Fail2ban op engem VPN-Gateway: wat et reparéiert a wat net

All exponéierte Service kritt deeselwechte Rot: setz fail2ban drop. Fir ee VPN-Gateway ass dee Rot weder falsch nach duer, an et grad als Häkchen an der Härtung ze behandelen ass de Grond, firwat d'Leit mat enger Jail ophalen, déi näischt Nëtzleches blockéiert. Fail2ban liest d'Feeleropzeechnunge, op déi Dir et weist, a freet en Duerchsetzungs-Backend, déi passend Quellen ze spärren. Säi ganze Wäert hänkt dovun of, wéi eng Authentifikatiounsfläch den Opzeechnung erstallt huet, ob d'Adress dran de richtige Client ass, a wat mat alle aneren hannert där Adress geschitt.

Wat fail2ban mechanesch ass

E Filter passt Zeilen an engem Log un, eng Jail zielt Treffer pro Quell, an eng Aktioun setzt eng Spär iwwer en Firewall-Backend duerch. Dräi beweeglech Deeler, an all eenzel kann onofhängeg falsch sinn.

Keen vun den dräi beréiert den Authentifikatiounspad: fail2ban reagéiert duerno op Beweiser an validéiert ni selwer en Authentifikatiounsdatum. Eng Jail kann dofir propper lafen, während d'Fläch, déi se nennt, genee sou exponéiert bleift wéi virdrun.

Den Tunnel-Lauschterer ass keng Loginform

En OpenVPN-Lauschterer, dee mat tls-auth oder tls-crypt geschützt ass, verwërft Paketen ouni Kontrollkanalschutz, ier déi normal TLS-Veraarbechtung ufänkt. En Scanner, deen ni de Schlëssel huet, generéiert näischt, wat Äre Filter ziele kéint. Zertifikatsauthentifikatioun setzt nach en anert Paart derbäi, well et kee Passwuert ze roden gëtt. D'Fail2ban-Projet dokumentéiert en allgemengt loggedriwwent Modell, an en generesche VPN-Filter mécht aus engem net authentifizéierte Paket keen aussagkräftegen Feelereignis.

Wann de Gateway nëmme Zertifikater akzeptéiert, existéiert d'Brute-Force-Geschicht, géint déi Dir Iech verdeedegt, vläicht guer net op deem Port.

A wéi eng Fläch schützt Dir dann?

Deen selwechten Host expréiert dacks dräi verschidde Saachen: den Tunnel-Lauschterer, e Clientprofil- oder Self-Service-Portal an eng Administratiounssäit. De Portal an d'Admin-Säit hunn Passwuertformularen a produzéieren Logzeilen, déi e Filter ziele kann. Den Tunnel produzéiert vläicht nëmme Handshake-Feeler, déi eppes ganz Aneres bedeiten. Passt d'Jail un d'Fläch un, net un den Numm vum Produkt.

Eng Jail, déi de falschen Log iwwerwaacht, ass schléchter wéi keng, well se Vertrauen ouni Ofdeckung schaaft. Richt e Login-Filter op d'Handshake-Feeler vum Tunnel, an den Zähler geet bei Scanneren un, déi ni e Schlëssel haten, während e Passwuertangrëff op de Portal net gezielt gëtt. Liest d'Logzeil, déi de Filter upasst, éier Dir der Zuel vun der Jail vertraut.

D'Quellzouuerdnung ass de schwaache Glidd

Eng Spär ass just sou gutt wéi d'Adress, op déi se zilt. Wann de Service hannert engem lokalen ëmgedréite Proxy sëtzt, kann d'Clientadress am Log de Proxy sinn, an en ze spären hëlt jiddereen ewech. Engem weidergeleeten Header aus enger net vertrauenswürdeger Quell ze vertrauen gëtt engem Ugräifer d'Méiglechkeet, arbiträr Adressen ze spären. Op UDP kënnen d'Quelladressen gefälscht ginn, dofir verdéngt hiert Ziele méi Suergfalt wéi d'Ziele vun engem ofgeschlossenen TCP-Login.

Halt d'Method vun der Quellzouuerdnung am README vun der Jail fest, well en weidergeleeten Header vun engem net vertrauenswürdegen Hop aus enger Spär eng Waff mécht.

D'Kollateralkäschte sinn aner Leit

Méi Employéen hannert engem Büro-NAT deelen eng Adress, sou datt ee veraltete gespäicherte Passwuert de ganze Standuert ausschléisse kann, soubal de Schwellewert iwwerschratt ass. De Log weist eng Quell an ee Kont, deen feelgeschloen ass, keen Ausfall um ganze Standuert.

Kuerz Spären a mëssreg Schwellewäerter reduzéieren dat, an en dokumentéierte Wee fir d'Spär opzehiewen reduzéiert d'Supportlaascht, wann et awer geschitt. D'Adress ass e grafft Signal an net eng Identitéit, an dee, deen den Ticket opmëscht, wäert den Ausfall beschreiwen, net de Schwellewert.

Wéini een et aféiert, a wéini een eppes Aneres reparéiert

Féiert et an, wann et op enger Fläch, déi Dir kontrolléiert, e richtege, zouuerdnungsfäegen, widderhuelte Online-Login-Feeler gëtt, an wann de Duerchsetzungs-Backend déi Fläch tatsächlech deckt. Reparéiert eppes Aneres, wann d'Problem eng schwaach Authentifikatiounspolitik ass, eng Administratiounssäit, déi um Internet exponéiert ass, oder ee Kont, deen Erfolleg huet beim Login, well en kompromittéiert gouf. Eng Spär kann dovun näischt reparéieren, an se kann och keen Trafic ophuelen, deen Ären Uplink schonn saturéiert huet. Dat lescht Problem gehéiert flossop, bei een, dee filtre kan, éier d'Paketen Iech erreechen.

Halt all Jail un eng Fläch gebonnen, iwwerpréift falsch Positiven, a messt d'vermeit Authentifikatiounsaarbecht amplaz vun der Zuel vun de gespaarten Adressen.