Fail2ban na VPN gatewayu: šta rješava, a šta ne

Svaka izložena usluga dobije isti savjet: stavi fail2ban na nju. Za VPN gateway taj savjet nije ni pogrešan ni dovoljan, a upravo tretiranje toga kao obavezne kućice pri očvršćivanju dovodi do toga da ljudi završe sa zatvorom (jail) koji ne blokira ništa korisno. Fail2ban čita zapise o neuspjehu na koje ga uputite i traži od pozadine za provođenje da blokira odgovarajuće izvore. Njegova cijela vrijednost zavisi od toga koja je površina za provjeru identiteta proizvela zapis, da li je adresa u njemu pravi klijent i šta se dešava sa svima ostalima iza te adrese.

Šta je fail2ban mehanički

Filter uparuje linije u zapisu, zatvor broji poklapanja po izvoru, a akcija primjenjuje blokadu kroz pozadinu vatrozida. Tri pokretna dijela, a svaki može biti pogrešan nezavisno.

Nijedan od tri ne dira put provjere identiteta: fail2ban reaguje na dokaze nakon činjenice i nikada sam ne provjerava akreditiv. Zatvor zato može raditi besprijekorno dok površina koju imenuje ostaje tačno onoliko izložena kao i prije.

Slušalac tunela nije obrazac za prijavu

Slušalac OpenVPN zaštićen sa tls-auth ili tls-crypt odbacuje pakete bez zaštite kontrolnog kanala prije nego što počne obična TLS obrada. Skener koji nikada nema ključ ne stvara ništa što vaš filter može izbrojati. Provjera identiteta certifikatom dodaje još jedna vrata, jer nema lozinke koju bi se moglo pogoditi. Projekat Fail2ban dokumentuje opšti model vođen zapisima, a generički VPN filter ne pretvara neautentifikovani paket u smislen događaj neuspjeha.

Ako gateway prihvata samo certifikate, priča o brute-force napadu od koje se branite možda uopšte ne postoji na tom portu.

Pa koju površinu štitite?

Isti host često izlaže tri različite stvari: slušalac tunela, portal za klijentske profile ili samoposluživanje i administrativnu stranicu. Portal i admin stranica imaju forme za lozinku i proizvode linije zapisa koje filter može izbrojati. Tunel može proizvoditi samo greške rukovanja koje znače nešto sasvim drugo. Uparite zatvor sa površinom, a ne sa imenom proizvoda.

Jedan zatvor koji gleda pogrešan zapis gori je od nikakvog, jer stvara povjerenje bez pokrivenosti. Usmjerite filter za prijavu na greške rukovanja tunela i brojač će se aktivirati na skenerima koji nikada nisu imali ključ, dok napad lozinkom na portal ostaje neizbrojan. Pročitajte liniju zapisa koju filter uparuje prije nego što povjerujete broju zatvora.

Pripisivanje izvora je slaba karika

Blokada je dobra onoliko koliko je dobra adresa koju cilja. Kada usluga stoji iza lokalnog obrnutog proxyja, adresa klijenta u zapisu može biti proxy, a blokiranje proxyja uklanja sve. Povjerenje u proslijeđeno zaglavlje iz nepouzdanog izvora daje napadaču mogućnost da blokira proizvoljne adrese. Na UDP-u se izvorne adrese mogu falsifikovati, pa njihovo brojanje zaslužuje više pažnje od brojanja završene TCP prijave.

Zapišite metodu pripisivanja izvora u README zatvora, jer proslijeđeno zaglavlje iz nepouzdanog skoka pretvara blokadu u oružje.

Sporedna cijena su drugi ljudi

Nekoliko zaposlenih iza jednog kancelarijskog NAT-a dijeli adresu, pa jedna zastarjela sačuvana lozinka može zaključati cijelu kancelariju kada se prag prekorači. Zapis pokazuje jedan izvor i jedan račun koji nije uspio, a ne ispad na nivou cijele kancelarije.

Kratke blokade i umjereni pragovi to smanjuju, a dokumentovana putanja za ukidanje blokade smanjuje opterećenje podrške kada se ipak dogodi. Adresa je grub signal, a ne identitet, a osoba koja otvori tiket opisat će ispad, a ne prag.

Kada to usvojiti, a kada popraviti nešto drugo

Usvojite ga kada postoji stvarni, pripisivi, ponovljeni neuspjeh online prijave na površini koju kontrolišete i kada pozadina za provođenje zaista pokriva tu površinu. Popravite nešto drugo kada je problem slaba politika akreditiva, administrativna stranica izložena internetu ili račun koji se uspješno prijavljuje jer je kompromitovan. Blokada ne može popraviti ništa od toga i ne može apsorbovati saobraćaj koji je već zasitio vaš uplink. Taj posljednji problem pripada uzvodno, nekome ko može filtrirati prije nego paketi stignu do vas.

Držite svaki zatvor vezan za jednu površinu, pregledajte lažne pozitive i mjerite izbjegnuti posao provjere identiteta, a ne broj blokiranih adresa.