Fail2ban på ein VPN-gateway: kva det rettar og kva det ikkje rettar

Kvar eksponerte teneste får same rådet: set fail2ban på henne. For ein VPN-gateway er det rådet korkje gale eller nok, og nettopp å handsame det som ein avkryssingsboks i herdinga er korleis folk endar med eit fengsel (jail) som ikkje blokkerer noko nyttig. Fail2ban les feilregistreringane du peikar det mot, og ber ein handheving-backend om å stenge ute samsvarande kjelder. Heile verdien kjem an på kva autentiseringsflate som laga registreringa, om adressa i henne er den verkelege klienten, og kva som skjer med alle andre bak den adressa.

Kva fail2ban er, mekanisk sett

Eit filter matchar linjer i ein logg, eit fengsel tel treff per kjelde, og ei handling nyttar ei utestenging via ein brannmur-backend. Tre bevegelege delar, og kvar av dei kan vere feil uavhengig.

Ingen av dei tre rører autentiseringsvegen: fail2ban reagerer på prov i ettertid og validerer aldri sjølv ein legitimasjon. Eit fengsel kan difor køyre reint medan flata det namngir, held fram med å vere nøyaktig like eksponert som før.

Lyttaren til tunnelen er ikkje eit innloggingsskjema

Ein OpenVPN-lyttar verna med tls-auth eller tls-crypt kastar pakkar utan kontrollkanalvern før den vanlege TLS-handsaminga byrjar. Ein skannar som aldri har nøkkelen, genererer ingenting filteret ditt kan telje. Sertifikatautentisering legg til endå ei dør, fordi det ikkje finst noko passord å gjette. Fail2ban-prosjektet dokumenterer ein generell loggstyrt modell, og eit generisk VPN-filter gjer ikkje ein uautentisert pakke til ei meiningsfull feilhending.

Viss gatewayen berre godtek sertifikat, finst kanskje brute-force-historia du forsvarte deg mot, ikkje i det heile på den porten.

Så kva flate vernar du?

Den same verten eksponerer ofte tre ulike ting: lyttaren til tunnelen, ein klientprofil- eller sjølvbeteningsportal og ei administrasjonsside. Portalen og admin-sida har passordskjema og lagar logglinjer eit filter kan telje. Tunnelen lagar kanskje berre handtrykkfeil som tyder noko heilt anna. Match fengselet til flata, ikkje til produktnamnet.

Eit fengsel som overvakar feil logg er verre enn ingen, fordi det skaper tillit utan dekning. Rett eit innloggingsfilter mot handtrykkfeila til tunnelen, og teljaren slår ut på skannarar som aldri hadde ein nøkkel, medan eit passordangrep mot portalen ikkje blir talt. Les logglinja filteret matchar før du stolar på talet til fengselet.

Kjeldetilskriving er den svake lenkja

Eit forbod er berre så godt som adressa det rettar seg mot. Når tenesta ligg bak ein lokal omvend proxy, kan klientadressa i loggen vere proxyen, og å stenge han ute fjernar alle. Å stole på ein vidaresend header frå ei kjelde ein ikkje stolar på, gjev ein åtakar moglegheita til å stenge ute vilkårlege adresser. På UDP kan kjeldeadresser falskast, så å telje dei fortener meir omhug enn å telje ei fullført TCP-innlogging.

Skriv ned metoden for kjeldetilskriving i README til fengselet, fordi ein vidaresend header frå eit hopp ein ikkje stolar på, gjer eit forbod til eit våpen.

Kostnaden er andre menneske

Fleire tilsette bak ein kontor-NAT deler ei adresse, så eitt gamalt lagra passord kan låse heile kontoret ute når terskelen blir passert. Loggen viser éi kjelde og éin konto som feila, ikkje eit utfall for heile kontoret.

Korte forbod og moderate tersklar reduserer dette, og ein dokumentert veg for å oppheve forbodet reduserer støttebelastninga når det likevel skjer. Adressa er eit grovt signal snarare enn ein identitet, og personen som opnar saka vil skildre utfallet, ikkje terskelen.

Når ein skal ta det i bruk, og når ein skal rette noko anna

Ta det i bruk når det finst ein reell, tilskrivbar, gjenteken netthinloggingsfeil på ei flate du kontrollerer, og når handheving-backenden faktisk dekkjer den flata. Rett noko anna når problemet er ein svak legitimasjonspolitikk, ei administrasjonsside eksponert mot internett, eller ein konto som loggar inn med suksess fordi han er kompromittert. Eit forbod kan ikkje reparere noko av dette og kan ikkje absorbere trafikk som allereie har metta uplinken din. Det siste problemet høyrer lenger oppstraums, hos nokon som kan filtrere før pakkane når deg.

Hald kvart fengsel knytt til éi flate, gå gjennom falske positivar, og mæl det unngåtte autentiseringsarbeidet i staden for talet på utestengde adresser.