Fail2ban sur VPN-pordego: kion ĝi solvas kaj kion ne

Ĉiu elmetita servo ricevas la saman konsilon: metu fail2ban sur ĝin. Por VPN-pordego tiu konsilo nek malĝustas nek sufiĉas, kaj ĝuste trakti ĝin kiel butonon en firmiga kontrolo estas kiel homoj finas kun malliberejo (jail), kiu blokas nenion utilan. Fail2ban legas la malsukcesajn rikordojn, al kiuj vi ĝin direktas, kaj petas de plenumiga dorsprogramo forbari kongruajn fontojn. Ĝia tuta valoro dependas de tio, kiu aŭtentiga surfaco produktis la rikordon, ĉu la adreso en ĝi estas la reala kliento, kaj kio okazas al ĉiuj aliaj malantaŭ tiu adreso.

Kio estas fail2ban mekanike

Filtro kongruigas liniojn en protokolo, malliberejo kalkulas kongruojn laŭ fonto, kaj ago aplikas forbaron per fajroŝirma dorsprogramo. Tri moviĝantaj partoj, kaj ĉiu povas memstare malĝusti.

Neniu el la tri tuŝas la aŭtentigan vojon: fail2ban reagas al pruvoj post la fakto kaj neniam mem validigas legitimilon. Malliberejo do povas funkcii pure, dum la surfaco, kiun ĝi nomas, restas same elmetita kiel antaŭe.

La tunela aŭskultanto ne estas ensaluta formularo

OpenVPN-aŭskultanto protektita per tls-auth aŭ tls-crypt forĵetas pakaĵojn sen la protekto de la rega kanalo antaŭ ol komenciĝas ordinara TLS-prilaborado. Skanilo, kiu neniam havas la ŝlosilon, produktas nenion, kion via filtro povus kalkuli. Atestila aŭtentigo aldonas plian pordon, ĉar ne estas pasvorto divenebla. La projekto Fail2ban dokumentas ĝeneralan protokol-aktivigitan modelon, kaj ĝenerala VPN-filtro ne transformas neaŭtentigitan pakaĵon en signifan malsukcesan okazaĵon.

Se la pordego akceptas nur atestilojn, la rakonto pri perforta divenado, kontraŭ kiu vi defendas vin, eble tute ne ekzistas sur tiu pordo.

Do kiun surfacon vi protektas?

La sama gastiganto ofte elmetas tri malsamajn aferojn: la tunelan aŭskultanton, portalon pri klientaj profiloj aŭ memservo, kaj administran paĝon. La portalo kaj la administra paĝo havas pasvortajn formularojn kaj produktas protokolajn liniojn, kiujn filtro povas kalkuli. La tunelo eble produktas nur manpremajn erarojn, kiuj signifas tute alian aferon. Kongruigu la malliberejon al la surfaco, ne al la produkta nomo.

Unu malliberejo, kiu observas la malĝustan protokolon, estas pli malbona ol neniu, ĉar ĝi kreas konfidon sen kovrado. Direktu ensalutan filtron al la manpremaj eraroj de la tunelo kaj la kalkulilo ekbrilos ĉe skaniloj, kiuj neniam havis ŝlosilon, dum pasvorta atako kontraŭ la portalo restos nekalkulita. Legu la protokolan linion, kiun la filtro kongruigas, antaŭ ol fidi la nombron de la malliberejo.

Fonta atribuado estas la malforta ligo

Forbaro estas nur tiom bona, kiom la adreso, kiun ĝi celas. Kiam la servo staras malantaŭ loka inversa prokurilo, la klienta adreso en la protokolo eble estas la prokurilo, kaj forbaro de ĝi forigas ĉiujn. Fidi plusenditan kapeton el nefidinda fonto donas al atakanto la kapablon forbani arbitrajn adresojn. En UDP la fontaj adresoj povas esti falsitaj, do kalkuli ilin meritas pli da zorgo ol kalkuli kompletigitan TCP-ensaluton.

Notu la metodon de fonta atribuado en la README de la malliberejo, ĉar plusendita kapeto el nefidinda salto transformas forbaron en armilon.

La flanka kosto estas aliaj homoj

Pluraj dungitoj malantaŭ unu oficeja NAT dividas adreson, do unu sola eksdata konservita pasvorto povas ŝlosi la tutan oficejon, kiam la sojlo estas transpasita. La protokolo montras unu fonton kaj unu konton, kiuj malsukcesis, ne tutoficejan interrompon.

Mallongaj forbaroj kaj modestaj sojloj malpliigas tion, kaj dokumentita vojo por malfari forbaron malpliigas la subtenan ŝarĝon, kiam ĝi tamen okazas. La adreso estas malglata signalo, ne identeco, kaj la persono, kiu malfermas la bileton, priskribos la interrompon, ne la sojlon.

Kiam adopti ĝin, kaj kiam ripari ion alian

Adoptu ĝin, kiam ekzistas reala, atribuebla, ripetiĝanta interreta ensaluta malsukceso sur surfaco, kiun vi kontrolas, kaj kiam la plenumiga dorsprogramo efektive kovras tiun surfacon. Riparu ion alian, kiam la problemo estas malforta politiko pri legitimiloj, administra paĝo elmetita al la interreto, aŭ konto, kiu sukcese ensalutas ĉar ĝi estis kompromitita. Forbaro povas ripari neniun el tiuj kaj ne povas sorbi trafikon, kiu jam saturis vian alfluon. Tiu lasta problemo apartenas al la supra fluo, al iu, kiu povas filtri antaŭ ol la pakaĵoj atingos vin.

Tenu ĉiun malliberejon ligita al unu surfaco, revizu falpozitivojn, kaj mezuru la evititan aŭtentigan laboron anstataŭ la nombron de forbaritaj adresoj.