Fail2ban на VPN порта: што поправа и што не

Секоја изложена услуга го добива истиот совет: ставете fail2ban на неа. За VPN порта тој совет ниту е погрешен ниту е доволен, и токму третирањето како штиклирано поле при зацврстување е причината зошто луѓето остануваат со затвор (jail) што не блокира ништо корисно. Fail2ban ги чита записите за неуспех на кои го насочувате и бара од backend за спроведување да ги блокира соодветните извори. Целата негова вредност зависи од тоа која површина за автентикација го создала записот, дали адресата во него е вистинскиот клиент и што се случува со сите останати зад таа адреса.

Што е fail2ban механички

Филтер ги совпаѓа линиите во дневникот, затворот ги брои совпаѓањата по извор, а дејството применува блокирање преку backend на огнен ѕид. Три подвижни делови, и секој може да биде погрешен независно.

Ниту еден од трите не ја допира патеката за автентикација: fail2ban реагира на докази откако ќе се случи настанот и сѐ уште не проверува сам акредитив. Затворот затоа може да работи чисто, додека површината што ја именува останува точно исто толку изложена како порано.

Слушачот на тунелот не е формулар за најава

OpenVPN слушач заштитен со tls-auth или tls-crypt ги отфрла пакетите без заштита на контролниот канал пред да започне вообичаената TLS обработка. Скенер што никогаш го нема клучот не создава ништо што вашиот филтер може да го изброи. Автентикацијата со сертификат додава уште една порта, бидејќи нема лозинка што може да се погоди. Проектот Fail2ban документира општ модел воден од дневници, а општ VPN филтер не претвора неавтентициран пакет во значаен настан на неуспех.

Ако портата прифаќа само сертификати, приказната за brute-force од која се браните може воопшто да не постои на тој порт.

Па, која површина ја штитите?

Истиот домаќин често изложува три различни работи: слушачот на тунелот, портал за клиентски профил или самопослужување и административна страница. Порталот и административната страница имаат формулари за лозинка и создаваат линии во дневникот што филтерот може да ги изброи. Тунелот може да создава само грешки при ракување што значат нешто сосема друго. Совпаднете го затворот со површината, а не со името на производот.

Еден затвор што го набљудува погрешниот дневник е полош од никаков, бидејќи создава самодоверба без покриеност. Насочете филтер за најава кон грешките при ракување на тунелот и бројачот ќе се активира на скенери што никогаш немале клуч, додека нападот со лозинка врз порталот останува неизброен. Прочитајте ја линијата во дневникот што филтерот ја совпаѓа пред да му верувате на бројот на затворот.

Припишувањето на изворот е слабата алка

Блокирањето е толку добро колку адресата што ја цели. Кога услугата стои зад локален обратен прокси, адресата на клиентот во дневникот може да биде самиот прокси, и неговото блокирање ги отстранува сите. Верувањето на проследено заглавие од недоверлив извор му дава на напаѓачот можност да блокира произволни адреси. На UDP изворните адреси можат да се фалсификуваат, па нивното броење заслужува повеќе внимание отколку броењето на завршена TCP најава.

Запишете го методот на припишување на изворот во README на затворот, бидејќи проследено заглавие од недоверлив хоп го претвора блокирањето во оружје.

Страничниот трошок се другите луѓе

Неколку вработени зад еден канцелариски NAT делат адреса, па една застарена зачувана лозинка може да ја заклучи целата канцеларија штом ќе се премине прагот. Дневникот покажува еден извор и една сметка што не успеале, а не прекин во целата канцеларија.

Кратките блокирања и умерените прагови го намалуваат тоа, а документираната патека за одблокирање го намалува оптоварувањето на поддршката кога тоа сепак се случува. Адресата е груб сигнал, а не идентитет, и лицето што го отвора тикетот ќе го опише прекинот, а не прагот.

Кога да се воведе и кога да се поправи нешто друго

Воведете го кога на површина што ја контролирате има вистински, припишлив, повторлив неуспех при онлајн најава и кога backend за спроведување навистина ја покрива таа површина. Поправете нешто друго кога проблемот е слаба политика за акредитиви, административна страница изложена на интернет или сметка што успешно се најавува затоа што е компромитирана. Блокирањето не може да поправи ниту едно од тие и не може да апсорбира сообраќај што веќе го засити вашиот uplink. Тој последен проблем припаѓа нагоре, на некој што може да филтрира пред пакетите да стигнат до вас.

Држете го секој затвор врзан за една површина, прегледувајте ги лажните позитивни и мерте ја избегнатата работа на автентикација наместо бројот на блокирани адреси.