एक banaction, दोन ट्रान्सपोर्ट: fail2ban-VPN-jail दुरुस्त करणे

fail2ban मध्ये काहीही स्वतःहून पॅकेट टाकत नाही: तो एक क्रिया बोलावतो, आणि तीच क्रिया प्रोटोकॉल आणि पोर्टला नाव देते। जेव्हा jail ban ची नोंद करते आणि डेमन लॉगिन स्वीकारत राहतो, तेव्हा तो ban सहसा खरा असतो आणि लॉग सुचवतो त्यापेक्षा अरुंद असतो। दुसऱ्या ट्रान्सपोर्टवर पुन्हा जोडणारा क्लायंट स्थापित नियमाला कधीही भेटत नाही। काहीही बदलण्यापूर्वी क्रियेने काय स्थापित केले आणि डेमन कशावर ऐकतो याची तुलना करा, कारण पुरावा क्रियेने लिहिलेल्या फायरवॉल साखळीत आहे, jail च्या यादीत नाही।

साखळी वाचा, jail चा सारांश नाही

fail2ban आपली साखळी सेवेच्या साखळीच्या आधी घालतो, म्हणून काउंटरची यादी काय आहे ते नेमके दाखवते। jail च्या नावाने असलेल्या साखळीत एक नियम आहे आणि त्याचा प्रोटोकॉल स्तंभ udp दाखवतो, तर येणाऱ्या TCP लॉगिनसाठी तो पूर्ण खुलासा आहे। फक्त प्रतिबंधित स्रोताकडून येणारे UDP पॅकेट नाकारले जातात। सेवेकडे TCP श्रोता आहे, आणि त्या साखळीत काहीही त्याला स्पर्श करत नाही।

शेजारच्या jail चा परिणामही लक्षात घ्या। एक होस्ट पूर्णपणे कॉन्फिगर केलेला दिसू शकतो कारण दुसरे jail गहाळ अर्धा भाग पुरवते, आणि तेच बिल्ड जिथे ते jail स्थापित नाही तिथे काहीही करत नाही।

क्रिया एकाच प्रोटोकॉलला नाव देते, आणि तिथेच ती तुटते

प्रत्येक banaction फायरवॉल कमांडचा टेम्पलेट आहे, आणि प्रोटोकॉल त्याच्या एका प्लेसहोल्डरमध्ये असतो। ही अरुंदी जाणीवपूर्वक आहे, कारण वेब jail आणि DNS jail ने सारखे पोर्ट अडवण्याशी काही देणेघेणे नाही। सेवा एकापेक्षा जास्त ट्रान्सपोर्टवर ऐकत असताना हे सापळा बनते, जे VPN डेमन नियमित करतात। फिल्टर दोन्ही ट्रान्सपोर्टच्या अयशस्वी लॉगिन पाहू शकतो, पण क्रिया एकच व्यापते।

SoftEther आणि OpenVPN चे डिप्लॉयमेंट सहसा एकाच वेळी UDP आणि TCP वर ऐकतात, आणि लॉग ओळ दोन्ही बाबतीत सारखी दिसत असल्याने फिल्टर दोन्हींचे निरीक्षण करतो। ही विषमता jail च्या स्वतःच्या अहवालात कधीही दिसत नाही। fail2ban ने अपयश बरोबर मोजले आणि नंतर ती अपयशे ज्या रहदारीवर आली त्याच्या अर्ध्या भागाला लागू होणारा नियम स्थापित केला।

ban ने दोन्ही ट्रान्सपोर्ट व्यापावेत

ते jail च्या व्याख्येतच दुरुस्त करा; हाताने लिहिलेले नियम पुढील रीलोडमध्ये ढवळले जातील। प्रत्येक प्रोटोकॉलसाठी एक अशा दोन क्रिया स्पष्ट लिहा:

action = %(banaction)s[name=%(__name__)s-tcp, actionname=%(__name__)s-tcp, protocol="tcp", port="%(port)s", chain="%(chain)s"]
         %(banaction)s[name=%(__name__)s-udp, actionname=%(__name__)s-udp, protocol="udp", port="%(port)s", chain="%(chain)s"]

protocol = all ने ते लहान करण्याचा प्रयत्न करू नका। डीफॉल्ट banaction ही multiport क्रिया आहे, आणि ती -p <protocol> -m multiport --dports <port> पर्यंत विस्तारते; L4 प्रोटोकॉल नसल्यास पोर्ट जुळवणीला तपासायला काहीच नाही, म्हणून iptables नियम नाकारतो, पण jail अजूनही यशस्वी ban नोंदवते। iptables-allports किंवा nftables-allports सारखी सर्व-पोर्ट क्रिया एक नोंद स्वीकारते, पण त्या स्रोतावरील प्रत्येक पोर्ट अडवते, जो वेगळा निर्णय आहे आणि त्याला स्वतःचे समर्थन हवे। protocol tcp किंवा udp वर ठेवा आणि दोन्ही नोंदी स्वीकारा।

सेटिंगवर विश्वास ठेवण्याऐवजी नियम अस्तित्वात असल्याचे सिद्ध करा, कारण साखळी तो धरून ठेवेपर्यंत सेटिंग फक्त हेतू वर्णन करते:

iptables -S f2b-vpn-tcp
iptables -S f2b-vpn-udp

प्रत्येक साखळीने एक नियम सूचीबद्ध केला पाहिजे, पहिल्यात -p tcp आणि दुसऱ्यात -p udp, दोन्ही प्रतिबंधित पत्ता सांगतात। नंतर तोच पत्ता दोन्ही ट्रान्सपोर्टवर नाकारला जातो याची खात्री करा। साखळीत न पाहिलेला ban ही एक आशा आहे, आणि त्याच लक्षणाचा पुढील अहवाल पुन्हा तासाचा खर्च करेल।

ban अजून काय चुकवते, आणि पुढील प्रकरण

क्रिया एकच स्रोत नाकारते, आणि फक्त त्यात सूचीबद्ध पोर्टवर। पत्ते फिरवणाऱ्या हल्लेखोराविरुद्ध ती काहीही करत नाही, आणि शेकडो वापरकर्ते सामायिक करणाऱ्या वाहक-स्तरीय NAT निर्गमनापासून शत्रुत्वाचे यंत्र वेगळे करू शकत नाही, जिथे एक ban काहीही न केलेल्या लोकांना बाहेर ठेवते। फिल्टर क्लायंटकडे खरोखर असलेला पत्ता वाचतो याची खात्री करा, पुढे पाठवलेले हेडर किंवा प्रॉक्सी पत्ता नाही। चूक स्वतः संपेल इतकी विंडो लहान ठेवा।

यापैकी काहीही प्रोटोकॉल दुरुस्ती वगळण्याच्या बाजूने नाही; ते एकाच वेळी दोन कल्पना धरण्याच्या बाजूने आहे। ban jail चा सारांश सुचवतो त्यापेक्षा अरुंद आहे, आणि पूर्ण ban देखील धोक्यापेक्षा अरुंद आहे। फायरवॉल साखळी डेमनच्या श्रोता यादीच्या शेजारी ठेवा आणि प्रोटोकॉलनुसार तुलना करा, कारण ban सेवेपर्यंत पोहोचू शकतो का हे त्या दोन याद्या ठरवतात।

रीलोड कमांड आणि साखळी यादी jail च्या शेजारी रनबुकमध्ये ठेवा। पुढच्या व्यक्तीला दोन्ही लागतील, आणि jail चा सारांश त्याला एकही सांगणार नाही।