Eng banaction, zwee Transporten: eng fail2ban-VPN-Jail reparéieren

Näischt an fail2ban verwerft engem Paket vu sech aus: et rifft eng Aktioun op, an déi Aktioun ass et, déi e Protokoll an e Port nennt. Wann d'Jail e Ban mellt, während den Daemon weider Loginen unhëlt, ass de Ban meeschtens richteg a méi schmuel, wéi d'Log et vermuten léisst. E Client, deen iwwer den aneren Transport nei verbënnt, begéint ni der Regel, déi installéiert gouf. Vergläicht, wat d'Aktioun installéiert huet, mat deem, wat den Daemon lauschtert, ier Dir eppes ännert, well de Beweis an der Firewallketten ass, déi d'Aktioun geschriwwen huet, net an der Lëscht vun der Jail.

Liest d'Kette, net d'Zesummefaassung vun der Jail

fail2ban setzt seng eege Kette virun d'Kette vum Service, sou datt eng Zählerlëscht genee weist, wat existéiert. Eng Kette, déi no der Jail genannt ass an eng eenzeg Regel hält, an där d'Protokollkolonn udp liest, ass eng komplett Erklärung fir TCP-Loginen, déi weider ukommen. Nëmmen UDP-Pakete vun der gespaarter Quell ginn ofgewisen. De Service huet en TCP-Lauschterer, an näischt an där Kette beréiert en.

Passt och op den Noper-Jail-Effekt op. Een Host kann perfekt konfiguréiert ausgesinn, just well eng aner Jail déi hallef stellt, déi feelt, an dee selwechte Build mécht näischt do, wou déi Jail net installéiert ass.

D'Aktioun nennt ee Protokoll, an do brécht et

All banaction ass eng Schabloun fir eng Firewallcommande, an de Protokoll sëtzt an engem vun hire Plazhaler. D'Schmuelheet ass bewosst, well eng Web-Jail an eng DNS-Jail näischt domat ze dinn hunn, identesch Porten ze spären. Et gëtt eng Fal, wann de Service op méi wéi engem Transport lauschtert, wat VPN-Daemone reegelméisseg maachen. De Filter kann déi feelgeschloen Loginen aus béiden Transporte beobachten, während d'Aktioun der ee deckt.

D'Installatioune vu SoftEther an OpenVPN lauschteren normalerweis gläichzäiteg op UDP an TCP, a well d'Logzeil a béide Fäll d'selwecht ausgesäit, beobacht de Filter béid. D'Asymmetrie weist sech ni am Bericht vun der Jail selwer. fail2ban huet d'Feeler richteg gezielt an dann eng Regel installéiert, déi fir déi hallef vum Trafik gëlt, op deem déi Feeler ukomm sinn.

Loosst de Ban béid Transporte decken

Reparéiert et amplaz an der Definitioun vun der Jail; handgeschriwwe Regele ginn beim nächsten Neiliaden duercherneen. Schreift zwou Aktiounen aus, eng fir all Protokoll:

action = %(banaction)s[name=%(__name__)s-tcp, actionname=%(__name__)s-tcp, protocol="tcp", port="%(port)s", chain="%(chain)s"]
         %(banaction)s[name=%(__name__)s-udp, actionname=%(__name__)s-udp, protocol="udp", port="%(port)s", chain="%(chain)s"]

Probéiert dat net mat protocol = all ze verkierzen. Déi Standard-banaction ass eng multiport-Aktioun, an se deent sech op -p <protocol> -m multiport --dports <port> aus; ouni L4-Protokoll gëtt et näischt fir de Portmatch ze testen, dofir verwërft iptables d'Regel, während d'Jail nach ëmmer e réusséierte Ban mellt. Eng All-Ports-Aktioun wéi iptables-allports oder nftables-allports akzeptéiert eng eenzeg Aféierung, mä se späert all Port op där Quell, wat eng aner Entscheedung ass an hir eege Begrënnung brauch. Loosst protocol op tcp oder udp a akzeptéiert déi zwou Aféierungen.

Beweist, datt d'Regel existéiert, amplaz der Astellung ze vertrauen, well eng Astellung en Absicht beschreift, bis eng Kette se hält:

iptables -S f2b-vpn-tcp
iptables -S f2b-vpn-udp

All Kette sollt eng Regel oplëschten, mat -p tcp an der éischter an -p udp an der zweeter, an allebéid nennen déi gespaart Adress. Bestätegt dann, datt déiselwecht Adress op béiden Transporte refuséiert gëtt. E Ban, deen Dir net an der Kette gesitt hutt, ass eng Hoffnung, an den nächste Bericht iwwer dat selwecht Symptom wäert nees déiselwecht Stonn kaschten.

Wat e Ban nach verpasst, an den nächsten Fall

Wat d'Aktioun mécht, ass eng eenzeg Quell ofzeweisen, an nëmmen op den Porten, déi dran opgezielt sinn. Et mécht näischt géint en Ugräifer, dee Adressen dréit, an et kann eng feindlech Maschinn net vun engem Carrier-Grade-NAT-Ausgang trennen, dee vun Honnerte vu Benotzer gedeelt gëtt, wou ee Ban Leit aussperrt, déi näischt gemaach hunn. Vergewëssert Iech, datt de Filter d'Adress liest, déi de Client tatsächlech huet, net en weidergeleeten Header oder eng Proxyadress. Halt d'Fënster kuerz genuch, datt e Feeler vu sech selwer ofleeft.

Näischt dovun argumentéiert fir d'Protokollreparatur ze iwwersprangen; et argumentéiert fir zwou Iddien gläichzäiteg ze halen. De Ban ass méi schmuel, wéi d'Zesummefaassung vun der Jail vermuten léisst, an och e komplette Ban ass méi schmuel wéi d'Gefor. Setzt d'Firewallkette niewent d'Lauschtererlëscht vum Daemon a vergläicht Protokoll fir Protokoll, well déi zwou Lëschten entscheeden, ob e Ban de Service iwwerhaapt erreeche kann.

Halt d'Neiliadecommande an d'Kettelëscht am Runbook niewent der Jail. Déi nächst Persoun brauch béid, an d'Zesummefaassung vun der Jail wäert hinnen keng vun deenen zwee soen.