Fail2ban VPN atebidean: zer konpontzen duen eta zer ez
Fail2ban zure erregistroetan huts egiten duten iturburuak blokeatzen ditu, eta hori da dena. VPN atebideari laguntzen dion ala ez saio-hasierako gainazalaren eta nor den helbide bat partekatzen duenaren araberakoa da.
Erakutsitako zerbitzu orok aholku bera jasotzen du: jarri fail2ban gainean. VPN atebide baterako aholku hori ez da okerra ezta nahikoa ere, eta gogortze-kaxa gisa tratatzea da jendea ezer erabilgarririk blokeatzen ez duen kartzela (jail) batekin amaitzeko modua. Fail2ban-ek seinalatzen diozun hutsegite-erregistroak irakurtzen ditu eta betearazpen-backend bati esaten dio bat datozen iturburuak blokea ditzan. Bere balio osoa erregistroa zein autentifikazio-gainazalek sortu zuen, bertako helbidea benetako bezeroa den eta helbide horren atzean dauden guztiei zer gertatzen zaien araberakoa da.
Zer da fail2ban mekanikoki
Iragazki batek erregistro bateko lerroak parekatzen ditu, kartzela batek iturburu bakoitzeko bat-etortzeak zenbatzen ditu, eta ekintza batek blokeoa aplikatzen du suebaki-backend baten bidez. Hiru zati mugikor, eta bakoitza modu independentean oker egon daiteke.
Hiruretako batek ere ez du autentifikazio-bidea ukitzen: fail2ban-ek gertaeraren ondoren frogak erreakzionatzen ditu eta ez du inoiz berak kredentzialik balioztatzen. Beraz, kartzela batek garbi funtziona dezake izendatzen duen gainazala lehen bezain agerian jarraitzen duen bitartean.
Tunelaren entzulea ez da saio-hasierako formularioa
OpenVPN entzule batek, tls-auth edo tls-crypt-ekin babestuta, kontrol-kanalaren babesa ez duten paketeak baztertzen ditu TLS prozesatze arrunta hasi aurretik. Gakoa inoiz ez duen eskaneatzaile batek ez du zure iragazkiak zenba dezakeen ezer sortzen. Ziurtagirien autentifikazioak beste ate bat gehitzen du, ez baitago asmatzeko pasahitzik. Fail2ban proiektuak erregistroetan oinarritutako eredu orokorra dokumentatzen du, eta VPN iragazki orokor batek ez du autentifikatu gabeko pakete bat huts-egite gertaera esanguratsu bihurtzen.
Atebideak ziurtagiriak soilik onartzen baditu, defendatzen ari zaren brute-force istorioa agian ez da existitzen portu horretan.
Orduan, zein gainazal babesten duzu?
Host berak sarritan hiru gauza desberdin erakusten ditu: tunelaren entzulea, bezero-profil edo autozerbitzu atari bat eta administrazio-orri bat. Atariak eta administrazio-orriak pasahitz-formularioak dituzte eta iragazkiak zenba ditzakeen erregistro-lerroak sortzen dituzte. Tunelak agian guztiz beste esanahi bat duten eskuko erroreak soilik sor ditzake. Parekatu kartzela gainazalarekin, ez produktuaren izenarekin.
Erregistro okerra zaintzen duen kartzela bat ez egotea baino okerragoa da, estaldurarik gabeko konfiantza sortzen baitu. Zuzendu saio-hasierako iragazki bat tunelaren eskuko erroetara eta kontagailua inoiz gakorik izan ez zuten eskaneatzaileetan piztuko da, atariaren aurkako pasahitz-erasoa zenbatu gabe geratzen den bitartean. Irakurri iragazkiak parekatzen duen erregistro-lerroa kartzelako zenbakian fidatu aurretik.
Iturburuaren esleipena da esteka ahula
Blokeoa helbideak bezain ona da. Zerbitzua tokiko alderantzizko proxy baten atzean dagoenean, erregistroko bezero-helbidea proxya izan daiteke, eta hura blokeatzeak denak kentzen ditu. Iturburu ez-fidagarri baten aurreratutako goiburuan fidatzeak erasotzaileari helbide arbitrarioak blokeatzeko ahalmena ematen dio. UDPn iturburu-helbideak faltsutu daitezke, beraz haiek zenbatzea TCP saio-hasiera osatu bat zenbatzea baino arreta handiagoa merezi du.
Idatzi iturburuaren esleipen-metodoa kartzelaren READMEan, iturburu ez-fidagarri baten aurreratutako goiburuak blokeoa arma bihurtzen baitu.
Alboko kostua beste pertsonak dira
Bulegoko NAT baten atzean dauden hainbat langilek helbide bat partekatzen dute, beraz gordetako pasahitz zaharkitu bakar batek bulego osoa blokea dezake atalasea gainditzen denean. Erregistroak huts egin zuen iturburu bat eta kontu bat erakusten ditu, ez bulego osoko etenaldia.
Blokeo laburrek eta atalase neurrituek hori murrizten dute, eta blokeoa kentzeko bide dokumentatu batek laguntza-karga murrizten du hala ere gertatzen denean. Helbidea seinale gordina da, ez identitatea, eta txartela irekitzen duenak etenaldia deskribatuko du, ez atalasea.
Noiz hartu eta noiz konpondu beste zerbait
Hartu ezazu kontrolatzen duzun gainazal batean lineako saio-hasierako hutsegite erreala, egotzizkoa eta errepikakorra dagoenean, eta betearazpen-backendak gainazal hori benetan estaltzen duenean. Konpondu beste zerbait arazoa kredentzial-politika ahula, interneten agerian dagoen kudeaketa-orria edo konprometituta egon delako arrakastaz saioa hasten duen kontua denean. Blokeo batek ezin du horietako bat ere konpondu eta ezin du zure uplinka dagoeneko saturatu duen trafikoa xurgatu. Azken arazo hori goragokoari dagokio, paketeak zugana iritsi aurretik iragazteko gai den norbaiti.
Eduki kartzela bakoitza gainazal bakarrari lotuta, berrikusi faltsu positiboak eta neurtu saihestutako autentifikazio-lana, blokeatutako helbide kopurua beharrean.