Fail2ban VPN vārtejā: ko tas salabo un ko ne

Katrs atklātais pakalpojums saņem to pašu padomu: uzlieciet tam fail2ban. VPN vārtejai šis padoms nav ne nepareizs, ne pietiekams, un tieši tā uztveršana kā sacietēšanas ķeksītis ir iemesls, kāpēc cilvēki paliek ar cietumu (jail), kas nebloķē neko lietderīgu. Fail2ban nolasa neveiksmju ierakstus, uz kuriem jūs to norādāt, un lūdz izpildes backendam bloķēt atbilstošos avotus. Visa tā vērtība ir atkarīga no tā, kura autentifikācijas virsma radīja ierakstu, vai tajā esošā adrese ir īstais klients, un kas notiek ar visiem pārējiem aiz šīs adreses.

Kas ir fail2ban mehāniski

Filtrs saskaņo žurnāla rindas, cietums skaita atbilstības pēc avota, un darbība piemēro bloķēšanu caur ugunsmūra backendu. Trīs kustīgas daļas, un katra var būt nepareiza neatkarīgi.

Neviena no trim neaizskar autentifikācijas ceļu: fail2ban reaģē uz pierādījumiem pēc fakta un pats nekad nepārbauda akreditācijas datus. Tāpēc cietums var darboties tīri, kamēr virsma, ko tas nosauc, paliek tieši tikpat atklāta kā iepriekš.

Tuneļa klausītājs nav pieteikšanās forma

OpenVPN klausītājs, kas aizsargāts ar tls-auth vai tls-crypt, izmet paketes bez vadības kanāla aizsardzības, pirms sākas parastā TLS apstrāde. Skeneris, kuram nekad nav atslēgas, nerada neko, ko jūsu filtrs varētu saskaitīt. Sertifikāta autentifikācija pievieno vēl vienus vārtus, jo nav paroles, ko uzminēt. Fail2ban projekts dokumentē vispārīgu žurnālos balstītu modeli, un vispārīgs VPN filtrs nepārvērš neautentificētu paketi nozīmīgā neveiksmes notikumā.

Ja vārteja pieņem tikai sertifikātus, brute-force stāsts, no kura jūs aizsargājaties, tajā portā var nemaz neeksistēt.

Tad kādu virsmu jūs aizsargājat?

Tas pats resursdators bieži atklāj trīs dažādas lietas: tuneļa klausītāju, klienta profila vai pašapkalpošanās portālu un administrēšanas lapu. Portālam un administrēšanas lapai ir paroles formas, un tās rada žurnāla rindas, ko filtrs var saskaitīt. Tunelis var radīt tikai rokasspiediena kļūdas, kas nozīmē ko pavisam citu. Saskaņojiet cietumu ar virsmu, nevis ar produkta nosaukumu.

Viens cietums, kas uzrauga nepareizo žurnālu, ir sliktāk nekā neviens, jo tas rada pārliecību bez pārklājuma. Novirziet pieteikšanās filtru uz tuneļa rokasspiediena kļūdām, un skaitītājs iedarbosies skeneros, kuriem nekad nav bijusi atslēga, kamēr paroles uzbrukums portālam paliks neskaitīts. Izlasiet žurnāla rindu, ko filtrs saskaņo, pirms uzticaties cietuma skaitlim.

Avota attiecināšana ir vājais posms

Bloķēšana ir tik laba, cik laba ir adrese, uz kuru tā vērsta. Kad pakalpojums atrodas aiz vietēja reversā starpniekservera, klienta adrese žurnālā var būt pats starpniekserveris, un tā bloķēšana noņem visus. Uzticēšanās pārsūtītam galvenei no neuzticama avota dod uzbrucējam iespēju bloķēt patvaļīgas adreses. UDP gadījumā avota adreses var viltot, tāpēc to skaitīšana prasa lielāku rūpību nekā pabeigtas TCP pieteikšanās skaitīšana.

Ierakstiet avota attiecināšanas metodi cietuma README, jo pārsūtīta galvene no neuzticama lēciena pārvērš bloķēšanu ierocī.

Blakus izmaksas ir citi cilvēki

Vairāki darbinieki aiz viena biroja NAT dala adresi, tāpēc viena novecojusi saglabāta parole var bloķēt visu biroju, tiklīdz slieksnis tiek pārsniegts. Žurnāls rāda vienu avotu un vienu kontu, kas neizdevās, nevis visa biroja pārtraukumu.

Īsi bloķējumi un mēreni sliekšņi to mazina, un dokumentēts atbloķēšanas ceļš mazina atbalsta slodzi, kad tas tomēr notiek. Adrese ir rupjš signāls, nevis identitāte, un cilvēks, kas atver biļeti, aprakstīs pārtraukumu, nevis slieksni.

Kad to ieviest un kad labot kaut ko citu

Ieviesiet to, kad jūsu kontrolētajā virsmā ir reāla, attiecināma, atkārtota tiešsaistes pieteikšanās neveiksme un kad izpildes backends patiešām aptver šo virsmu. Labojiet kaut ko citu, kad problēma ir vāja akreditācijas datu politika, internetā atklāta pārvaldības lapa vai konts, kas veiksmīgi piesakās tāpēc, ka tas ir kompromitēts. Bloķēšana nevar salabot nevienu no tiem un nevar absorbēt satiksmi, kas jau ir piesātinājusi jūsu uplink. Tā pēdējā problēma pieder augšup, kādam, kas var filtrēt, pirms paketes jūs sasniedz.

Turiet katru cietumu piesaistītu vienai virsmai, pārskatiet viltus pozitīvos un mēriet novērsto autentifikācijas darbu, nevis bloķēto adrešu skaitu.