Banaction waħda, żewġ trasporti: tissewwa jail tal-fail2ban għal VPN

Xejn fil-fail2ban ma jaqa' pakkett waħdu: isejjaħ azzjoni, u dik l-azzjoni hija li ssemmi protokoll u port. Meta l-jail tirrapporta ban waqt li d-daemon ikompli jaċċetta d-dħul, il-ban normalment ikun veru u eqreb milli jimplika l-log. Klijent li jerġa' jqabbad mill-istrasport l-ieħor qatt ma jiltaqa' mar-regola installata. Qabbel dak li installat l-azzjoni ma' dak li jisma' d-daemon qabel ma tbiddel xejn, għax il-prova tinsab fil-katina tal-firewall li kitbet l-azzjoni, mhux fil-lista tal-jail.

Aqra l-katina, mhux is-sommarju tal-jail

Il-fail2ban idaħħal il-katina tiegħu stess qabel il-katina tas-servizz, għalhekk lista tal-kontaturi turi eżatt x'hemm. Katina msemmija wara l-jail, li żżomm regola waħda li l-kolonna tal-protokoll tagħha taqra udp, hija spjegazzjoni sħiħa għad-dħul TCP li jkompli jasal. Jiġu miċħuda biss pakketti UDP mis-sors imblukkat. Is-servizz għandu semmiegħ TCP, u xejn f'dik il-katina ma jmissu.

Innota wkoll l-effett tal-jail ġirien. Host wieħed jista' jidher konfigurat perfettament biss għax jail ieħor iforni n-nofs nieqes, u l-istess build ma jagħmel xejn fejn dak il-jail mhuwiex installat.

L-azzjoni ssemmi protokoll wieħed, u hemmhekk tinkiser

Kull banaction huwa mudell ta' kmand tal-firewall, u l-protokoll joqgħod f'wieħed mill-placeholders tiegħu. Id-daqs żgħir huwa intenzjonat, għax jail tal-web u jail tad-DNS m'għandhomx x'jaqsmu ma' blokka ta' ports identiċi. Issir nassa meta s-servizz jisma' fuq aktar minn trasport wieħed, li d-daemons tal-VPN jagħmlu regolarment. Il-filter jista' josserva dħul fallut miż-żewġ trasporti waqt li l-azzjoni tkopri wieħed.

L-istallazzjonijiet ta' SoftEther u OpenVPN normalment jisimgħu fuq UDP u TCP fl-istess ħin, u għax il-linja tal-log tidher l-istess fiż-żewġ każijiet il-filter josserva t-tnejn. L-asimetrija qatt ma tidher fir-rapport tal-jail stess. Il-fail2ban għadd il-fallimenti b'mod korrett u mbagħad installa regola li tapplika għal nofs it-traffiku li fuqu waslu dawk il-fallimenti.

Agħmel il-ban ikopri ż-żewġ trasporti

Sewwiha mid-definizzjoni tal-jail minflok; regoli miktuba bl-idejn jiġu mħawda fir-riduċjar li jmiss. Ikteb żewġ azzjonijiet, waħda għal kull protokoll:

action = %(banaction)s[name=%(__name__)s-tcp, actionname=%(__name__)s-tcp, protocol="tcp", port="%(port)s", chain="%(chain)s"]
         %(banaction)s[name=%(__name__)s-udp, actionname=%(__name__)s-udp, protocol="udp", port="%(port)s", chain="%(chain)s"]

Tippruvax tqassar dan b'protocol = all. Il-banaction default hija azzjoni multiport, u tinxteħet għal -p <protocol> -m multiport --dports <port>; mingħajr protokoll L4 m'hemm xejn għat-tqabbil tal-port biex jittestja, għalhekk iptables jirrifjuta r-regola waqt li l-jail xorta tirrapporta ban ta' suċċess. Azzjoni tal-ports kollha bħal iptables-allports jew nftables-allports taċċetta entrata waħda, imma timblokka kull port f'dak is-sors, li hija deċiżjoni differenti u teħtieġ ġustifikazzjoni tagħha. Ħalli protocol fuq tcp jew udp u aċċetta ż-żewġ entrati.

Ipprova li r-regola teżisti minflok ma tafda fis-setting, għax setting jiddeskrivi intenzjoni sakemm katina żżommha:

iptables -S f2b-vpn-tcp
iptables -S f2b-vpn-udp

Kull katina għandha telenka regola waħda, b'-p tcp fl-ewwel u -p udp fit-tieni, u t-tnejn isemmu l-indirizz imblukkat. Imbagħad ikkonferma li l-istess indirizz jiġi rrifjutat fuq iż-żewġ trasporti. Ban li ma rajtx fil-katina huwa tama, u r-rapport li jmiss dwar l-istess sintomu jerġa' jiswa l-istess siegħa.

X'għadu jonqos minn ban, u l-każ li jmiss

Dak li tagħmel l-azzjoni huwa li tirrifjuta sors wieħed, u biss fuq il-ports elenkati fiha. Ma tagħmel xejn kontra attakkant li jdawwar l-indirizzi, u ma tistax tifred magna ostili minn ħruġ NAT tal-livell tat-trasportatur maqsum minn mijiet ta' utenti, fejn ban wieħed ma jħallix jidħlu nies li ma għamlu xejn. Kun żgur li l-filter jaqra l-indirizz li l-klijent tassew għandu, mhux intestatura mgħoddija jew indirizz ta' proxy. Żomm it-tieqa qasira biżżejjed biex żball jiskadi waħdu.

Xejn minn dan ma jargumenta biex tinqabeż is-sewwa tal-protokoll; jargumenta biex tinżamm żewġ ideat fl-istess ħin. Il-ban huwa eqreb milli jissuġġerixxi s-sommarju tal-jail, u anki ban sħiħ huwa eqreb mill-hedda. Qiegħed il-katina tal-firewall ħdejn il-lista tas-semmiegħa tad-daemon u qabbel protokoll b'protokoll, għax dawk iż-żewġ listi jiddeċiedu jekk ban jistax jilħaq is-servizz.

Żomm il-kmand tar-riduċjar u l-lista tal-katini fir-runbook ħdejn il-jail. Il-persuna li jmiss se jkollha bżonn it-tnejn, u s-sommarju tal-jail ma jgħidilhom xejn.