Banaction bat, bi garraio: fail2ban-VPN-jail bat konpontzea

fail2ban-en ezerk ez du paketerik bere kabuz botatzen: ekintza bat deitzen du, eta ekintza horrek izendatzen ditu protokoloa eta ataka. Jail-ak ban bat jakinarazten duenean daemonak saioak onartzen jarraitzen duen bitartean, bana erreala izan ohi da eta log-ak iradokitzen duena baino estuagoa. Beste garraioaren bidez berriz konektatzen den bezeroak ez du inoiz instalatutako araua aurkitzen. Aldatu aurretik alderatu ekintzak instalatu duena daemonak entzuten duenarekin, proba ekintzak idatzitako suebaki-katean baitago, ez jail-aren zerrendan.

Irakurri katea, ez jail-aren laburpena

fail2ban-ek bere katea zerbitzuaren katearen aurretik sartzen du, beraz kontagailuen zerrendak existitzen dena zehatz erakusten du. Jail-aren izena duen kate batek, protokolo-zutabean udp dioen arau bakarra duenak, iristen jarraitzen duten TCP saioen azalpen osoa ematen du. Blokeatutako iturriko UDP paketeak baino ez dira baztertzen. Zerbitzuak TCP entzule bat du, eta kate horretan ezerk ez dio ukitzen.

Kontuan hartu alboko jail-aren efektua ere. Ostalari bat primeran konfiguratuta egon daiteke beste jail batek falta den erdia ematen duelako soilik, eta eraikuntza berak ezer ez du egiten jail hori instalatuta ez dagoen lekuan.

Ekintzak protokolo bakarra izendatzen du, eta han hausten da

Banaction bakoitza suebaki-komandoen txantiloi bat da, eta protokoloa bere leku-markatzaileetako batean dago. Estutasuna nahita dago, web jail batek eta DNS jail batek ez baitute zerikusirik ataka berdinak blokeatzearekin. Tranpa bihurtzen da zerbitzuak garraio bat baino gehiagotan entzuten duenean, VPN daemonek ohikoa dutena. Iragazkiak bi garraioetako saio hutsak zain ditzake ekintzak bat baino ez duen bitartean.

SoftEther eta OpenVPN inplementazioek UDP eta TCP aldi berean entzuten dute normalean, eta log-lerroa bi kasuetan berdin ikusten denez, iragazkiak biak zaintzen ditu. Asimetria ez da inoiz jail-aren beraren txostenean agertzen. fail2ban-ek hutsak behar bezala zenbatu zituen eta gero huts horiek iritsi ziren trafikoaren erdian aplikatzen den arau bat instalatu zuen.

Egin ban-ak bi garraioak estal ditzan

Konpondu hori jail-aren definizioan; eskuz idatzitako arauak hurrengo birkargan nahastuko dira. Idatzi bi ekintza, protokolo bakoitzeko bat:

action = %(banaction)s[name=%(__name__)s-tcp, actionname=%(__name__)s-tcp, protocol="tcp", port="%(port)s", chain="%(chain)s"]
         %(banaction)s[name=%(__name__)s-udp, actionname=%(__name__)s-udp, protocol="udp", port="%(port)s", chain="%(chain)s"]

Ez saiatu hori protocol = all-rekin laburtzen. Banaction lehenetsia multiport ekintza bat da, eta -p <protocol> -m multiport --dports <port>-ra hedatzen da; L4 protokolorik gabe ez dago ataka parekatzeak probatzeko ezer, beraz iptables-ek araua baztertzen du jail-ak ban arrakastatsu bat jakinarazten jarraitzen duen bitartean. Ataka guztietako ekintza batek, hala nola iptables-allports edo nftables-allports, sarrera bakarra onartzen du, baina iturri horretako ataka guztiak blokeatzen ditu, eta hori beste erabaki bat da eta bere justifikazioa behar du. Utzi protocol tcp edo udp-n eta onartu bi sarrerak.

Froga ezazu araua existitzen dela ezarpena fidatu beharrean, ezarpen batek asmo bat deskribatzen baitu kate batek eusten dion arte:

iptables -S f2b-vpn-tcp
iptables -S f2b-vpn-udp

Kate bakoitzak arau bat zerrendatu beharko luke, lehenengoan -p tcp eta bigarrenean -p udp, biak blokeatutako helbidea izendatuz. Gero egiaztatu helbide berbera bi garraioetan ukatzen dela. Katean ikusi ez duzun ban bat itxaropena da, eta sintoma beraren hurrengo txostenak ordu berean kostatuko du berriro.

Ban-ak oraindik galtzen duena, eta hurrengo kasua

Ekintzak iturri bakarra baztertzen du, eta bertan zerrendatutako ataketan soilik. Ez du ezer egiten helbideak aldatzen dituen erasotzaile baten aurka, eta ezin du makina etsai bat ehunka erabiltzailek partekatzen duten eramaile-mailako NAT irteeratik bereizi, non ban batek ezer egin ez duten pertsonak kanpoan uzten dituen. Ziurtatu iragazkiak bezeroak benetan duen helbidea irakurtzen duela, ez birbidalitako goiburua edo proxy helbidea. Eutsi leihoa nahikoa labur, akats bat bere kabuz iraungiko dela.

Horietako ezerk ez du protokolo-konponketa saltatzearen alde egiten; bi ideia aldi berean eustearen alde egiten du. Bana jail-aren laburpenak iradokitzen duena baino estuagoa da, eta ban osoa ere mehatxua baino estuagoa da. Jarri suebaki-katea daemonaren entzule-zerrendaren ondoan eta alderatu protokoloz protokolo, bi zerrenda horiek erabakitzen baitute ban-ak zerbitzura irits daitekeen ala ez.

Eduki birkarga-komandoa eta kateen zerrenda runbook-ean jail-aren ondoan. Hurrengo pertsonak biak beharko ditu, eta jail-aren laburpenak ez dio ez bata ez bestea esango.