එක් banaction එකක්, ප්‍රවාහන දෙකක්: fail2ban-VPN-jail නිවැරදි කිරීම

fail2ban තුළ කිසිවක් තමාම පැකට් එකක් නොදමයි: එය ක්‍රියාවක් අමතන අතර, එම ක්‍රියාවම ප්‍රොටෝකෝලය සහ පෝර්ටය නම් කරයි. jail එකක් ban එකක් වාර්තා කරන අතරේම ඩීමන් ලොගින් පිළිගනිමින් සිටින විට, එම ban සාමාන්‍යයෙන් සැබෑ ය, ලොගය යෝජනා කරනවාට වඩා පටු ය. අනෙක් ප්‍රවාහනය හරහා නැවත සම්බන්ධ වන සේවාලාභියා ස්ථාපිත නියමයට කිසිදා හමු නොවේ. යමක් වෙනස් කිරීමට පෙර ක්‍රියාව ස්ථාපිත කළ දේ සහ ඩීමන් සවන් දෙන දේ සසඳන්න, මන්ද සාක්ෂිය පවතින්නේ ක්‍රියාව ලියූ ෆයර්වෝල් දාමයේ ය, jail ලැයිස්තුවේ නොවේ.

දාමය කියවන්න, jail සාරාංශය නොවේ

fail2ban එහි දාමය සේවා දාමයට පෙර ඇතුළු කරයි, එබැවින් ගණක ලැයිස්තුවක් පවතින දේ හරියටම පෙන්වයි. jail නමින් නම් කළ දාමයක් තුළ එක් නියමයක් තිබේ නම්, එහි ප්‍රොටෝකෝල තීරුව udp ලෙස කියවේ නම්, එය අඛණ්ඩව පැමිණෙන TCP ලොගින් සඳහා සම්පූර්ණ පැහැදිලි කිරීමකි. අවහිර කළ මූලාශ්‍රයෙන් එන UDP පැකට් පමණක් ප්‍රතික්ෂේප වේ. සේවාවට TCP සවන්දීමක් ඇත, එම දාමයේ කිසිවක් එය ස්පර්ශ නොකරයි.

අසල්වැසි jail ආචරණය ද සැලකිල්ලට ගන්න. එක් සත්කාරකයක් සම්පූර්ණයෙන් වින්‍යාසගත ලෙස පෙනිය හැක්කේ වෙනත් jail එකක් අතුරුදහන් වූ අර්ධය සපයන නිසා පමණි, එම build එකම එම jail ස්ථාපිත නොමැති තැන කිසිවක් නොකරයි.

ක්‍රියාව එක් ප්‍රොටෝකෝලයක් නම් කරයි, එතැනම එය කැඩේ

සෑම banaction එකක්ම ෆයර්වෝල් විධාන අච්චුවකි, ප්‍රොටෝකෝලය එහි එක් ස්ථාන දරන්නෙකු තුළ ය. මෙම පටු බව චේතනාන්විත ය, මන්ද වෙබ් jail එකකට සහ DNS jail එකකට සමාන පෝර්ට අවහිර කිරීමේ කටයුත්තක් නැත. සේවාව එකකට වඩා ප්‍රවාහනයක් මත සවන් දෙන විට මෙය උගුලක් බවට පත් වේ, VPN ඩීමන් සාමාන්‍යයෙන් එසේ කරයි. පෙරහනට ප්‍රවාහන දෙකේම අසාර්ථක ලොගින් දැකිය හැකි නමුත් ක්‍රියාව එකක් පමණක් ආවරණය කරයි.

SoftEther සහ OpenVPN වින්‍යාසයන් සාමාන්‍යයෙන් එකවර UDP සහ TCP මත සවන් දෙන අතර, ලොග් පේළිය දෙකම එකම ලෙස පෙනෙන බැවින් පෙරහන දෙකම නිරීක්ෂණය කරයි. මෙම අසමමිතිය jail හිම වාර්තාවේ කිසිදා නොපෙනේ. fail2ban අසාර්ථකතා නිවැරදිව ගණන් කර, ඉන්පසු එම අසාර්ථකතා පැමිණි ට්‍රැෆිකයේ අර්ධයට අදාළ වන නියමයක් ස්ථාපිත කළේය.

ban ප්‍රවාහන දෙකම ආවරණය කරන ලෙස සලසන්න

එය jail අර්ථ දැක්වීමේම නිවැරදි කරන්න; අතින් ලියූ නියම ඊළඟ නැවත පූරණයේදී මිශ්‍ර වේ. සෑම ප්‍රොටෝකෝලයකටම එක බැගින් ක්‍රියා දෙකක් පැහැදිලිව ලියන්න:

action = %(banaction)s[name=%(__name__)s-tcp, actionname=%(__name__)s-tcp, protocol="tcp", port="%(port)s", chain="%(chain)s"]
         %(banaction)s[name=%(__name__)s-udp, actionname=%(__name__)s-udp, protocol="udp", port="%(port)s", chain="%(chain)s"]

එය protocol = all සමඟ කෙටි කිරීමට උත්සාහ නොකරන්න. පෙරනිමි banaction යනු multiport ක්‍රියාවකි, එය -p <protocol> -m multiport --dports <port> දක්වා විහිදේ; L4 ප්‍රොටෝකෝලයක් නොමැති විට පෝර්ට ගැලපීමට පරීක්ෂා කිරීමට කිසිවක් නැත, එබැවින් iptables නියමය ප්‍රතික්ෂේප කරයි, නමුත් jail තවමත් සාර්ථක ban එකක් වාර්තා කරයි. iptables-allports හෝ nftables-allports වැනි සියලු පෝර්ට ක්‍රියාවක් එක් සටහනක් පිළිගනී, නමුත් එම මූලාශ්‍රයේ සෑම පෝර්ටයක්ම අවහිර කරයි, එය වෙනස් තීරණයක් වන අතර එයටම තර්කනයක් අවශ්‍ය වේ. protocol tcp හෝ udp මත තබා සටහන් දෙකම පිළිගන්න.

වින්‍යාසය විශ්වාස කිරීම වෙනුවට නියමය පවතින බව ඔප්පු කරන්න, මන්ද දාමයක් එය රඳවා ගන්නා තෙක් වින්‍යාසය අදහසක් පමණක් විස්තර කරයි:

iptables -S f2b-vpn-tcp
iptables -S f2b-vpn-udp

සෑම දාමයක්ම එක් නියමයක් ලැයිස්තුගත කළ යුතුය, පළමුවැන්නෙහි -p tcp සහ දෙවැන්නෙහි -p udp, දෙකම අවහිර කළ ලිපිනය නම් කරයි. ඉන්පසු එම ලිපිනයම ප්‍රවාහන දෙකේම ප්‍රතික්ෂේප වන බව තහවුරු කරන්න. දාමයේ නොදුටු ban එකක් යනු බලාපොරොත්තුවකි, එම රෝග ලක්ෂණයේ ඊළඟ වාර්තාව නැවත එම පැයම වැය කරනු ඇත.

ban තවමත් මග හරින දේ, සහ ඊළඟ සිද්ධිය

ක්‍රියාව කරන්නේ එක් මූලාශ්‍රයක් ප්‍රතික්ෂේප කිරීමයි, එයද එහි ලැයිස්තුගත පෝර්ටවල පමණි. ලිපින මාරු කරන ප්‍රහාරකයෙකුට එරෙහිව එය කිසිවක් නොකරයි, සහ සියගණන් පරිශීලකයින් බෙදාගන්නා වාහක මට්ටමේ NAT පිටවීමකින් සතුරු යන්ත්‍රයක් වෙන් කළ නොහැක, එහිදී එක් ban එකක් කිසිවක් නොකළ අය ඉවත් කරයි. පෙරහන සේවාලාභියාට සැබවින්ම ඇති ලිපිනය කියවන බව සහතික කරන්න, යොමු කළ ශීර්ෂකයක් හෝ ප්‍රොක්සි ලිපිනයක් නොවේ. වැරැද්දක් තමාම කල් ඉකුත් වන තරම් කවුළුව කෙටි කර තබන්න.

මේ කිසිවක් ප්‍රොටෝකෝල නිවැරදි කිරීම මඟ හැරීමට තර්ක නොකරයි; එය අදහස් දෙකක් එකවර රඳවා ගැනීමට තර්ක කරයි. ban jail සාරාංශය යෝජනා කරනවාට වඩා පටු ය, සම්පූර්ණ ban එකක් පවා තර්ජනයට වඩා පටු ය. ෆයර්වෝල් දාමය ඩීමන්ගේ සවන්දෙන්නන් ලැයිස්තුව අසල තබා ප්‍රොටෝකෝලයෙන් ප්‍රොටෝකෝලය සසඳන්න, මන්ද ban එකකට සේවාවට ළඟා විය හැකිද යන්න තීරණය කරන්නේ එම ලැයිස්තු දෙකයි.

නැවත පූරණ විධානය සහ දාම ලැයිස්තුව jail අසල රන්බුක් තුළ තබන්න. ඊළඟ පුද්ගලයාට දෙකම අවශ්‍ය වනු ඇත, jail සාරාංශය ඔහුට එකක්වත් නොකියනු ඇත.