Fail2ban na VPN bráne: čo opraví a čo nie

Každá vystavená služba dostane rovnakú radu: nasaďte na ňu fail2ban. Pre VPN bránu táto rada nie je ani nesprávna, ani dostatočná, a práve prístup k nej ako k zaškrtávaciemu políčku pri spevňovaní vedie k tomu, že ľudia skončia s väzením (jail), ktoré neblokuje nič užitočné. Fail2ban číta záznamy o zlyhaniach, na ktoré ho nasmerujete, a žiada backend na presadzovanie, aby zablokoval zodpovedajúce zdroje. Celá jeho hodnota závisí od toho, ktorá plocha overovania záznam vytvorila, či je adresa v ňom skutočný klient a čo sa stane so všetkými ostatnými za touto adresou.

Čo je fail2ban mechanicky

Filter páruje riadky v logu, väzenie počíta zhody podľa zdroja a akcia uplatní blokovanie cez firewallový backend. Tri pohyblivé časti a každá môže byť nesprávna nezávisle.

Ani jedna z tých troch sa nedotýka cesty overovania: fail2ban reaguje na dôkazy až po fakte a sám nikdy neoveruje prihlasovacie údaje. Väzenie tak môže bežať čisto, zatiaľ čo plocha, ktorú pomenúva, zostáva presne tak vystavená ako predtým.

Poslucháč tunela nie je prihlasovací formulár

Poslucháč OpenVPN chránený tls-auth alebo tls-crypt zahadzuje pakety bez ochrany riadiaceho kanála skôr, než sa začne bežné spracovanie TLS. Skenner, ktorý nikdy nemá kľúč, nevygeneruje nič, čo by váš filter mohol spočítať. Overovanie certifikátom pridáva ďalšiu bránu, pretože nie je žiadne heslo na hádanie. Projekt Fail2ban dokumentuje všeobecný model riadený logmi a všeobecný VPN filter nepremení neoverený paket na zmysluplnú udalosť zlyhania.

Ak brána prijíma len certifikáty, príbeh o brute-force, proti ktorému sa bránite, na tom porte možno vôbec neexistuje.

Tak ktorú plochu vlastne chránite?

Ten istý host často vystavuje tri rôzne veci: poslucháča tunela, portál klientskych profilov alebo samoobsluhy a administračnú stránku. Portál a admin stránka majú formuláre s heslom a produkujú riadky logu, ktoré filter vie spočítať. Tunel môže produkovať len chyby handshake, ktoré znamenajú niečo úplne iné. Párujte väzenie s plochou, nie s názvom produktu.

Väzenie, ktoré sleduje nesprávny log, je horšie ako žiadne, pretože vytvára istotu bez pokrytia. Namierte prihlasovací filter na chyby handshake tunela a počítadlo sa spustí pri skeneroch, ktoré nikdy nemali kľúč, zatiaľ čo útok heslom na portál zostane nespočítaný. Prečítajte si riadok logu, ktorý filter páruje, než uveríte číslu väzenia.

Priradenie zdroja je slabý článok

Blokovanie je len také dobré, aká dobrá je adresa, na ktorú mieri. Keď služba stojí za lokálnym reverzným proxy, adresa klienta v logu môže byť proxy a jej zablokovanie odstráni všetkých. Dôvera v preposlanú hlavičku z nedôveryhodného zdroja dáva útočníkovi možnosť zablokovať ľubovoľné adresy. Na UDP možno zdrojové adresy podvrhnúť, takže ich počítanie si zaslúži väčšiu starostlivosť než počítanie dokončeného TCP prihlásenia.

Zapíšte metódu priradenia zdroja do README väzenia, pretože preposlaná hlavička z nedôveryhodného skoku mení blokovanie na zbraň.

Vedľajšie náklady sú iní ľudia

Niekoľko zamestnancov za jednou kancelárskou NAT zdieľa adresu, takže jedno zastarané uložené heslo môže po prekročení prahu uzamknúť celú kanceláriu. Log ukazuje jeden zdroj a jeden účet, ktoré zlyhali, nie výpadok celej kancelárie.

Krátke blokovania a mierne prahy to znižujú a zdokumentovaná cesta k odblokovaniu znižuje zaťaženie podpory, keď k tomu aj tak dôjde. Adresa je hrubý signál, nie identita a človek, ktorý založí tiket, opíše výpadok, nie prah.

Kedy to nasadiť a kedy opraviť niečo iné

Nasaďte to, keď na ploche, ktorú ovládate, existuje skutočné, priraditeľné a opakované zlyhanie online prihlásenia a keď backend na presadzovanie túto plochu skutočne pokrýva. Opravte niečo iné, keď je problémom slabá politika prihlasovacích údajov, administračná stránka vystavená internetu alebo účet, ktorý sa úspešne prihlasuje, pretože bol kompromitovaný. Blokovanie žiadny z týchto problémov neopraví a nedokáže pohltiť prevádzku, ktorá už zahltila vaše upstream spojenie. Posledný problém patrí vyššie po prúde, niekomu, kto vie filtrovať skôr, než pakety dorazia k vám.

Držte každé väzenie zviazané s jednou plochou, kontrolujte falošné poplachy a merajte vyhnutú prácu overovania, nie počet zablokovaných adries.