Konta bloķēšana pret adreses aizliegumu: kur OpenVPN patiešām skaita

Adreses bloķēšana un konta bloķēšana ir divi dažādi mehānismi, un tie neizdodas pretējos virzienos. Adreses aizliegums aptur vienu avotu, un mērķa konts joprojām ir sasniedzams no citurienes; konta bloķēšana aptur šo identitāti visur, arī lietotāja paša portatīvajā datorā.

VPN, kas autentifikāciju deleģē PAM, skaitītājs ir tas, ko sasniedz PAM steks, nevis tas, ko pierakstīja klausītājs.

Divi skaitītāji, divi dažādi upuri

Ātruma ierobežotājs skatās uz avotu un jautā, cik mēģinājumu nesen no tā nāca. Bloķēšana skatās uz identitāti un jautā, cik neveiksmju konts ir uzkrājis. Pirmais aizsargā pieejamību, otrais akreditācijas datus; neviens neaizstāj otru.

Tāpēc teikums mēs bloķējam IP pēc piecām neveiksmēm nav atbilde uz ziņojumu par akreditācijas datu pildīšanu. Uzbrucējs maina avotus, katrs iegūst maz mēģinājumu, un konts nekad netiek skaitīts. Otrādi, bloķēšana bez avota kontroles ļauj uzbrucējam tīši neizdoties un turēt kontu bloķētu bezgalīgi.

Abām kontrolēm ir arī atšķirīgi atjaunošanas stāsti. Adreses aizliegums beidzas ar taimeri, par kuru nevienam nav jādomā; konta bloķēšanai var būt nepieciešams administrators, dokumentēts gaidīšanas periods vai pašapkalpošanās atiestatīšana.

Atrodiet krātuvi, kurai skaitījums jau pieder

Pirms kaut ko pievienojat, noskaidrojiet, vai neveiksmju krātuve jau pastāv. Vietējais Linux konts, direktorija pakalpojums un ārējais identitātes nodrošinātājs katrs uztur savu skaitījumu, un to priekšā novietotais PAM modulis rada otru, nevis paplašina pirmo.

grep -rnE 'faillock|pam_tally|pam_unix' /etc/pam.d/
ls -l /etc/pam.d/ | head -20

Izlasiet pakalpojuma failu, ko VPN patiešām nosauc, un sekojiet tā iekļaušanas rindām. Daudzās distribūcijās VPN pakalpojums iekļauj kopīgu failu, kas nozīmē, ka pielāgotais skaitījums attiecas arī uz SSH un vietējām pieteikšanās reizēm.

Ja direktorija jau piemēro bloķēšanu, noderīgais jautājums ir, kā PAM saruna nonāk līdz šim lēmumam un kā VPN par to ziņo. Virsū pievienotais vietējais skaitījums nekļūst par direktorijas skaitītāju, un abas politikas var nesaskanēt par to, kad konts atslēdzas.

pam_faillock ir trīs izsaukuma vietas, ne viena

Modulis atdala trīs darbības, ko viena nokopēta rinda parasti izplūdina: pārbaudi, vai konts jau ir bloķēts, neveiksmes ierakstīšanu un vēstures notīrīšanu pēc panākuma.

Šeit migrācija no vecāka skaitīšanas moduļa parasti kļūdās. Rindas kopēšana no strādājoša pam_tally2 piemēra pam_faillock stekā nav pārdēvēšana; dokumentētā konfigurācija atšķiras, un nepareizā vietā ievietots izsaukums var ierakstīt neveiksmes, tās nekad nepārbaudot.

faillock --user alice
faillock --user alice --reset

Pārbaudes rīks ir ātrākais veids, kā redzēt, vai skaitītājs ir īsts: tas parāda konta ierakstītās neveiksmes un var tās notīrīt. Ja kontrolēta neveiksme nemaina šo izvadi, izsaukuma vieta ir nepareiza.

Atsevišķs pakalpojuma nosaukums nav izolācija

Dod VPN savu PAM pakalpojuma failu padara paredzēto politiku redzamu, bet neierobežo ietekmi. Jebkura kopīga faila iekļaušana ienes to, ko šis fails dara, tostarp skaitījumus visai sistēmai.

Skaidri izlemiet, vai bloķēšana aptver tikai VPN piekļuvi vai katru pakalpojumu, kas autentificē to pašu kontu. Abas atbildes ir aizstāvamas; kļūda ir domāt, ka izvēlējāties vienu, kamēr steks īsteno otru.

Pēc tam ņemiet vērā izmaksas. Bloķēšanu var izraisīt uzbrucējs, un cieš konta īpašnieks. Slieksnis, gaidīšanas periods un administratīvais atjaunošanas ceļš ir politikas daļa, un atjaunošana nedrīkst būt atkarīga no VPN pārkonfigurēšanas incidenta laikā.

Pieņemiet secību, nevis vienu atteikumu

Testējiet ar norīkotām identitātēm saskaņā ar apstiprinātu plānu un testējiet ķēdi, nevis vienu notikumu: derīgs konts autentificējas, tīši nepareiza parole pārvieto skaitītāju, konfigurētā bloķēšana stājas spēkā, un dokumentētā atjaunošana atgriež piekļuvi.

faillock --user test-vpn-01
journalctl -u openvpn-server@lab -n 30 --no-pager | grep -i 'auth\|pam'

Vērojiet panākumu uzvedību tikpat rūpīgi kā neveiksmes. Ja veiksmīga pieteikšanās neattīra vēsturi, konts bloķēsies pēc lēnas parastu kļūdu uzkrāšanās. Ja tā notīra visu no visiem pakalpojumiem, skaitītājs ir vājāks, nekā apgalvo politika.

Visbeidzot, apturiet neuzraudzītos klientus pirms uzvaras pasludināšanas. Saglabāti akreditācijas dati, kas fonā mēģina vēlreiz, dažu minūšu laikā pēc atjaunošanas atkal radīs neveiksmes un atkal bloķēs kontu. Avotā balstīta ātruma ierobežošana var palikt kā papildu kontrole, bet tā nav konta politika.