VPN гарцын Fail2ban: юуг засч, юуг засдаггүй вэ

Ил гарсан үйлчилгээ бүр ижил зөвлөгөө авдаг: түүн дээр fail2ban тавь. VPN гарцын хувьд энэ зөвлөгөө буруу ч биш, хангалттай ч биш бөгөөд үүнийг хатууруулалтын чагт гэж үзэх нь хүмүүс ямар ч хэрэгтэй зүйлийг блоклодоггүй шорон (jail)-той үлдэх шалтгаан болдог. Fail2ban таны зааж өгсөн бүтэлгүйтлийн бүртгэлийг уншиж, тохирох эх үүсвэрийг блоклохыг гүйцэтгэлийн backend-ээс хүсдэг. Түүний бүх үнэ цэнэ нь бүртгэлийг аль нэвтрүүлэлтийн гадаргуу үүсгэсэн, доторх хаяг нь жинхэнэ клиент эсэх, тэр хаягийн ард байгаа бусад бүх хүнд юу тохиолдохоос хамаарна.

Fail2ban механикаар юу вэ

Шүүлтүүр лог дахь мөрүүдийг тааруулж, шорон эх үүсвэрээр тохирлыг тоолж, үйлдэл галт хананы backend-ээр блоклолтыг хэрэгжүүлдэг. Гурван хөдөлгөөнт хэсэг, тус бүр бие даан буруу байж болно.

Гурвын аль нь ч нэвтрүүлэлтийн замд хүрдэггүй: fail2ban үйл явдлын дараа нотолгоонд хариу үйлдэл үзүүлдэг бөгөөд хэзээ ч өөрөө итгэмжлэлийг баталгаажуулдаггүй. Тиймээс шорон цэвэр ажиллаж чадах бөгөөд түүний нэрлэсэн гадаргуу өмнөх шигээ нээлттэй хэвээр үлддэг.

Туннелийн сонсогч нь нэвтрэх маягт биш

OpenVPN сонсогч tls-auth эсвэл tls-crypt-ээр хамгаалагдсан бол удирдлагын сувгийн хамгаалалтгүй пакетуудыг ердийн TLS боловсруулалт эхлэхээс өмнө хаядаг. Түлхүүр хэзээ ч байхгүй сканер таны шүүлтүүр тоолж чадах юу ч үүсгэдэггүй. Гэрчилгээний нэвтрүүлэлт өөр нэг хаалга нэмдэг, учир нь таамаглах нууц үг байхгүй. Fail2ban төсөл ерөнхий логд суурилсан загварыг баримтжуулдаг бөгөөд ерөнхий VPN шүүлтүүр нэвтрүүлээгүй пакетыг утга учиртай бүтэлгүйтлийн үйл явдал болгодоггүй.

Хэрэв гарц зөвхөн гэрчилгээ хүлээн авдаг бол таны хамгаалж буй brute-force түүх тэр порт дээр огт байхгүй байж болно.

Тэгвэл та ямар гадаргууг хамгаалж байна вэ?

Нэг хост ихэвчлэн гурван өөр зүйлийг ил гаргадаг: туннелийн сонсогч, клиентийн профайл эсвэл өөртөө үйлчлэх портал, администрацийн хуудас. Портал болон админ хуудаст нууц үгийн маягт байдаг бөгөөд шүүлтүүр тоолж чадах лог мөрүүдийг үүсгэдэг. Туннель огт өөр утгатай гар барилтын алдаа л үүсгэж болно. Шороныг бүтээгдэхүүний нэрээр биш, гадаргуугаар тааруул.

Буруу логийг хардаг нэг шорон байхгүйгээс ч дор, учир нь бүрхүүлгүйгээр итгэл үүсгэдэг. Нэвтрэх шүүлтүүрийг туннелийн гар барилтын алдаа руу чиглүүл, тэгвэл тоолуур хэзээ ч түлхүүргүй байсан сканеруудад ажиллах бөгөөд портал руу хийсэн нууц үгийн халдлага тоологдохгүй үлдэнэ. Шоронын тоонд итгэхээс өмнө шүүлтүүр тааруулж буй лог мөрийг унш.

Эх үүсвэрийг холбох нь сул холбоос

Блоклолт нь чиглэсэн хаягийнхаа чанартай л тэнцэнэ. Үйлчилгээ локал урвуу проксийн ард байх үед лог дахь клиентийн хаяг нь прокси өөрөө байж болох бөгөөд түүнийг блоклох нь бүгдийг арилгана. Итгэмжлэхгүй эх үүсвэрээс дамжуулсан толгойг итгэх нь халдлагчд дурын хаяг блоклох чадвар өгдөг. UDP дээр эх үүсвэрийн хаягийг хуурамчаар үйлдэж болох тул тэдгээрийг тоолох нь дууссан TCP нэвтрэлтийг тоолохоос илүү анхаарал шаарддаг.

Эх үүсвэрийг холбох аргыг шоронын README-д бич, учир нь итгэмжлэхгүй хопоос дамжуулсан толгой блоклолтыг зэвсэг болгоно.

Хажуугийн зардал нь бусад хүмүүс

Нэг оффисын NAT-ын ард хэд хэдэн ажилтан нэг хаягийг хуваалцдаг тул нэг хуучирсан хадгалсан нууц үг босгыг давмагц бүх оффисыг түгжиж болно. Лог нь бүтэлгүйтсэн нэг эх үүсвэр, нэг бүртгэлийг харуулдаг, бүх оффисын саатал биш.

Богино блоклолт, дунд зэргийн босго нь үүнийг бууруулж, баримтжуулсан блок цуцлах зам нь ийм зүйл тохиолдсон ч дэмжлэгийн ачааллыг бууруулна. Хаяг нь бүдүүлэг дохио, хувь хүний таних тэмдэг биш, тикетийг нээсэн хүн босгыг биш, саатлыг тайлбарлана.

Хэзээ нэвтрүүлэх, хэзээ өөр зүйлийг засах

Өөрийн хянадаг гадаргуу дээр бодит, холбогдох боломжтой, давтагддаг онлайн нэвтрэлтийн бүтэлгүйтэл байгаа үед, мөн гүйцэтгэлийн backend тэр гадаргууг үнэхээр хамарч байгаа үед үүнийг нэвтрүүл. Асуудал нь сул итгэмжлэлийн бодлого, интернетэд нээлттэй удирдлагын хуудас, эсвэл эвдэрсэн тул амжилттай нэвтэрч буй бүртгэл бол өөр зүйлийг зас. Блоклолт эдгээрийн аль нэгийг ч засахгүй бөгөөд таны uplink-ийг аль хэдийн ханасан урсгалыг шингээж чадахгүй. Тэр сүүлчийн асуудал дээр талд, пакетууд танд хүрэхээс өмнө шүүж чадах хэн нэгэнд хамаарна.

Шорон бүрийг нэг гадаргуутай холбож байлга, хуурамч эерэгүүдийг хянаж үз, блоклогдсон хаягийн тоо биш, зайлсхийсэн нэвтрүүлэлтийн ажлыг хэмж.