VPN шлюзундагы Fail2ban: эмнени оңдойт жана эмнени оңдобойт

Ар бир ачык кызмат бирдей кеңеш алат: ага fail2ban орнотуңуз. VPN шлюзу үчүн бул кеңеш туура эмес да эмес, жетиштүү да эмес, жана аны катуулоо белгиси катары кароо адамдардын эч пайдалуу нерсени блоктобогон түрмөгө (jail) калышына алып келет. Fail2ban сиз көрсөткөн ийгиликсиздик жазууларын окуп, аткаруу backendинен дал келген булактарды блоктоону сурайт. Анын бүткүл баалуулугу жазууну кайсы аутентификация бети жаратканына, андагы дарек чыныгы кардар экенине жана ошол даректин артындагы калгандардын баарына эмне болоруна байланыштуу.

Fail2ban механикалык жактан эмне

Фильтр журналдагы саптарды дал келтирет, түрмө булак боюнча дал келүүлөрдү санайт, ал эми аракет өрт дубалынын backendи аркылуу блоктоону колдонот. Үч кыймылдуу бөлүк, жана ар бири өз алдынча туура эмес болушу мүмкүн.

Үчөөнүн эч бири аутентификация жолуна тийбейт: fail2ban фактыдан кийин далилдерге жооп берет жана эч качан өзү күбөлүктү текшербейт. Ошондуктан түрмө таза иштеши мүмкүн, ал эми ал атаган бет мурдагыдай ачык бойдон калат.

Туннелдин угуучусу кирүү формасы эмес

OpenVPN угуучусу tls-auth же tls-crypt менен корголгон болсо, кадимки TLS иштетүү башталганга чейин башкаруу каналынын коргоосу жок пакеттерди ыргытып салат. Ачкычы эч качан жок сканер сиздин фильтриңиз санай алган эч нерсе чыгарбайт. Сертификат менен аутентификация дагы бир дарбаза кошот, анткени болжолдоого боло турган сырсөз жок. Fail2ban долбоору жалпы журналга негизделген моделди документтештирет, ал эми жалпы VPN фильтри аутентификацияланбаган пакетти маанилүү ийгиликсиздик окуясына айландырбайт.

Эгер шлюз сертификаттарды гана кабыл алса, сиз коргоп жаткан brute-force окуясы ал портто такыр болбошу мүмкүн.

Анда кайсы бетти коргоп жатасыз?

Бир хост көбүнчө үч башка нерсени ачат: туннелдин угуучусун, кардар профилинин же өзүнө-өзү тейлөө порталын жана администрациялык баракты. Портол менен админ баракта сырсөз формалары бар жана фильтр санай алган журнал саптарын чыгарат. Туннел такыр башка маани берген кол алышуу каталарын гана чыгарышы мүмкүн. Түрмөнү продукт атына эмес, бетке дал келтириңиз.

Туура эмес журналды көзөмөлдөгөн бир түрмө жок түрмөдөн жаман, анткени ал жаппастан ишеним жаратат. Кирүү фильтрин туннелдин кол алышуу каталарына багыттаңыз, ошондо эсептегич ачкычы эч качан болбогон сканерлерде иштеп кетет, ал эми порталга каршы сырсөз чабуулу саналбай калат. Түрмөнүн санына ишенерден мурун фильтр дал келтирген журнал сабын окуңуз.

Булакты атрибуциялоо — алсыз бөлүк

Блоктоо бутага алган дарек канчалык жакшы болсо, ошончолук жакшы. Кызмат жергиликтүү кайтарым проксинин артында турса, журналдагы кардар дареги проксинин өзү болушу мүмкүн, жана аны блоктоо баарын алып салат. Ишенимсиз булактан жөнөтүлгөн аталышка ишенүү чабуулчуга каалаган даректерди блоктоо мүмкүнчүлүгүн берет. UDPде булак даректерин жасалмалоого болот, ошондуктан аларды саноо аяктаган TCP кирүүсүн саноого караганда көбүрөөк этияттыкты талап кылат.

Булакты атрибуциялоо ыкмасын түрмөнүн README файлына жазыңыз, анткени ишенимсиз hopтон жөнөтүлгөн аталыш блоктоону куралга айландырат.

Кошумча чыгым — башка адамдар

Бир кеңсе NATынын артындагы бир нече кызматкер бир даректи бөлүшөт, ошондуктан бир эскирген сакталган сырсөз чектен ашканда бүт кеңсени кулпулашы мүмкүн. Журнал ийгиликсиз болгон бир булакты жана бир аккаунтту көрсөтөт, бүт кеңселик тыныгууну эмес.

Кыска блоктоолор жана мээнеткеч чектер муну азайтат, ал эми документтелген блоктон чыгаруу жолу бул баары бир болгондо колдоо жүгүн азайтат. Дарек — одоно белги, бирок инсандык эмес, жана билет ачкан адам чекти эмес, тыныгууну сүрөттөйт.

Качан кабыл алуу керек жана качан башка нерсени оңдоо керек

Аны өзүңүз көзөмөлдөгөн бетте чыныгы, атрибуциялануучу, кайталануучу онлайн кирүү ийгиликсиздиги болгондо жана аткаруу backendи ошол бетти чындап жапканда кабыл алыңыз. Маселе алсыз күбөлүк саясаты, интернетке ачык башкаруу баракчасы же бузулгандыктан ийгиликтүү кирген аккаунт болсо, башка нерсени оңдоңуз. Блоктоо алардын эч бирин оңдой албайт жана сиздин uplinkиңизди каныктырган трафикти сиңире албайт. Акыркы маселе жогоруда, пакеттер сизге жетпей туруп фильтрлей алган бирөөгө таандык.

Ар бир түрмөнү бир бетке байланыштырып кармаңыз, жалган оң жыйынтыктарды карап чыгыңыз жана блоктолгон даректердин санын эмес, болтурбаган аутентификация ишин өлчөңүз.