VPN गेटवेवर Fail2ban: काय सुधारते आणि काय नाही

प्रत्येक उघड्या सेवेला तोच सल्ला मिळतो: त्यावर fail2ban बसवा. VPN गेटवेसाठी हा सल्ला चुकीचाही नाही आणि पुरेसाही नाही, आणि त्याकडे हार्डनिंगची टिक म्हणून पाहणे हेच लोकांना काहीही उपयुक्त न अडवणाऱ्या jail सोबत राहण्याचे कारण ठरते. Fail2ban तुम्ही दाखवता त्या अयशस्वी नोंदी वाचतो आणि जुळणाऱ्या स्रोतांना प्रतिबंधित करण्यास अंमलबजावणी backend ला सांगतो. त्याचे संपूर्ण मूल्य कोणत्या प्रमाणीकरण पृष्ठभागाने नोंद तयार केली, त्यातील पत्ता खरा क्लायंट आहे का, आणि त्या पत्त्यामागील बाकी सर्वांना काय होते यावर अवलंबून आहे.

यांत्रिकदृष्ट्या fail2ban काय आहे

फिल्टर लॉगमधील ओळी जुळवतो, jail प्रति स्रोत जुळणी मोजतो, आणि क्रिया फायरवॉल backend द्वारे प्रतिबंध लागू करते. तीन हलणारे भाग, आणि प्रत्येक स्वतंत्रपणे चुकीचा असू शकतो.

तिन्हींपैकी कोणताही प्रमाणीकरण मार्गाला स्पर्श करत नाही: fail2ban घटनेनंतर पुराव्यांवर प्रतिक्रिया देतो आणि कधीही स्वतः ओळखपत्र पडताळत नाही. त्यामुळे jail स्वच्छ चालू शकते, तर ते नाव देणारा पृष्ठभाग पूर्वीइतकाच उघडा राहतो.

टनेल श्रोता लॉगिन फॉर्म नाही

OpenVPN श्रोता tls-auth किंवा tls-crypt ने संरक्षित असल्यास, सामान्य TLS प्रक्रिया सुरू होण्यापूर्वी नियंत्रण-चॅनेल संरक्षण नसलेले पॅकेट टाकून देतो. ज्याला कधीही की नसते तो स्कॅनर तुमचा फिल्टर मोजू शकेल असे काहीही तयार करत नाही. प्रमाणपत्र प्रमाणीकरण आणखी एक द्वार जोडते, कारण अंदाज लावण्यासाठी पासवर्ड नाही. Fail2ban प्रकल्प सामान्य लॉग-चालित मॉडेलचे दस्तऐवजीकरण करते, आणि सामान्य VPN फिल्टर प्रमाणीकृत न केलेल्या पॅकेटला अर्थपूर्ण अयशस्वी घटनेत बदलत नाही.

जर गेटवे फक्त प्रमाणपत्रे स्वीकारत असेल, तर तुम्ही ज्याच्यापासून बचाव करत आहात ती ब्रूट-फोर्स कथा त्या पोर्टवर अजिबात नसू शकते.

मग तुम्ही कोणत्या पृष्ठभागाचे रक्षण करत आहात?

एकच होस्ट अनेकदा तीन वेगळ्या गोष्टी उघड करतो: टनेल श्रोता, क्लायंट-प्रोफाइल किंवा स्वयं-सेवा पोर्टल, आणि प्रशासन पृष्ठ. पोर्टल आणि प्रशासन पृष्ठावर पासवर्ड फॉर्म असतात आणि फिल्टर मोजू शकेल अशा लॉग ओळी तयार करतात. टनेल कदाचित पूर्णपणे वेगळा अर्थ असलेल्या हातमिळवणी त्रुटीच तयार करत असेल. jail ला उत्पादनाच्या नावाशी नाही, पृष्ठभागाशी जुळवा.

चुकीचा लॉग पाहणारी एक jail कोणत्याही jail पेक्षा वाईट आहे, कारण ती कव्हरेजशिवाय आत्मविश्वास निर्माण करते. लॉगिन फिल्टर टनेलच्या हातमिळवणी त्रुटींकडे वळवा आणि काउंटर कधीही की नसलेल्या स्कॅनरवर वाजेल, तर पोर्टलवरील पासवर्ड हल्ला मोजला जाणार नाही. jail च्या आकड्यावर विश्वास ठेवण्यापूर्वी फिल्टर जुळवणारी लॉग ओळ वाचा.

स्रोताचे श्रेय ही कमकुवत कडी आहे

प्रतिबंध तेवढाच चांगला असतो जेवढा तो लक्ष्य करणारा पत्ता. सेवा स्थानिक रिव्हर्स प्रॉक्सीमागे असेल तर लॉगमधील क्लायंट पत्ता प्रॉक्सीचाच असू शकतो, आणि त्याला प्रतिबंधित केल्यास सर्वजण बाहेर पडतात. अविश्वासू स्रोताकडून आलेल्या फॉरवर्ड हेडरवर विश्वास ठेवल्यास हल्लेखोराला अनियंत्रित पत्ते प्रतिबंधित करण्याची क्षमता मिळते. UDP मध्ये स्रोत पत्ते बनावट करता येतात, त्यामुळे ते मोजणे पूर्ण झालेल्या TCP लॉगिनपेक्षा अधिक काळजी मागते.

jail च्या README मध्ये स्रोत श्रेयाची पद्धत नोंदवा, कारण अविश्वासू हॉपकडून आलेले फॉरवर्ड हेडर प्रतिबंधाचे शस्त्र करते.

पार्श्विक किंमत इतर लोक आहेत

एका कार्यालयीन NAT मागे अनेक कर्मचारी एक पत्ता सामायिक करतात, त्यामुळे एक जुना साठवलेला पासवर्ड मर्यादा ओलांडल्यावर संपूर्ण कार्यालय लॉक करू शकतो. लॉग एक स्रोत आणि एक खाते अयशस्वी झाल्याचे दाखवतो, संपूर्ण कार्यालयातील व्यत्यय नाही.

लहान प्रतिबंध आणि संयमित मर्यादा ते कमी करतात, आणि दस्तऐवजीकृत अनबॅन मार्ग तसे होत असतानाही समर्थन भार कमी करतो. पत्ता एक स्थूल संकेत, ओळख नाही आहे, आणि तिकीट उघडणारा मर्यादेबद्दल नाही, व्यत्ययाबद्दल सांगेल.

कधी स्वीकारावे, आणि कधी दुसरे काही दुरुस्त करावे

तुम्ही नियंत्रित करता त्या पृष्ठभागावर खरा, श्रेय देता येणारा, पुनरावृत्ती होणारा ऑनलाइन लॉगिन अपयश असेल आणि अंमलबजावणी backend तो पृष्ठभाग खरोखर व्यापत असेल तेव्हा ते स्वीकारा. समस्या कमकुवत ओळखपत्र धोरण, इंटरनेटवर उघडे प्रशासन पृष्ठ, किंवा तडजोड झाल्यामुळे यशस्वीरित्या लॉगिन होणारे खाते असेल तर दुसरे काही दुरुस्त करा. प्रतिबंध यातील काहीही दुरुस्त करू शकत नाही आणि तुमचा अपलिंक आधीच संपृक्त केलेला रहदारी शोषू शकत नाही. ती शेवटची समस्या वरच्या बाजूला, पॅकेट तुमच्यापर्यंत पोहोचण्यापूर्वी फिल्टर करू शकणाऱ्या कोणाच्या हाती आहे.

प्रत्येक jail एका पृष्ठभागाशी बांधून ठेवा, चुकीच्या सकारात्मकांचे पुनरावलोकन करा, आणि प्रतिबंधित पत्त्यांच्या संख्येऐवजी टाळलेले प्रमाणीकरण कार्य मोजा.