Fail2ban VPN კარიბჭეზე: რას ასწორებს და რას არა

ყოველი გამოვლენილი სერვისი ერთსა და იმავე რჩევას იღებს: დააყენეთ მასზე fail2ban. VPN კარიბჭისთვის ეს რჩევა არც არასწორია და არც საკმარისი, და სწორედ მისი გამაგრების ჩამონათვალად მოპყრობა იწვევს იმას, რომ ადამიანები რჩებიან ციხეში (jail), რომელიც არაფერ სასარგებლოს არ ბლოკავს. Fail2ban კითხულობს წარუმატებლობის ჩანაწერებს, რომლებზეც თქვენ მიუთითებთ, და სთხოვს აღსრულების backend-ს, დაბლოკოს შესაბამისი წყაროები. მისი მთელი ღირებულება დამოკიდებულია იმაზე, რომელმა ავთენტიფიკაციის ზედაპირმა შექმნა ჩანაწერი, არის თუ არა მასში მოცემული მისამართი ნამდვილი კლიენტი და რა ხდება ყველა დანარჩენთან ამ მისამართის უკან.

რა არის fail2ban მექანიკურად

ფილტრი ერთმანეთს უკავშირებს ჟურნალის სტრიქონებს, ციხე ითვლის დამთხვევებს წყაროს მიხედვით, ხოლო მოქმედება ბლოკირებას ქსელური ფარის backend-ის მეშვეობით ახორციელებს. სამი მოძრავი ნაწილი, და თითოეული დამოუკიდებლად შეიძლება იყოს არასწორი.

სამიდან არცერთი არ ეხება ავთენტიფიკაციის გზას: fail2ban რეაგირებს მტკიცებულებებზე ფაქტის შემდეგ და არასდროს თავად არ ამოწმებს რწმუნებას. ამიტომ ციხე შეიძლება სუფთად მუშაობდეს, მაშინ როცა ზედაპირი, რომელსაც ის ასახელებს, ზუსტად ისე ღია რჩება, როგორც ადრე.

გვირაბის მსმენელი შესვლის ფორმა არ არის

OpenVPN მსმენელი, რომელიც დაცულია tls-auth ან tls-crypt-ით, აგდებს პაკეტებს საკონტროლო არხის დაცვის გარეშე, სანამ ჩვეულებრივი TLS დამუშავება დაიწყება. სკანერი, რომელსაც არასდროს აქვს გასაღები, არაფერს აწარმოებს, რაც თქვენს ფილტრს შეუძლია დათვალოს. სერთიფიკატით ავთენტიფიკაცია კიდევ ერთ კარიბჭეს ამატებს, რადგან გამოსაცნობი პაროლი არ არსებობს. Fail2ban-ის პროექტი აღწერს ზოგად ჟურნალზე დაფუძნებულ მოდელს, და ზოგადი VPN ფილტრი არაუთენტიფიცირებულ პაკეტს მნიშვნელოვან წარუმატებლობის მოვლენად არ აქცევს.

თუ კარიბჭე მხოლოდ სერთიფიკატებს იღებს, შესაძლოა ის brute-force ისტორია, რომლისგანაც იცავთ თავს, საერთოდ არ არსებობდეს ამ პორტზე.

მაშ, რომელ ზედაპირს იცავთ?

იგივე ჰოსტი ხშირად სამ განსხვავებულ რამეს ამხელს: გვირაბის მსმენელს, კლიენტის პროფილის ან თვითმომსახურების პორტალს და ადმინისტრირების გვერდს. პორტალსა და ადმინ გვერდს აქვთ პაროლის ფორმები და აწარმოებენ ჟურნალის სტრიქონებს, რომლებიც ფილტრს შეუძლია დათვალოს. გვირაბმა შეიძლება მხოლოდ ხელის ჩამორთმევის შეცდომები აწარმოოს, რაც სულ სხვა რამეს ნიშნავს. შეუსაბამეთ ციხე ზედაპირს და არა პროდუქტის სახელს.

არასწორ ჟურნალს რომ უთვალთვალებს ერთი ციხე, უარესია, ვიდრე არცერთი, რადგან ის ქმნის ნდობას დაფარვის გარეშე. მიმართეთ შესვლის ფილტრი გვირაბის ხელის ჩამორთმევის შეცდომებზე და მთვლელი იმუშავებს სკანერებზე, რომლებსაც არასდროს ჰქონიათ გასაღები, მაშინ როცა პორტალის წინააღმდეგ პაროლური შეტევა არ ჩაითვლება. წაიკითხეთ ის ჟურნალის სტრიქონი, რომელსაც ფილტრი ადარებს, სანამ ციხის რიცხვს დაეყრდნობით.

წყაროს მიკუთვნება სუსტი რგოლია

ბლოკირება იმდენად კარგია, რამდენადაც კარგია მისამართი, რომელსაც ის მიმართავს. როცა სერვისი ლოკალური უკუპროქსის უკან ზის, ჟურნალში კლიენტის მისამართი შეიძლება თავად პროქსი იყოს, და მისი დაბლოკვა ყველას აშორებს. არასანდო წყაროდან გადაცემული სათაურის ნდობა თავდამსხმელს აძლევს თვითნებური მისამართების დაბლოკვის შესაძლებლობას. UDP-ზე წყაროს მისამართები შეიძლება გაყალბდეს, ამიტომ მათი დათვლა უფრო მეტ სიფრთხილეს იმსახურებს, ვიდრე დასრულებული TCP შესვლის დათვლა.

ჩაწერეთ წყაროს მიკუთვნების მეთოდი ციხის README-ში, რადგან არასანდო hop-იდან გადაცემული სათაური ბლოკირებას იარაღად აქცევს.

გვერდითი ღირებულება სხვა ადამიანები არიან

ერთი ოფისის NAT-ის უკან მყოფი რამდენიმე თანამშრომელი იზიარებს მისამართს, ამიტომ ერთმა მოძველებულმა შენახულმა პაროლმა შეიძლება მთელი ოფისი ჩაკეტოს, როგორც კი ზღვარი გადაიკვეთება. ჟურნალი აჩვენებს ერთ წყაროს და ერთ ანგარიშს, რომლებიც ჩავარდნენ, და არა მთელი ოფისის შეფერხებას.

მოკლე ბლოკირებები და ზომიერი ზღვრები ამცირებს ამას, და დოკუმენტირებული განბლოკვის გზა ამცირებს მხარდაჭერის დატვირთვას, როცა ეს მაინც ხდება. მისამართია უხეში სიგნალი და არა იდენტობა, და ბილეთის გამხსნელი აღწერს შეფერხებას და არა ზღვარს.

როდის დავნერგოთ ის და როდის გამოვასწოროთ სხვა რამ

დანერგეთ ის, როცა თქვენს მიერ კონტროლირებულ ზედაპირზე არსებობს რეალური, მიკუთვნებადი, განმეორებადი ონლაინ შესვლის წარუმატებლობა, და როცა აღსრულების backend ნამდვილად ფარავს ამ ზედაპირს. გამოასწორეთ სხვა რამ, როცა პრობლემა სუსტი რწმუნებათა პოლიტიკაა, ინტერნეტში ღია მართვის გვერდი, ან ანგარიში, რომელიც წარმატებით შედის იმიტომ, რომ კომპრომეტირებულია. ბლოკირება ვერ შეაკეთებს არცერთ მათგანს და ვერ შთანთქავს ტრაფიკს, რომელმაც უკვე გაჯერა თქვენი uplink. ის უკანასკნელი პრობლემა ზემოთ, დინების საწინააღმდეგოდ არის, ვიღაცასთან, ვისაც შეუძლია გაფილტროს სანამ პაკეტები თქვენამდე მოაღწევს.

შეინარჩუნეთ ყოველი ციხე ერთ ზედაპირზე მიბმული, გადახედეთ ცრუ დადებითებს და გაზომეთ თავიდან აცილებული ავთენტიფიკაციის სამუშაო და არა დაბლოკილი მისამართების რაოდენობა.