VPN ಗೇಟ್‌ವೇಯಲ್ಲಿ Fail2ban: ಏನನ್ನು ಸರಿಪಡಿಸುತ್ತದೆ ಮತ್ತು ಏನನ್ನು ಇಲ್ಲ

ಪ್ರತಿ ಒಡ್ಡಲಾದ ಸೇವೆಗೂ ಒಂದೇ ಸಲಹೆ ಸಿಗುತ್ತದೆ: ಅದರ ಮೇಲೆ fail2ban ಹಾಕಿ. VPN ಗೇಟ್‌ವೇಗೆ ಆ ಸಲಹೆ ತಪ್ಪೂ ಅಲ್ಲ, ಸಾಕೂ ಅಲ್ಲ, ಮತ್ತು ಅದನ್ನು ಹಾರ್ಡನಿಂಗ್ ಟಿಕ್ ಎಂದು ಪರಿಗಣಿಸುವುದೇ ಜನರು ಯಾವುದೇ ಉಪಯುಕ್ತ ವಸ್ತುವನ್ನು ತಡೆಯದ jail ನೊಂದಿಗೆ ಉಳಿಯುವ ಕಾರಣ. Fail2ban ನೀವು ತೋರಿಸುವ ವೈಫಲ್ಯ ದಾಖಲೆಗಳನ್ನು ಓದಿ, ಹೊಂದಿಕೆಯಾಗುವ ಮೂಲಗಳನ್ನು ನಿಷೇಧಿಸುವಂತೆ ಜಾರಿ backend ಗೆ ಕೇಳುತ್ತದೆ. ಅದರ ಇಡೀ ಮೌಲ್ಯ ಯಾವ ದೃಢೀಕರಣ ಮೇಲ್ಮೈ ದಾಖಲೆಯನ್ನು ಸೃಷ್ಟಿಸಿತು, ಅದರಲ್ಲಿರುವ ವಿಳಾಸ ನಿಜವಾದ ಕ್ಲೈಂಟ್ ಆಗಿದೆಯೇ, ಮತ್ತು ಆ ವಿಳಾಸದ ಹಿಂದೆ ಇರುವ ಎಲ್ಲರಿಗೂ ಏನಾಗುತ್ತದೆ ಎಂಬುದರ ಮೇಲೆ ಅವಲಂಬಿತವಾಗಿದೆ.

ಯಾಂತ್ರಿಕವಾಗಿ fail2ban ಎಂದರೇನು

ಫಿಲ್ಟರ್ ಲಾಗ್‌ನ ಸಾಲುಗಳನ್ನು ಹೊಂದಿಸುತ್ತದೆ, jail ಮೂಲಕ್ಕೆ ಅನುಗುಣವಾಗಿ ಹೊಂದಿಕೆಗಳನ್ನು ಎಣಿಸುತ್ತದೆ, ಮತ್ತು ಕ್ರಿಯೆ ಫೈರ್‌ವಾಲ್ backend ಮೂಲಕ ನಿಷೇಧವನ್ನು ಅನ್ವಯಿಸುತ್ತದೆ. ಮೂರು ಚಲಿಸುವ ಭಾಗಗಳು, ಮತ್ತು ಪ್ರತಿಯೊಂದೂ ಸ್ವತಂತ್ರವಾಗಿ ತಪ್ಪಾಗಿರಬಹುದು.

ಮೂರರಲ್ಲಿ ಯಾವುದೂ ದೃಢೀಕರಣ ಮಾರ್ಗವನ್ನು ಮುಟ್ಟುವುದಿಲ್ಲ: fail2ban ಘಟನೆಯ ನಂತರ ಸಾಕ್ಷ್ಯಕ್ಕೆ ಪ್ರತಿಕ್ರಿಯಿಸುತ್ತದೆ ಮತ್ತು ಎಂದಿಗೂ ತಾನೇ ರುಜುವಾತನ್ನು ಪರಿಶೀಲಿಸುವುದಿಲ್ಲ. ಆದ್ದರಿಂದ jail ಸ್ವಚ್ಛವಾಗಿ ಚಲಿಸಬಹುದು, ಆದರೆ ಅದು ಹೆಸರಿಸುವ ಮೇಲ್ಮೈ ಮೊದಲಿನಂತೆಯೇ ಒಡ್ಡಲ್ಪಟ್ಟಿರುತ್ತದೆ.

ಟನೆಲ್ ಶ್ರೋತೃ ಲಾಗಿನ್ ಫಾರ್ಮ್ ಅಲ್ಲ

OpenVPN ಶ್ರೋತೃವು tls-auth ಅಥವಾ tls-crypt ನಿಂದ ಸಂರಕ್ಷಿತವಾಗಿದ್ದರೆ, ಸಾಮಾನ್ಯ TLS ಸಂಸ್ಕರಣೆ ಪ್ರಾರಂಭವಾಗುವ ಮೊದಲು ನಿಯಂತ್ರಣ-ಚಾನೆಲ್ ರಕ್ಷಣೆ ಇಲ್ಲದ ಪ್ಯಾಕೆಟ್‌ಗಳನ್ನು ಎಸೆಯುತ್ತದೆ. ಎಂದಿಗೂ ಕೀ ಇಲ್ಲದ ಸ್ಕ್ಯಾನರ್ ನಿಮ್ಮ ಫಿಲ್ಟರ್ ಎಣಿಸಬಹುದಾದ ಯಾವುದನ್ನೂ ಉತ್ಪಾದಿಸುವುದಿಲ್ಲ. ಪ್ರಮಾಣಪತ್ರ ದೃಢೀಕರಣ ಇನ್ನೊಂದು ದ್ವಾರ ಸೇರಿಸುತ್ತದೆ, ಏಕೆಂದರೆ ಊಹಿಸಲು ಪಾಸ್‌ವರ್ಡ್ ಇಲ್ಲ. Fail2ban ಯೋಜನೆ ಸಾಮಾನ್ಯ ಲಾಗ್-ಚಾಲಿತ ಮಾದರಿಯನ್ನು ದಾಖಲಿಸುತ್ತದೆ, ಮತ್ತು ಸಾಮಾನ್ಯ VPN ಫಿಲ್ಟರ್ ದೃಢೀಕರಿಸದ ಪ್ಯಾಕೆಟ್ ಅನ್ನು ಅರ್ಥಪೂರ್ಣ ವೈಫಲ್ಯ ಘಟನೆಯಾಗಿ ಪರಿವರ್ತಿಸುವುದಿಲ್ಲ.

ಗೇಟ್‌ವೇ ಪ್ರಮಾಣಪತ್ರಗಳನ್ನು ಮಾತ್ರ ಸ್ವೀಕರಿಸಿದರೆ, ನೀವು ಎದುರಿಸುತ್ತಿರುವ brute-force ಕಥೆ ಆ ಪೋರ್ಟ್‌ನಲ್ಲಿ ಇಲ್ಲದೇ ಇರಬಹುದು.

ಹಾಗಾದರೆ ನೀವು ಯಾವ ಮೇಲ್ಮೈಯನ್ನು ರಕ್ಷಿಸುತ್ತಿದ್ದೀರಿ?

ಅದೇ ಹೋಸ್ಟ್ ಸಾಮಾನ್ಯವಾಗಿ ಮೂರು ವಿಭಿನ್ನ ವಸ್ತುಗಳನ್ನು ಒಡ್ಡುತ್ತದೆ: ಟನೆಲ್ ಶ್ರೋತೃ, ಕ್ಲೈಂಟ್-ಪ್ರೊಫೈಲ್ ಅಥವಾ ಸ್ವ-ಸೇವಾ ಪೋರ್ಟಲ್, ಮತ್ತು ಆಡಳಿತ ಪುಟ. ಪೋರ್ಟಲ್ ಮತ್ತು ಆಡಳಿತ ಪುಟದಲ್ಲಿ ಪಾಸ್‌ವರ್ಡ್ ಫಾರ್ಮ್‌ಗಳಿವೆ ಮತ್ತು ಫಿಲ್ಟರ್ ಎಣಿಸಬಹುದಾದ ಲಾಗ್ ಸಾಲುಗಳನ್ನು ಉತ್ಪಾದಿಸುತ್ತವೆ. ಟನೆಲ್ ಸಂಪೂರ್ಣ ಬೇರೆ ಅರ್ಥವಿರುವ ಹ್ಯಾಂಡ್‌ಶೇಕ್ ದೋಷಗಳನ್ನು ಮಾತ್ರ ಉತ್ಪಾದಿಸಬಹುದು. jail ಅನ್ನು ಉತ್ಪನ್ನದ ಹೆಸರಿಗಲ್ಲ, ಮೇಲ್ಮೈಗೆ ಹೊಂದಿಸಿ.

ತಪ್ಪು ಲಾಗ್ ನೋಡುವ ಒಂದು jail ಇಲ್ಲದಿರುವುದಕ್ಕಿಂತ ಕೆಟ್ಟದು, ಏಕೆಂದರೆ ಅದು ಕವರೇಜ್ ಇಲ್ಲದ ವಿಶ್ವಾಸವನ್ನು ಸೃಷ್ಟಿಸುತ್ತದೆ. ಲಾಗಿನ್ ಫಿಲ್ಟರ್ ಅನ್ನು ಟನೆಲ್‌ನ ಹ್ಯಾಂಡ್‌ಶೇಕ್ ದೋಷಗಳಿಗೆ ತಿರುಗಿಸಿ ಮತ್ತು ಎಂದಿಗೂ ಕೀ ಇಲ್ಲದ ಸ್ಕ್ಯಾನರ್‌ಗಳಲ್ಲಿ ಕೌಂಟರ್ ಮೊಳಗುತ್ತದೆ, ಆದರೆ ಪೋರ್ಟಲ್ ವಿರುದ್ಧದ ಪಾಸ್‌ವರ್ಡ್ ದಾಳಿ ಎಣಿಕೆಯಾಗುವುದಿಲ್ಲ. jail ನ ಸಂಖ್ಯೆಯನ್ನು ನಂಬುವ ಮೊದಲು ಫಿಲ್ಟರ್ ಹೊಂದಿಸುವ ಲಾಗ್ ಸಾಲನ್ನು ಓದಿ.

ಮೂಲ ಆರೋಪಣೆ ದುರ್ಬಲ ಕೊಂಡಿ

ನಿಷೇಧವು ಅದು ಗುರಿಯಾಗಿಸುವ ವಿಳಾಸದಷ್ಟೇ ಒಳ್ಳೆಯದು. ಸೇವೆ ಸ್ಥಳೀಯ ರಿವರ್ಸ್ ಪ್ರಾಕ್ಸಿಯ ಹಿಂದೆ ಇದ್ದಾಗ, ಲಾಗ್‌ನಲ್ಲಿನ ಕ್ಲೈಂಟ್ ವಿಳಾಸವು ಪ್ರಾಕ್ಸಿಯೇ ಆಗಿರಬಹುದು, ಮತ್ತು ಅದನ್ನು ನಿಷೇಧಿಸುವುದು ಎಲ್ಲರನ್ನೂ ತೆಗೆದುಹಾಕುತ್ತದೆ. ಅವಿಶ್ವಾಸನೀಯ ಮೂಲದಿಂದ ಬಂದ ಫಾರ್ವರ್ಡ್ ಹೆಡರ್ ಅನ್ನು ನಂಬುವುದು ಆಕ್ರಮಣಕಾರನಿಗೆ ಅನಿಯಂತ್ರಿತ ವಿಳಾಸಗಳನ್ನು ನಿಷೇಧಿಸುವ ಸಾಮರ್ಥ್ಯ ನೀಡುತ್ತದೆ. UDP ನಲ್ಲಿ ಮೂಲ ವಿಳಾಸಗಳನ್ನು ನಕಲಿ ಮಾಡಬಹುದು, ಆದ್ದರಿಂದ ಅವುಗಳನ್ನು ಎಣಿಸುವುದು ಪೂರ್ಣಗೊಂಡ TCP ಲಾಗಿನ್ ಎಣಿಸುವುದಕ್ಕಿಂತ ಹೆಚ್ಚು ಎಚ್ಚರಿಕೆ ಅಗತ್ಯ.

jail ನ README ನಲ್ಲಿ ಮೂಲ ಆರೋಪಣೆ ವಿಧಾನವನ್ನು ದಾಖಲಿಸಿ, ಏಕೆಂದರೆ ಅವಿಶ್ವಾಸನೀಯ ಹಾಪ್‌ನಿಂದ ಬಂದ ಫಾರ್ವರ್ಡ್ ಹೆಡರ್ ನಿಷೇಧವನ್ನು ಶಸ್ತ್ರವಾಗಿ ಪರಿವರ್ತಿಸುತ್ತದೆ.

ಅಡ್ಡ ವೆಚ್ಚ ಇತರ ಜನರು

ಒಂದು ಕಚೇರಿ NAT ಹಿಂದೆ ಹಲವಾರು ಉದ್ಯೋಗಿಗಳು ಒಂದೇ ವಿಳಾಸವನ್ನು ಹಂಚಿಕೊಳ್ಳುತ್ತಾರೆ, ಆದ್ದರಿಂದ ಒಂದು ಹಳೆಯದಾದ ಉಳಿಸಿದ ಪಾಸ್‌ವರ್ಡ್ ಮಿತಿ ದಾಟಿದಾಗ ಇಡೀ ಕಚೇರಿಯನ್ನು ಲಾಕ್ ಮಾಡಬಹುದು. ಲಾಗ್ ವಿಫಲವಾದ ಒಂದು ಮೂಲ ಮತ್ತು ಒಂದು ಖಾತೆಯನ್ನು ತೋರಿಸುತ್ತದೆ, ಇಡೀ ಕಚೇರಿಯ ಅಡಚಣೆಯನ್ನಲ್ಲ.

ಸಣ್ಣ ನಿಷೇಧಗಳು ಮತ್ತು ಮಿತವಾದ ಮಿತಿಗಳು ಅದನ್ನು ಕಡಿಮೆ ಮಾಡುತ್ತವೆ, ಮತ್ತು ದಾಖಲಿತ ಅನ್‌ಬ್ಯಾನ್ ಮಾರ್ಗವು ಹಾಗಿದ್ದರೂ ಸಂಭವಿಸಿದಾಗ ಬೆಂಬಲ ಹೊರೆಯನ್ನು ಕಡಿಮೆ ಮಾಡುತ್ತದೆ. ವಿಳಾಸ ಒಂದು ಒರಟು ಸಂಕೇತ, ಗುರುತಲ್ಲ, ಮತ್ತು ಟಿಕೆಟ್ ತೆರೆಯುವವರು ಮಿತಿಯನ್ನಲ್ಲ, ಅಡಚಣೆಯನ್ನು ವಿವರಿಸುತ್ತಾರೆ.

ಯಾವಾಗ ಅಳವಡಿಸಿಕೊಳ್ಳಬೇಕು, ಮತ್ತು ಯಾವಾಗ ಬೇರೆ ಏನನ್ನಾದರೂ ಸರಿಪಡಿಸಬೇಕು

ನೀವು ನಿಯಂತ್ರಿಸುವ ಮೇಲ್ಮೈಯಲ್ಲಿ ನಿಜವಾದ, ಆರೋಪಿಸಬಹುದಾದ, ಪುನರಾವರ್ತಿತ ಆನ್‌ಲೈನ್ ಲಾಗಿನ್ ವೈಫಲ್ಯ ಇದ್ದಾಗ ಮತ್ತು ಜಾರಿ backend ಆ ಮೇಲ್ಮೈಯನ್ನು ನಿಜವಾಗಿಯೂ ಆವರಿಸಿದಾಗ ಅದನ್ನು ಅಳವಡಿಸಿಕೊಳ್ಳಿ. ಸಮಸ್ಯೆ ದುರ್ಬಲ ರುಜುವಾತು ನೀತಿ, ಇಂಟರ್ನೆಟ್‌ಗೆ ಒಡ್ಡಲಾದ ನಿರ್ವಹಣಾ ಪುಟ, ಅಥವಾ ರಾಜಿಯಾದ ಕಾರಣ ಯಶಸ್ವಿಯಾಗಿ ಲಾಗಿನ್ ಆಗುವ ಖಾತೆ ಆಗಿದ್ದರೆ ಬೇರೆ ಏನನ್ನಾದರೂ ಸರಿಪಡಿಸಿ. ನಿಷೇಧ ಅವುಗಳಲ್ಲಿ ಯಾವುದನ್ನೂ ಸರಿಪಡಿಸಲಾರದು ಮತ್ತು ನಿಮ್ಮ ಅಪ್‌ಲಿಂಕ್ ಅನ್ನು ಈಗಾಗಲೇ ಸಂತೃಪ್ತಗೊಳಿಸಿದ ಸಂಚಾರವನ್ನು ಹೀರಿಕೊಳ್ಳಲಾರದು. ಆ ಕೊನೆಯ ಸಮಸ್ಯೆ ಮೇಲ್ಭಾಗದ್ದು, ಪ್ಯಾಕೆಟ್‌ಗಳು ನಿಮ್ಮನ್ನು ತಲುಪುವ ಮೊದಲು ಫಿಲ್ಟರ್ ಮಾಡಬಲ್ಲ ಯಾರೋ ಒಬ್ಬರಿಗೆ ಸೇರಿದ್ದು.

ಪ್ರತಿ jail ಅನ್ನು ಒಂದು ಮೇಲ್ಮೈಗೆ ಬದ್ಧವಾಗಿ ಇರಿಸಿ, ತಪ್ಪು ಧನಾತ್ಮಕಗಳನ್ನು ಪರಿಶೀಲಿಸಿ, ಮತ್ತು ನಿಷೇಧಿಸಿದ ವಿಳಾಸಗಳ ಸಂಖ್ಯೆಯ ಬದಲು ತಪ್ಪಿಸಿದ ದೃಢೀಕರಣ ಕೆಲಸವನ್ನು ಅಳೆಯಿರಿ.