Aon banaction amháin, dhá iompar: jail fail2ban VPN a dheisiú

Ní dhéanann aon rud i fail2ban paicéad a ligean ar a shon féin: tugann sé gníomh chun cinn, agus is é an gníomh sin a ainmníonn prótacal agus port. Nuair a thuairiscíonn an jail ban agus an daemon fós ag glacadh le logáil isteach, is gnáth go mbíonn an ban fíor agus níos cúinge ná mar a thugann an log le tuiscint. Ní thagann cliant a athcheanglaíonn thar an iompar eile isteach ar an riail a suiteáladh riamh. Déan comparáid idir an méid a shuiteáil an gníomh agus an méid a éisteann an daemon leis sula n-athraíonn tú aon rud, mar tá an fhianaise sa slabhra balla dóiteáin a scríobh an gníomh, ní i liosta an jail.

Léigh an slabhra, ní achoimre an jail

Cuireann fail2ban a shlabhra féin roimh shlabhra an tseirbhís, mar sin taispeánann liosta cuntair go beacht cad atá ann. Is míniú iomlán é slabhra atá ainmnithe i ndiaidh an jail, a bhfuil riail amháin ann a léann a cholún prótacail udp, ar logáil isteach TCP a leanann ag teacht. Ní dhiúltaítear ach do phaicéid UDP ón bhfoinse a cuireadh faoi bhac. Tá éisteoir TCP ag an tseirbhís, agus ní chuireann aon rud sa slabhra sin isteach air.

Tabhair faoi deara éifeacht an jail chomharsanach freisin. Féadfaidh óstach breathnú go foirfe cumraithe ach amháin toisc go soláthraíonn jail eile an leath atá ar iarraidh, agus ní dhéanann an build céanna aon rud san áit nach bhfuil an jail sin suiteáilte.

Ainmníonn an gníomh prótacal amháin, agus is ansin a bhriseann sé

Is teimpléad ordaithe balla dóiteáin é gach banaction, agus tá an prótacal i gceann dá áiteoirí. Tá an chúngacht d'aon ghnó, ós rud é nach bhfuil gnó ar bith ag jail gréasáin agus jail DNS leis na pointí céanna a bhac. Éiríonn sé ina ghaiste nuair a éisteann an tseirbhís le níos mó ná aon iompar amháin, rud a dhéanann daemons VPN go rialta. Féadfaidh an scagaire faire ar logáil isteach teipthe ón dá iompar agus an gníomh ag clúdach ceann amháin.

Éisteann imlonnaithe SoftEther agus OpenVPN le UDP agus TCP ag an am céanna de ghnáth, agus toisc go bhfeictear líne an log mar an gcéanna sa dá chás féachann an scagaire ar an dá rud. Ní fheictear an neamhshiméadracht riamh i dtuairisc an jail féin. Chomhair fail2ban na teipeanna i gceart agus ansin shuiteáil sé riail a bhaineann le leath an tráchta ar a dtáinig na teipeanna sin.

Déan cinnte go gclúdaíonn an ban an dá iompar

Deisigh é sa sainmhíniú jail ina ionad; meascfar rialacha lámhscríofa leis an athlódáil seo chugainn. Scríobh dhá ghníomh amach, ceann do gach prótacal:

action = %(banaction)s[name=%(__name__)s-tcp, actionname=%(__name__)s-tcp, protocol="tcp", port="%(port)s", chain="%(chain)s"]
         %(banaction)s[name=%(__name__)s-udp, actionname=%(__name__)s-udp, protocol="udp", port="%(port)s", chain="%(chain)s"]

Ná déan iarracht é sin a ghiorrú le protocol = all. Is gníomh multiport é an banaction réamhshocraithe, agus leathnaíonn sé go -p <protocol> -m multiport --dports <port>; gan prótacal L4 níl aon rud le tástáil ag meaitseáil an phoirt, mar sin diúltaíonn iptables don riail agus tuairiscíonn an jail ban rathúil fós. Glacann gníomh gach poirt ar nós iptables-allports nó nftables-allports le iontráil amháin, ach cuireann sé cosc ar gach port ar an bhfoinse sin, rud atá ina chinneadh difriúil agus a dteastaíonn a fhírinniú féin. Fág protocol ar tcp nó udp agus glac leis an dá iontráil.

Cruthaigh go bhfuil an riail ann seachas muinín a bheith agat as an socrú, mar déanann socrú cur síos ar rún go dtí go gcoinníonn slabhra é:

iptables -S f2b-vpn-tcp
iptables -S f2b-vpn-udp

Ba cheart go liostódh gach slabhra riail amháin, le -p tcp sa chéad cheann agus -p udp sa dara ceann, agus ainmníonn an dá cheann an seoladh atá faoi bhac. Ansin deimhnigh go ndiúltaítear don seoladh céanna ar an dá iompar. Is dóchas é ban nach bhfaca tú sa slabhra, agus cosnóidh an chéad tuairisc eile ar an gcomhartha céanna an uair chéanna arís.

An rud a chailleann ban fós, agus an chéad chás eile

Is é a dhéanann an gníomh ná foinse amháin a dhiúltú, agus gan ach ar na pointí atá liostaithe ann. Ní dhéanann sé aon rud faoi ionsaitheoir a rothlaíonn seoltaí, agus ní féidir leis meaisín naimhdeach a scaradh ó bhealach amach NAT ar scála iompróra a roinntear le céadta úsáideoirí, áit a gcuireann ban amháin daoine nach ndearna aon rud amach. Déan cinnte go léann an scagaire an seoladh atá ag an gcliant i ndáiríre, ní ceannteideal a atreoraíodh ná seoladh seachfhreastalaí. Coinnigh an fhuinneog gearr go leor ionas go n-éagfaidh botún leis féin.

Ní áitíonn aon rud díobh sin go scipeáilfí an deisiú prótacail; áitíonn sé dhá smaoineamh a choinneáil ag an am céanna. Tá an ban níos cúinge ná mar a thugann achoimre an jail le tuiscint, agus tá fiú ban iomlán níos cúinge ná an bhagairt. Cuir an slabhra balla dóiteáin in aice le liosta éisteoirí an daemon agus déan comparáid prótacal ar phrotacal, mar is iad an dá liosta sin a shocraíonn an féidir le ban an tseirbhís a shroicheadh ar chor ar bith.

Coinnigh an t-ordú athlódála agus liosta an tslabhra sa runbook in aice leis an jail. Beidh an dá rud ag teastáil ón gcéad duine eile, agus ní inseoidh achoimre an jail ceachtar díobh dó.