VPN ഗേറ്റ്‌വേയിൽ Fail2ban: എന്താണ് പരിഹരിക്കുന്നത്, എന്തല്ല

ഓരോ തുറന്ന സേവനത്തിനും ഒരേ ഉപദേശമാണ് ലഭിക്കുന്നത്: അതിൽ fail2ban ഇടുക. VPN ഗേറ്റ്‌വേയ്ക്ക് ആ ഉപദേശം തെറ്റല്ല, മതിയുമല്ല, അതിനെ ഹാർഡനിംഗ് ടിക്കായി കാണുന്നതാണ് ഉപയോഗപ്രദമായ ഒന്നും തടയാത്ത jail-നോടൊപ്പം ആളുകൾ അവസാനിക്കുന്നതിന്റെ കാരണം. Fail2ban നിങ്ങൾ ചൂണ്ടിക്കാണിക്കുന്ന പരാജയ രേഖകൾ വായിച്ച്, ഒത്തുപോകുന്ന ഉറവിടങ്ങൾ തടയാൻ എൻഫോഴ്സ്മെന്റ് backend-നോട് ആവശ്യപ്പെടുന്നു. അതിന്റെ മുഴുവൻ മൂല്യവും ഏത് ഓതന്റിക്കേഷൻ ഉപരിതലമാണ് രേഖ സൃഷ്ടിച്ചത്, അതിലെ വിലാസം യഥാർത്ഥ ക്ലയന്റാണോ, ആ വിലാസത്തിന് പിന്നിലുള്ള മറ്റെല്ലാവർക്കും എന്ത് സംഭവിക്കുന്നു എന്നതിനെ ആശ്രയിച്ചിരിക്കുന്നു.

യാന്ത്രികമായി fail2ban എന്താണ്

ഫിൽട്ടർ ലോഗിലെ വരികൾ ഒത്തുനോക്കുന്നു, jail ഉറവിടം അനുസരിച്ച് ഒത്തുനോക്കലുകൾ എണ്ണുന്നു, പ്രവർത്തനം ഫയർവാൾ backend വഴി തടയൽ പ്രയോഗിക്കുന്നു. മൂന്ന് ചലിക്കുന്ന ഭാഗങ്ങൾ, ഓരോന്നും സ്വതന്ത്രമായി തെറ്റാകാം.

മൂന്നിൽ ഒന്നും ഓതന്റിക്കേഷൻ പാതയെ തൊടുന്നില്ല: fail2ban സംഭവത്തിന് ശേഷം തെളിവുകളോട് പ്രതികരിക്കുന്നു, ഒരിക്കലും സ്വയം ഒരു ക്രെഡൻഷ്യൽ സാധൂകരിക്കുന്നുമില്ല. അതിനാൽ jail വൃത്തിയായി പ്രവർത്തിക്കാം, അത് പേരിടുന്ന ഉപരിതലം മുമ്പത്തെപ്പോലെ തന്നെ തുറന്നിരിക്കെ.

ടണൽ ശ്രോതാവ് ഒരു ലോഗിൻ ഫോമല്ല

OpenVPN ശ്രോതാവ് tls-auth അല്ലെങ്കിൽ tls-crypt ഉപയോഗിച്ച് സംരക്ഷിച്ചിട്ടുണ്ടെങ്കിൽ, സാധാരണ TLS പ്രോസസ്സിംഗ് തുടങ്ങുന്നതിന് മുമ്പ് കൺട്രോൾ-ചാനൽ സംരക്ഷണമില്ലാത്ത പാക്കറ്റുകൾ ഉപേക്ഷിക്കുന്നു. ഒരിക്കലും കീ ഇല്ലാത്ത സ്കാനർ നിങ്ങളുടെ ഫിൽട്ടറിന് എണ്ണാൻ കഴിയുന്ന ഒന്നും സൃഷ്ടിക്കുന്നില്ല. സർട്ടിഫിക്കറ്റ് ഓതന്റിക്കേഷൻ മറ്റൊരു കവാടം കൂട്ടിച്ചേർക്കുന്നു, കാരണം ഊഹിക്കാൻ പാസ്‌വേഡില്ല. Fail2ban പദ്ധതി പൊതുവായ ലോഗ്-അധിഷ്ഠിത മാതൃക രേഖപ്പെടുത്തുന്നു, പൊതുവായ VPN ഫിൽട്ടർ ഓതന്റിക്കേറ്റ് ചെയ്യാത്ത പാക്കറ്റിനെ അർത്ഥവത്തായ പരാജയ സംഭവമാക്കുന്നുമില്ല.

ഗേറ്റ്‌വേ സർട്ടിഫിക്കറ്റുകൾ മാത്രം സ്വീകരിക്കുന്നുവെങ്കിൽ, നിങ്ങൾ പ്രതിരോധിക്കുന്ന brute-force കഥ ആ പോർട്ടിൽ ഉണ്ടായിരിക്കണമെന്നില്ല.

അപ്പോൾ ഏത് ഉപരിതലമാണ് നിങ്ങൾ സംരക്ഷിക്കുന്നത്?

ഒരേ ഹോസ്റ്റ് പലപ്പോഴും മൂന്ന് വ്യത്യസ്ത കാര്യങ്ങൾ തുറക്കുന്നു: ടണൽ ശ്രോതാവ്, ക്ലയന്റ്-പ്രൊഫൈൽ അല്ലെങ്കിൽ സ്വയം-സേവന പോർട്ടൽ, ഒരു അഡ്മിനിസ്ട്രേഷൻ പേജ്. പോർട്ടലിലും അഡ്മിൻ പേജിലും പാസ്‌വേഡ് ഫോമുകളുണ്ട്, ഫിൽട്ടറിന് എണ്ണാൻ കഴിയുന്ന ലോഗ് വരികൾ അവ സൃഷ്ടിക്കുന്നു. ടണൽ പൂർണ്ണമായും വേറെ അർത്ഥമുള്ള ഹാൻഡ്‌ഷേക്ക് പിശകുകൾ മാത്രം സൃഷ്ടിച്ചേക്കാം. jail-നെ ഉൽപ്പന്നനാമവുമായല്ല, ഉപരിതലവുമായി ചേർക്കുക.

തെറ്റായ ലോഗ് നോക്കുന്ന ഒരു jail ഇല്ലാത്തതിനേക്കാൾ മോശമാണ്, കാരണം അത് കവറേജില്ലാതെ ആത്മവിശ്വാസം സൃഷ്ടിക്കുന്നു. ലോഗിൻ ഫിൽട്ടർ ടണലിന്റെ ഹാൻഡ്‌ഷേക്ക് പിശകുകളിലേക്ക് തിരിക്കുക, ഒരിക്കലും കീ ഇല്ലാതിരുന്ന സ്കാനറുകളിൽ കൗണ്ടർ മുഴങ്ങും, അതേസമയം പോർട്ടലിനെതിരായ പാസ്‌വേഡ് ആക്രമണം എണ്ണപ്പെടില്ല. jail-ന്റെ സംഖ്യ വിശ്വസിക്കുന്നതിന് മുമ്പ് ഫിൽട്ടർ ഒത്തുനോക്കുന്ന ലോഗ് വരി വായിക്കുക.

ഉറവിട ആട്രിബ്യൂഷനാണ് ദുർബലമായ കണ്ണി

തടയൽ അത് ലക്ഷ്യമിടുന്ന വിലാസത്തോളം മാത്രം നല്ലതാണ്. സേവനം ഒരു പ്രാദേശിക റിവേഴ്സ് പ്രോക്സിക്ക് പിന്നിലാണെങ്കിൽ, ലോഗിലെ ക്ലയന്റ് വിലാസം പ്രോക്സി ആയിരിക്കാം, അത് തടയുന്നത് എല്ലാവരെയും നീക്കും. വിശ്വസനീയമല്ലാത്ത ഉറവിടത്തിൽ നിന്നുള്ള ഫോർവേഡ് ചെയ്ത ഹെഡർ വിശ്വസിക്കുന്നത് ആക്രമണകാരിക്ക് ഏകപക്ഷീയ വിലാസങ്ങൾ തടയാനുള്ള കഴിവ് നൽകുന്നു. UDP-യിൽ ഉറവിട വിലാസങ്ങൾ വ്യാജമാക്കാം, അതിനാൽ അവ എണ്ണുന്നത് പൂർത്തിയായ TCP ലോഗിൻ എണ്ണുന്നതിനേക്കാൾ കൂടുതൽ ശ്രദ്ധ അർഹിക്കുന്നു.

ഉറവിട ആട്രിബ്യൂഷൻ രീതി jail-ന്റെ README-യിൽ രേഖപ്പെടുത്തുക, കാരണം വിശ്വസനീയമല്ലാത്ത ഹോപ്പിൽ നിന്നുള്ള ഫോർവേഡ് ചെയ്ത ഹെഡർ തടയലിനെ ആയുധമാക്കുന്നു.

പാർശ്വച്ചെലവ് മറ്റുള്ളവരാണ്

ഒരു ഓഫീസ് NAT-ന് പിന്നിലുള്ള നിരവധി ജീവനക്കാർ ഒരു വിലാസം പങ്കിടുന്നു, അതിനാൽ പഴയതായി സേവ് ചെയ്ത ഒരു പാസ്‌വേഡ് പരിധി കടക്കുമ്പോൾ മുഴുവൻ ഓഫീസും ലോക്ക് ചെയ്യാം. ലോഗ് പരാജയപ്പെട്ട ഒരു ഉറവിടവും ഒരു അക്കൗണ്ടും കാണിക്കുന്നു, മുഴുവൻ ഓഫീസിന്റെ തടസ്സമല്ല.

ചെറിയ തടയലുകളും മിതമായ പരിധികളും അത് കുറയ്ക്കുന്നു, രേഖപ്പെടുത്തിയ അൺബാൻ പാത അത് എങ്കിലും സംഭവിക്കുമ്പോൾ പിന്തുണാ ഭാരം കുറയ്ക്കുന്നു. വിലാസം ഒരു പരുക്കൻ സിഗ്നൽ, ഐഡന്റിറ്റിയല്ല ആണ്, ടിക്കറ്റ് തുറക്കുന്നയാൾ പരിധിയല്ല, തടസ്സം വിവരിക്കും.

എപ്പോൾ സ്വീകരിക്കണം, എപ്പോൾ മറ്റെന്തെങ്കിലും പരിഹരിക്കണം

നിങ്ങൾ നിയന്ത്രിക്കുന്ന ഒരു ഉപരിതലത്തിൽ യഥാർത്ഥവും ആട്രിബ്യൂട്ട് ചെയ്യാവുന്നതും ആവർത്തിക്കുന്നതുമായ ഓൺലൈൻ ലോഗിൻ പരാജയം ഉണ്ടാകുമ്പോഴും എൻഫോഴ്സ്മെന്റ് backend ആ ഉപരിതലം യഥാർത്ഥത്തിൽ ഉൾക്കൊള്ളുമ്പോഴും അത് സ്വീകരിക്കുക. പ്രശ്നം ദുർബലമായ ക്രെഡൻഷ്യൽ നയം, ഇന്റർനെറ്റിലേക്ക് തുറന്ന അഡ്മിനിസ്ട്രേഷൻ പേജ്, അല്ലെങ്കിൽ വിട്ടുപോയതിനാൽ വിജയകരമായി ലോഗിൻ ചെയ്യുന്ന അക്കൗണ്ട് എന്നിവയാണെങ്കിൽ മറ്റെന്തെങ്കിലും പരിഹരിക്കുക. തടയലിന് അവയൊന്നും പരിഹരിക്കാനാവില്ല, നിങ്ങളുടെ അപ്‌ലിങ്ക് ഇതിനകം പൂരിതമാക്കിയ ട്രാഫിക്ക് ആഗിരണം ചെയ്യാനുമാവില്ല. ആ അവസാന പ്രശ്നം മേലെയാണ്, പാക്കറ്റുകൾ നിങ്ങളിലെത്തുന്നതിന് മുമ്പ് ഫിൽട്ടർ ചെയ്യാൻ കഴിയുന്ന ഒരാളുടേതാണ്.

ഓരോ jail-നെയും ഒരു ഉപരിതലത്തോട് ബന്ധിപ്പിച്ച് നിർത്തുക, തെറ്റായ പോസിറ്റീവുകൾ അവലോകനം ചെയ്യുക, തടയപ്പെട്ട വിലാസങ്ങളുടെ എണ്ണത്തിന് പകരം ഒഴിവാക്കിയ ഓതന്റിക്കേഷൻ ജോലി അളക്കുക.