Fail2ban op in VPN-gateway: wat it oplost en wat net
Fail2ban ferbannt boarnen dy't yn jo logboeken mislearje, en dat is alles. Oft it in VPN-gateway helpt hinget ôf fan it oanmeldflak en fan wa't in adres dielt.
Elke bleatstelde tsjinst krijt itselde advys: set fail2ban derop. Foar in VPN-gateway is dat advys noch ferkeard noch genôch, en it behanneljen as in ôffinkfakje by it hurdzjen is hoe't minsken einigje mei in finzenis (jail) dy't neat nuttich blokket. Fail2ban lêst de mislearringsregisters wêr't jo it op rjochtsje en freget in hanthavenings-backend om oerienkommende boarnen te ferbannen. De hiele wearde hinget ôf fan hokker autentikaasjeflak it register makke hat, oft it adres deryn de echte klant is, en wat der bart mei alle oaren efter dat adres.
Wat fail2ban meganysk is
In filter past rigels yn in log oan, in finzenis telt treffers per boarne, en in aksje past in ferban ta fia in firewall-backend. Trije bewegende dielen, en elk kin selsstannich ferkeard wêze.
Net ien fan de trije rekket it autentikaasjepaad: fail2ban reagearret op bewiis efterôf en falidearret nea sels in bewiisstik. In finzenis kin dêrom skjin rinne wylst it flak dat it neamt krekt sa bleatsteld bliuwt as earder.
De tunnelharker is gjin oanmeldformulier
In OpenVPN-harker beskerme mei tls-auth of tls-crypt smyt pakketten fuort sûnder de beskerming fan it kontrôlekanaal foardat de gewoane TLS-ferwurking begjint. In skenner dy't nea de kaai hat, makket neat dat jo filter telle kin. Sertifikaat-autentikaasje foeget noch in poarte ta, want der is gjin wachtwurd om te rieden. It Fail2ban-projekt dokumintearret in algemien log-oandreaun model, en in generyk VPN-filter makket fan in net-autentisearre pakket gjin betsjuttingsfol mislearringsevent.
As de gateway allinnich sertifikaten akseptearret, bestiet it brute-force-ferhaal dêr't jo jo tsjin ferdigenje miskien hielendal net op dy poarte.
Hokker flak beskermje jo dan?
Deselde host bleatstelt faak trije ferskillende dingen: de tunnelharker, in klantprofyl- as selsbetsjinningsportaal, en in administraasjeside. It portaal en de admin-side hawwe wachtwurdfomulieren en meitsje logrigels dy't in filter telle kin. De tunnel makket miskien allinnich hânskodflaters dy't hiel wat oars betsjutte. Koppelje de finzenis oan it flak, net oan de produktnamme.
Ien finzenis dy't de ferkearde log besjocht is slimmer as gjinien, want it skept fertrouwen sûnder dekking. Rjochtsje in oanmeldfilter op de hânskodflaters fan de tunnel en de teller slacht oan by skenners dy't nea in kaai hiene, wylst in wachtwurdoanfal op it portaal net teld wurdt. Lês de logrigel dy't it filter oanpast foardat jo it getal fan de finzenis fertrouwe.
Boarnetawizing is de swakke skeakel
In ferban is mar sa goed as it adres dat it rjochtet. As de tsjinst efter in pleatslike omkearde proxy sit, kin it klantadres yn de log de proxy wêze, en dy ferbanne smyt elkenien fuort. Fertrouwen op in trochstjoerde kop fan in net-fertrout boarne jout in oanfaller de mooglikheid om willekeurige adressen te ferbannen. Op UDP kinne boarneedressen ferfalske wurde, dat it tellen dêrfan fertsjinnet mear soarch as it tellen fan in foltôge TCP-oanmelding.
Skriuw de metoade foar boarnetawizing yn 'e README fan 'e finzenis, want in trochstjoerde kop fan in net-fertrout hop makket fan in ferban in wapen.
De sydkosten binne oare minsken
Ferskate meiwurkers efter ien kantoar-NAT diele in adres, dat ien ferâldere bewarre wachtwurd kin it hiele kantoar útslute sadree't de drompel oerstutsen wurdt. De log lit ien boarne en ien akkount sjen dat mislearre, net in útfal foar it hiele kantoar.
Koarte ferbannen en matige drompels ferminderje dat, en in dokumintearre paad om it ferban op te heffen ferminderet de stipebelesting as it dochs bart. It adres is in grof sinjaal en gjin identiteit, en dejinge dy't it ticket iepenet sil it útfal beskriuwe, net de drompel.
Wannear't jo it oannimme, en wannear't jo wat oars reparearje
Nim it oan as der in echt, tawisber, werhelle online oanmeldmislearring is op in flak dat jo beheare, en as de hanthavenings-backend dat flak echt dekt. Reparearje wat oars as it probleem in swak bewiisstikbelied is, in behearsside dy't bleatsteld is oan it ynternet, of in akkount dat mei súkses oanmeldet om't it kompromittearre is. In ferban kin dêr neat fan reparearje en kin gjin ferkear absorbearje dat jo uplink al fersadige hat. Dat lêste probleem heart streamop, by immen dy't filterje kin foardat de pakketten jo berikke.
Hâld elke finzenis bûn oan ien flak, besjoch falske posityven, en mjit it foarkommen autentikaasjewurk yn plak fan it oantal ferballe adressen.