VPN шлюзіндегі Fail2ban: нені түзетеді және нені түзетпейді

Әрбір ашық қызмет бірдей кеңес алады: оған fail2ban қойыңыз. VPN шлюзі үшін бұл кеңес қате де емес, жеткілікті де емес, және оны қатайту белгісі ретінде қарау адамдардың ешқандай пайдалы нәрсені блоктамайтын түрмеге (jail) тап болуына әкеледі. Fail2ban сіз көрсеткен сәтсіздік жазбаларын оқып, орындау backend-інен сәйкес келетін көздерді блоктауды сұрайды. Оның бүкіл құндылығы жазбаны қай аутентификация беті жасағанына, ондағы мекенжайдың нағыз клиент екеніне және сол мекенжайдың артындағы барлық қалғандарға не болатынына байланысты.

Fail2ban механикалық тұрғыдан не

Сүзгі журналдағы жолдарды сәйкестендіреді, түрме көз бойынша сәйкестіктерді санайды, ал әрекет өрт қабырғасының backend-і арқылы блоктауды қолданады. Үш қозғалмалы бөлік, және әрқайсысы дербес қате болуы мүмкін.

Үшеуінің ешқайсысы аутентификация жолына тиіспейді: fail2ban фактіден кейін дәлелдерге әрекет етеді және ешқашан өзі куәлікті тексермейді. Сондықтан түрме таза жұмыс істей алады, ал ол атаған бет бұрынғыдай ашық күйінде қалады.

Туннель тыңдаушысы кіру пішіні емес

OpenVPN тыңдаушысы tls-auth немесе tls-crypt-мен қорғалған болса, қалыпты TLS өңдеуі басталғанға дейін басқару арнасының қорғанысы жоқ пакеттерді тастайды. Кілті ешқашан жоқ сканер сүзгіңіз санай алатын ештеңе шығармайды. Сертификатпен аутентификация тағы бір қақпа қосады, өйткені болжауға болатын құпиясөз жоқ. Fail2ban жобасы жалпы журналға негізделген модельді құжаттайды, ал жалпы VPN сүзгісі аутентификацияланбаған пакетті мағыналы сәтсіздік оқиғасына айналдырмайды.

Егер шлюз тек сертификаттарды қабылдаса, сіз қорғанып жатқан brute-force әңгімесі сол портта мүлдем болмауы мүмкін.

Сонда қай бетті қорғап отырсыз?

Бір хост жиі үш түрлі нәрсені ашады: туннель тыңдаушысын, клиент профилі немесе өзіне-өзі қызмет көрсету порталын және әкімшілік бетті. Портал мен әкімші бетте құпиясөз пішіндері бар және сүзгі санай алатын журнал жолдарын шығарады. Туннель мүлде басқа мағына беретін қол алысу қателерін ғана шығаруы мүмкін. Түрмені өнім атына емес, бетке сәйкестендіріңіз.

Қате журналды бақылайтын бір түрме жоқ түрмеден де жаман, өйткені жамылғысыз сенім тудырады. Кіру сүзгісін туннельдің қол алысу қателеріне бағыттаңыз, сонда санағыш кілті ешқашан болмаған сканерлерде іске қосылады, ал порталға қарсы құпиясөз шабуылы саналмай қалады. Түрменің санына сенбес бұрын сүзгі сәйкестендіретін журнал жолын оқыңыз.

Көзді атрибуциялау — әлсіз буын

Блоктау нысана алған мекенжай қаншалықты жақсы болса, соншалықты жақсы. Қызмет жергілікті кері проксидің артында тұрса, журналдағы клиент мекенжайы проксидің өзі болуы мүмкін, және оны блоктау барлығын алып тастайды. Сенімсіз көзден жіберілген тақырыпшаға сену шабуылдаушыға ерікті мекенжайларды блоктау мүмкіндігін береді. UDP-де көз мекенжайларын қолдан жасауға болады, сондықтан оларды санау аяқталған TCP кіруін санауға қарағанда көбірек ұқыптылықты қажет етеді.

Көзді атрибуциялау әдісін түрменің README файлына жазыңыз, өйткені сенімсіз hop-тан жіберілген тақырыпша блоктауды қаруға айналдырады.

Жанама шығын — басқа адамдар

Бір кеңсе NAT-ының артындағы бірнеше қызметкер бір мекенжайды бөліседі, сондықтан бір ескірген сақталған құпиясөз шектен асқанда бүкіл кеңсені құлыптауы мүмкін. Журнал бір көз бен бір тіркелгінің сәтсіздігін көрсетеді, бүкіл кеңселік іркілісті емес.

Қысқа блоктаулар мен қалыпты шектер мұны азайтады, ал құжатталған блоктан шығару жолы бұл бәрібір болғанда қолдау жүктемесін азайтады. Мекенжай — дөрекі сигнал, бірақ сәйкестік емес, және билет ашқан адам шекті емес, іркілісті сипаттайды.

Қашан қабылдау керек және қашан басқа нәрсені түзету керек

Оны өзіңіз бақылайтын бетте нақты, атрибуцияланатын, қайталанатын онлайн кіру сәтсіздігі болғанда және орындау backend-і сол бетті шынымен қамтығанда қабылдаңыз. Мәселе әлсіз куәлік саясаты, интернетке ашық басқару беті немесе бұзылғандықтан сәтті кіретін тіркелгі болса, басқа нәрсені түзетіңіз. Блоктау олардың ешқайсысын жөндей алмайды және сіздің uplink-іңізді қанықтырған трафикті сіңіре алмайды. Соңғы мәселе жоғарыда, пакеттер сізге жетпей тұрып сүзуге қабілетті біреуге тиесілі.

Әр түрмені бір бетке байланыстырып ұстаңыз, жалған оң нәтижелерді қарап шығыңыз және блокталған мекенжайлар санын емес, болдырмаған аутентификация жұмысын өлшеңіз.