Fail2ban á VPN-gátt: hvað það lagar og hvað ekki

Sérhver afhjúpuð þjónusta fær sömu ráð: settu fail2ban á hana. Fyrir VPN-gátt er það ráð hvorki rangt né nægilegt, og einmitt að meðhöndla það sem haka í herðingu er hvernig fólk endar með fangelsi (jail) sem lokar engu gagnlegu. Fail2ban les mistakaskrárnar sem þú beinir því að og biður framfylgdarbakenda um að banna samsvarandi uppruna. Allt gildi þess fer eftir því hvaða auðkenningarflötur framleiddi skrána, hvort vistfangið í henni er raunverulegi skjólstæðingurinn, og hvað verður um alla hina bak við það vistfang.

Hvað er fail2ban vélrænt

Sía passar línur í annál, fangelsi telur samsvar á hvern uppruna, og aðgerð beitir banni gegnum eldveggsbakenda. Þrír hreyfanlegir hlutar, og hver um sig getur verið rangur óháð.

Ekkert þeirra þriggja snertir auðkenningarleiðina: fail2ban bregst við sönnunum eftir á og staðfestir aldrei sjálft skilríki. Fangelsi getur því gengið hreint á meðan flöturinn sem það nefnir er nákvæmlega jafn afhjúpaður og áður.

Hlustari göngsins er ekki innskráningarform

Hlustari OpenVPN sem er varinn með tls-auth eða tls-crypt hendir pakkum sem skorta vernd stýrirásarinnar áður en venjuleg TLS-vinnsla hefst. Skanni sem hefur aldrei lykilinn framleiðir ekkert sem sían þín getur talið. Auðkenning með skírteini bætir við annarri hlið, því ekkert lykilorð er til að giska á. Fail2ban-verkefnið skjalfestir almennt annáladrifið líkan, og almenn VPN-sía breytir ekki óauðkenndum pakka í merkingarbæran mistakaviðburð.

Ef gáttin tekur aðeins við skírteinum gæti brute-force-sagan sem þú verndar þig gegn alls ekki verið til á þeirri port.

Hvaða flöt verndar þú þá?

Sami hýsill afhjúpar oft þrjá mismunandi hluti: hlustara göngsins, gátt fyrir skjólstæðingssnið eða sjálfsþjónustu, og stjórnunarsíðu. Gáttin og stjórnunarsíðan hafa lykilorðsform og framleiða annálalínur sem sía getur talið. Göngin framleiða ef til vill aðeins handabandsvillur sem þýða eitthvað allt annað. Passaðu fangelsið við flötinn, ekki við vöruna.

Eitt fangelsi sem fylgist með röngum annál er verra en ekkert, því það skapar traust án þekju. Beindu innskráningarsíu að handabandsvillum ganganna og teljarinn fer af stað hjá skönnum sem höfðu aldrei lykil, á meðan lykilorðsárás á gáttina verður ótalin. Lestu annálalínuna sem sían passar áður en þú treystir tölu fangelsisins.

Upprunatengsl eru veikli hlekkurinn

Bann er aðeins eins gott og vistfangið sem það miðar á. Þegar þjónustan liggur bak við staðbundið öfugt milliþjón, gæti skjólstæðingsvistfangið í annálnum verið milliþjónninn, og að banna hann fjarlægir alla. Að treysta áframmiðuðum haus frá ótraustum uppruna gefur árásarmanni getu til að banna handahófskennd vistföng. Á UDP er hægt að falsa upprunavistföng, svo að telja þau krefst meiri varúðar en að telja lokið TCP-innskráningu.

Skráðu aðferðina við upprunatengsl í README fangelsisins, því áframmiðaður haus frá ótraustum hoppi breytir banni í vopn.

Aukakostnaðurinn eru aðrir

Nokkrir starfsmenn bak við eitt skrifstofu-NAT deila vistfangi, svo eitt úrelt vistað lykilorð getur læst alla skrifstofuna þegar þröskuldinum er náð. Annállinn sýnir einn uppruna og einn reikning sem mistókst, ekki bil á allri skrifstofunni.

Stutt bönn og hóflegir þröskuldar draga úr þessu, og skjalfest leið til að afbanna dregur úr álagi á stuðning þegar það gerist samt. Vistfangið er gróft merki frekar en auðkenni, og sá sem opnar miðann mun lýsa bilinu, ekki þröskuldinum.

Hvenær á að taka það upp, og hvenær á að laga eitthvað annað

Taktu það upp þegar raunveruleg, rekjanleg, endurtekin netinnskráningarmistök eru á flöt sem þú stjórnar, og þegar framfylgdarbakendinn nær í raun yfir þann flöt. Lagaðu eitthvað annað þegar vandamálið er veik skilríkjastefna, stjórnunarsíða opin internetinu, eða reikningur sem skráir sig inn með góðum árangri vegna þess að honum var stolið. Bann getur ekki lagað neitt af þessu og getur ekki tekið við umferð sem hefur þegar mettað uppstreymistenginguna þína. Það síðasta vandamál tilheyrir ofar, einhverjum sem getur siað áður en pakkarnir ná til þín.

Haltu hverju fangelsi bundnu við einn flöt, farðu yfir rangar jákvæðar niðurstöður, og mældu auðkenningarvinnuna sem forðast var frekar en fjölda bannaðra vistfanga.