorfodi mewn gwirionedd yn cynnwys yr wyneb hwnnw. Trwsiwch rywbeth arall pan fo'r broblem yn bolisi tystlythyrau gwan, yn dudalen reoli sy'n agored i'r rhyngrwyd, neu'n gyfrif sy'n mewngofnodi'n llwyddiannus oherwydd ei fod wedi'i beryglu. Ni all gwaharddiad atgyweirio unrhyw un o'r rheini, ac ni all amsugno traffig sydd eisoes wedi dirlenwi eich uplink. Mae'r broblem olaf honno'n perthyn i fyny'r afon, i rywun sy'n gallu hidlo cyn i'r pecynnau gyrraedd chi.

Cadwch bob carchar yn gysylltiedig ag un wyneb, adolygwch ffug-bositifau, a mesurwch y gwaith dilysu a osgoir yn hytrach na nifer y cyfeiriadau a waharddwyd.