Fail2ban-ը VPN դարպասում. ինչ է ուղղում և ինչ ոչ

Յուրաքանչյուր բաց ծառայություն ստանում է նույն խորհուրդը՝ դրեք fail2ban դրա վրա։ VPN դարպասի համար այդ խորհուրդը ոչ սխալ է, ոչ էլ բավարար, և հենց այն որպես կարծրացման ստուգանիշ դիտարկելն է, ինչի պատճառով մարդիկ մնում են բանտով (jail), որը ոչ մի օգտակար բան չի արգելափակում։ Fail2ban-ը կարդում է ձախողման գրառումները, որոնց վրա դուք այն ուղղում եք, և խնդրում է կատարման backend-ին արգելափակել համապատասխան աղբյուրները։ Դրա ամբողջ արժեքը կախված է նրանից, թե որ նույնականացման մակերեսն է ստեղծել գրառումը, արդյոք դրա մեջ եղած հասցեն իրական հաճախորդն է, և ինչ է պատահում այդ հասցեի հետևում գտնվող բոլոր մյուսներին։

Ինչ է fail2ban-ը մեխանիկորեն

Զտիչը համապատասխանեցնում է տողեր մատյանում, բանտը հաշվում է համապատասխանությունները ըստ աղբյուրի, իսկ գործողությունը կիրառում է արգելափակում firewall backend-ի միջոցով։ Երեք շարժական մաս, և յուրաքանչյուրը կարող է ինքնուրույն սխալ լինել։

Երեքից ոչ մեկը չի դիպչում նույնականացման ուղուն. fail2ban-ը արձագանքում է ապացույցներին փաստից հետո և երբեք ինքը չի վավերացնում որևէ հավատարմագիր։ Ուստի բանտը կարող է մաքուր աշխատել, մինչդեռ այն մակերեսը, որը նա նշում է, մնում է ճիշտ նույնքան բաց, որքան առաջ։

Թունելի լսիչը մուտքի ձև չէ

OpenVPN լսիչը, որը պաշտպանված է tls-auth կամ tls-crypt-ով, դեն է նետում կառավարման ալիքի պաշտպանություն չունեցող փաթեթները՝ նախքան սովորական TLS մշակման սկսվելը։ Սկաները, որը երբեք բանալի չունի, ոչինչ չի արտադրում, ինչ ձեր զտիչը կարողանա հաշվել։ Վկայագրով նույնականացումը ավելացնում է ևս մեկ դարպաս, որովհետև գուշակելու գաղտնաբառ չկա։ Fail2ban նախագիծը փաստագրում է ընդհանուր մատյանային մոդել, և ընդհանուր VPN զտիչը չնույնականացված փաթեթը չի վերածում իմաստալից ձախողման դեպքի։

Եթե դարպասը ընդունում է միայն վկայագրեր, ապա brute-force պատմությունը, որից պաշտպանվում եք, կարող է ընդհանրապես գոյություն չունենալ այդ պորտում։

Այսպիսով, ո՞ր մակերեսն եք պաշտպանում։

Նույն հոսթը հաճախ բացում է երեք տարբեր բաներ՝ թունելի լսիչը, հաճախորդի պրոֆիլի կամ ինքնասպասարկման պորտալը և կառավարման էջը։ Պորտալն ու կառավարման էջը ունեն գաղտնաբառի ձևեր և արտադրում են մատյանի տողեր, որոնք զտիչը կարող է հաշվել։ Թունելը կարող է արտադրել միայն ձեռքսեղմման սխալներ, որոնք բոլորովին այլ բան են նշանակում։ Համապատասխանեցրեք բանտը մակերեսին, ոչ թե ապրանքի անվանը։

Սխալ մատյանին հետևող մեկ բանտն ավելի վատ է, քան ոչ մեկը, որովհետև այն ստեղծում է վստահություն՝ առանց ծածկույթի։ Ուղղեք մուտքի զտիչը թունելի ձեռքսեղմման սխալներին, և հաշվիչը կաշխատի այն սկաներների վրա, որոնք երբեք բանալի չեն ունեցել, մինչ պորտալի դեմ գաղտնաբառի հարձակումը կմնա չհաշված։ Կարդացեք այն մատյանի տողը, որը զտիչը համապատասխանեցնում է, նախքան բանտի թվին վստահելը։

Աղբյուրի վերագրումը թույլ օղակն է

Արգելափակումը նույնքան լավն է, որքան այն հասցեն, որին ուղղված է։ Երբ ծառայությունը գտնվում է տեղական հակադարձ proxy-ի հետևում, մատյանի հաճախորդի հասցեն կարող է հենց proxy-ն լինել, և դրա արգելափակումը հեռացնում է բոլորին։ Անվստահելի աղբյուրից փոխանցված վերնագրին վստահելը հարձակվողին տալիս է կամայական հասցեներ արգելափակելու հնարավորություն։ UDP-ում աղբյուրի հասցեները կարող են կեղծվել, ուստի դրանք հաշվելը ավելի մեծ զգուշություն է պահանջում, քան ավարտված TCP մուտքի հաշվելը։

Գրանցեք աղբյուրի վերագրման մեթոդը բանտի README-ում, որովհետև անվստահելի hop-ից փոխանցված վերնագիրը արգելափակումը վերածում է զենքի։

Կողմնակի ծախսը այլ մարդիկ են

Մեկ գրասենյակային NAT-ի հետևում գտնվող մի քանի աշխատակիցներ կիսում են հասցեն, ուստի մեկ հնացած պահված գաղտնաբառ կարող է կողպել ամբողջ գրասենյակը, հենց շեմը հատվի։ Մատյանը ցույց է տալիս մեկ աղբյուր և մեկ հաշիվ, որոնք ձախողվել են, ոչ թե ամբողջ գրասենյակի խափանում։

Կարճ արգելափակումները և չափավոր շեմերը նվազեցնում են դա, և փաստագրված արգելաբացման ուղին նվազեցնում է աջակցության ծանրաբեռնվածությունը, երբ դա այնուամենայնիվ տեղի է ունենում։ Հասցեն կոպիտ ազդանշան, ոչ ինքնություն է, և տոմսը բացողը կնկարագրի խափանումը, ոչ թե շեմը։

Երբ ընդունել այն, և երբ ուղղել այլ բան

Ընդունեք այն, երբ ձեր վերահսկած մակերեսի վրա կա իրական, վերագրվող, կրկնվող առցանց մուտքի ձախողում, և երբ կատարման backend-ը իսկապես ծածկում է այդ մակերեսը։ Ուղղեք այլ բան, երբ խնդիրը թույլ հավատարմագրային քաղաքականությունն է, ինտերնետին բաց կառավարման էջը կամ հաշիվը, որը հաջողությամբ մուտք է գործում, որովհետև վտանգվել է։ Արգելափակումը չի կարող վերանորոգել դրանցից ոչ մեկը և չի կարող կլանել երթևեկությունը, որն արդեն հագեցրել է ձեր uplink-ը։ Այդ վերջին խնդիրը պատկանում է վերև՝ մեկին, ով կարող է զտել նախքան փաթեթները ձեզ հասնելը։

Պահեք յուրաքանչյուր բանտ կապված մեկ մակերեսի հետ, վերանայեք կեղծ դրականները և չափեք խուսափված նույնականացման աշխատանքը, այլ ոչ թե արգելափակված հասցեների քանակը։