Fail2ban pada gateway VPN: apa yang diperbaiki dan apa yang tidak

Setiap perkhidmatan yang terdedah menerima nasihat yang sama: letakkan fail2ban padanya. Bagi gateway VPN nasihat itu bukan salah dan tidak cukup, dan menganggapnya sebagai tanda pengukuhan ialah cara orang berakhir dengan penjara (jail) yang tidak menyekat apa-apa yang berguna. Fail2ban membaca rekod kegagalan yang anda tuju dan meminta backend penguatkuasaan menyekat sumber yang sepadan. Seluruh nilainya bergantung pada permukaan pengesahan mana yang menghasilkan rekod itu, sama ada alamat di dalamnya ialah klien sebenar, dan apa yang berlaku kepada semua orang lain di belakang alamat itu.

Apakah fail2ban secara mekanikal

Penapis memadankan baris dalam log, penjara mengira padanan bagi setiap sumber, dan tindakan menggunakan sekatan melalui backend tembok api. Tiga bahagian bergerak, dan setiap satu boleh salah secara berasingan.

Tiada satu pun daripada ketiganya menyentuh laluan pengesahan: fail2ban bertindak balas terhadap bukti selepas kejadian dan tidak pernah mengesahkan kelayakan sendiri. Oleh itu penjara boleh berjalan dengan bersih sementara permukaan yang dinamakannya kekal terdedah sama seperti sebelum ini.

Pendengar terowong bukan borang log masuk

Pendengar OpenVPN yang dilindungi dengan tls-auth atau tls-crypt membuang paket tanpa perlindungan saluran kawalan sebelum pemprosesan TLS biasa bermula. Pengimbas yang tidak pernah mempunyai kunci tidak menghasilkan apa-apa yang penapis anda boleh kira. Pengesahan sijil menambah satu lagi pintu, kerana tiada kata laluan untuk diteka. Projek Fail2ban mendokumenkan model umum yang dipacu log, dan penapis VPN generik tidak mengubah paket yang tidak disahkan menjadi peristiwa kegagalan yang bermakna.

Jika gateway hanya menerima sijil, kisah brute-force yang anda pertahankan mungkin tidak wujud sama sekali pada port itu.

Jadi permukaan mana yang anda lindungi?

Hos yang sama sering mendedahkan tiga perkara berbeza: pendengar terowong, portal profil klien atau layan diri, dan halaman pentadbiran. Portal dan halaman admin mempunyai borang kata laluan dan menghasilkan baris log yang boleh dikira oleh penapis. Terowong mungkin hanya menghasilkan ralat jabat tangan yang bermaksud sesuatu yang sama sekali berbeza. Padankan penjara dengan permukaan, bukan dengan nama produk.

Satu penjara yang memerhati log yang salah lebih buruk daripada tiada, kerana ia mencipta keyakinan tanpa liputan. Halakan penapis log masuk ke ralat jabat tangan terowong dan pembilang akan berbunyi pada pengimbas yang tidak pernah mempunyai kunci, manakala serangan kata laluan terhadap portal tidak dikira. Baca baris log yang dipadankan oleh penapis sebelum anda mempercayai nombor penjara.

Atribusi sumber ialah rantai yang lemah

Sekatan hanya sebaik alamat yang disasarkannya. Apabila perkhidmatan berada di belakang proksi terbalik tempatan, alamat klien dalam log mungkin ialah proksi itu, dan menyekatnya membuang semua orang. Mempercayai pengepala yang dimajukan daripada sumber tidak dipercayai memberi penyerang keupayaan menyekat alamat sewenang-wenangnya. Pada UDP, alamat sumber boleh dipalsukan, jadi mengiranya memerlukan lebih kehati-hatian daripada mengira log masuk TCP yang selesai.

Catat kaedah atribusi sumber dalam README penjara, kerana pengepala yang dimajukan daripada hop tidak dipercayai menjadikan sekatan sebagai senjata.

Kos sampingan ialah orang lain

Beberapa pekerja di belakang satu NAT pejabat berkongsi alamat, jadi satu kata laluan tersimpan yang lapuk boleh mengunci seluruh pejabat apabila ambang dilangkaui. Log menunjukkan satu sumber dan satu akaun yang gagal, bukan gangguan seluruh pejabat.

Sekatan pendek dan ambang sederhana mengurangkan perkara itu, dan laluan nyahsekat yang didokumenkan mengurangkan beban sokongan apabila ia tetap berlaku. Alamat itu isyarat kasar, bukan identiti, dan orang yang membuka tiket akan menerangkan gangguan itu, bukan ambang itu.

Bila hendak menerimanya, dan bila hendak membaiki perkara lain

Terimanya apabila terdapat kegagalan log masuk dalam talian yang benar, boleh diatribusikan dan berulang pada permukaan yang anda kawal, dan apabila backend penguatkuasaan benar-benar meliputi permukaan itu. Baiki perkara lain apabila masalahnya ialah dasar kelayakan yang lemah, halaman pengurusan yang terdedah kepada internet, atau akaun yang berjaya log masuk kerana ia telah dikompromi. Sekatan tidak boleh membaiki mana-mana daripadanya dan tidak boleh menyerap trafik yang sudah memenuhi uplink anda. Masalah terakhir itu milik huluan, kepada seseorang yang boleh menapis sebelum paket sampai kepada anda.

Kekalkan setiap penjara terikat pada satu permukaan, semak positif palsu, dan ukur kerja pengesahan yang dielakkan dan bukannya bilangan alamat yang disekat.