په VPN ګیټ وې کې Fail2ban: څه سمولي شي او څه نه

هره افشا شوې خدمت ورته مشوره ترلاسه کوي: پرې fail2ban کیږدئ. د VPN ګیټ وې لپاره دا مشوره نه غلطه ده او نه کافي، او د سختولو د ټیک په توګه ورته کتل هغه لاره ده چې خلک له هغه jail سره پاتې کیږي چې هیڅ ګټور شی نه بندوي. Fail2ban هغه د ناکامۍ ریکارډونه لولي چې تاسو ورته اشاره کوئ او د پلي کولو backend ته وایي چې ورته سرچینې بندې کړي. ټول ارزښت یې په دې پورې اړه لري چې کومه تصدیق سطحه ریکارډ جوړ کړی، په هغې کې پته ریښتینی پیرودونکی ده که نه، او د هغې پتې شاته نورو ټولو ته څه پیښیږي.

له میخانیکي پلوه fail2ban څه دی

فلټر د لاګ کرښې سره سمون خوري، jail د هرې سرچینې لپاره سمونونه شمېري، او عمل د اور وژنې backend له لارې بندیز پلي کوي. درې خوځنده برخې، او هر یو یې په خپلواکه توګه غلط کیدای شي.

له درېیو هیڅ یو هم د تصدیق لارې ته نه رسي: fail2ban له پیښې وروسته پر شاهدانو غبرګون ښیي او هېڅکله پخپله کوم اعتبار نه تاییدوي. نو jail کولای شي پاک کار وکړي، په داسې حال کې چې هغه سطحه چې نوم یې اخلي لکه مخکې هماغسې افشا پاتې وي.

د تونل اوریدونکی د لاګین فورم نه دی

OpenVPN اوریدونکی چې په tls-auth یا tls-crypt سره خوندي دی، هغه پاکټونه غورځوي چې د کنټرول چینل خوندیتوب نلري، مخکې لدې چې عادي TLS پروسس پیل شي. هغه سکینر چې هېڅکله کیلي نه لري، هغه څه نه جوړوي چې ستاسو فلټر یې شمېرلی شي. د سند تصدیق یوه بله دروازه زیاتوي، ځکه چې د اټکل کولو لپاره پټنوم نشته. د Fail2ban پروژه یو عمومي د لاګ پر بنسټ ماډل مستندوي، او عمومي VPN فلټر غیر تصدیق شوی پاکټ په معنی لرونکې ناکامۍ پیښه نه بدلوي.

که ګیټ وې یوازې سندونه ومني، هغه brute-force کیسه چې تاسو ترې ځان ساتئ ممکن په هغه پورټ کې هیڅکله نه وي.

نو تاسو کومه سطحه ساتئ؟

یو هوسټ ډیری وخت درې مختلف شیان افشا کوي: د تونل اوریدونکی، د پیرودونکي پروفایل یا ځان خدمت پورټل، او د ادارې پاڼه. پورټل او د ادارې پاڼه پټنوم فورمونه لري او د لاګ کرښې جوړوي چې فلټر یې شمېرلی شي. تونل ممکن یوازې د لاس ورکولو هغه تېروتنې جوړې کړي چې بشپړ بل معنی لري. jail له محصول نوم سره نه، له سطحې سره سم کړئ.

هغه jail چې غلط لاګ ګوري له هیڅ jail څخه بدتر دی، ځکه چې پرته له پوښښ باور جوړوي. لاګین فلټر د تونل د لاس ورکولو تېروتنو ته وګرځوئ او شمېرونکی به هغه سکینرونو کې ووهي چې هېڅکله کیلي نه لري، په داسې حال کې چې پورټل ته د پټنوم برید به ونه شمېرل شي. مخکې لدې چې د jail شمېرې باور وکړئ، هغه لاګ کرښه ولولئ چې فلټر سره سمون خوري.

د سرچینې نسبت کمزورې کړۍ ده

بندیز یوازې هومره ښه دی څومره چې هدف پته یې ښه ده. کله چې خدمت د ځایي معکوس پروکسي شاته وي، په لاګ کې د پیرودونکي پته ممکن پخپله پروکسي وي، او بندول یې ټول لرې کوي. له غیر باوري سرچینې څخه راغلي لیږل شوي هیدر باور کول بریدګر ته د خپل خوښې پتو بندولو وړتیا ورکوي. په UDP کې د سرچینې پتې جعل کیدای شي، نو شمېرل یې د بشپړ شوي TCP لاګین شمېرلو څخه ډیر پاملرنه غواړي.

د سرچینې نسبت طریقه د jail په README کې ولیکئ، ځکه چې له غیر باوري هپ څخه راغلی لیږل شوی هیدر بندیز په وسله بدلوي.

په څنګ کې لګښت نور خلک دي

د یو دفتر NAT شاته څو کارکوونکي یوه پته شریکوي، نو یو زوړ خوندي شوی پټنوم کولای شي چې د حد له تیریدو سره ټول دفتر لاک کړي. لاګ یوه سرچینه او یو حساب ښیي چې ناکام شول، نه د ټول دفتر خنډ.

لنډ بندیزونه او منځني حدونه دا کموي، او مستند شوی د بندیز د لرې کولو لار د تګ راتګ بار کموي کله چې دا بیا هم پیښیږي. پته یوه سترګې نښه، نه هویت ده، او هغه څوک چې ټکټ پرانیزي به د حد نه، د خنډ بیان کړي.

کله یې ومنو، او کله بل څه سم کړو

هغه وخت یې ومنئ چې ستاسو په کنټرول سطحه کې ریښتینی، نسبت کیدونکی، تکراریدونکی آنلاین لاګین ناکامي وي، او کله چې د پلي کولو backend هغه سطحه واقعاً پوښي. بل څه سم کړئ کله چې ستونزه کمزوره د اعتبار پالیسي، انټرنیټ ته افشا شوې اداره پاڼه، یا هغه حساب وي چې په بریالیتوب سره ننوځي ځکه چې زیانمن شوی. بندیز د دې هیڅ یو نه شي سمولای او نه هغه ټرافیک جذبولای شي چې ستاسو اپلینک یې دمخه اشباع کړی. هغه وروستې ستونزه پورته، هغه چاته اړه لري چې کولای شي مخکې لدې چې پاکټونه تاسو ته ورسي فلټر کړي.

هر jail له یوې سطحې سره وتړئ، غلط مثبتونه وګورئ، او د بند شوو پتو شمېر پرځای د مخنیوي شوي تصدیق کار اندازه کړئ.