Hal banaction, laba gaadiid: dayactirka jail-ka fail2ban ee VPN

Waxba ku jira fail2ban isagu ma tuuro baakad: wuxuu wacaa fal, oo falkaas ayaa magacaabaya borotokoolka iyo dekedda. Marka jail-ku soo sheego ban halka daemon-ku sii wado aqbalidda galitaanka, bantu badanaa waa run oo ka cidhiidhsan waxa log-ku tilmaamayo. Macmiilka ku soo xirmaa gaadiidka kale waligiis ma la kulmo qaanuunka la rakibay. Ka hor inta aanad wax beddelin, isbarbar dhig waxa falku rakibay iyo waxa daemon-ku dhageysto, maxaa yeelay caddayntu waxay ku jirtaa silsiladda dab-damiska ee falku qoray, ma aha liiska jail-ka.

Akhri silsiladda, ma aha soo-koobka jail-ka

fail2ban wuxuu silsiladdiisa geliyaa silsiladda adeegga horteeda, sidaas darteed liiska tirsadayaashu waxay si sax ah u muujinayaan waxa jira. Silsilad lagu magacaabay jail-ka oo haysta hal qaanuun oo tiirka borotokoolkiisu akhriyo udp waa sharraxaad buuxda galitaanka TCP ee sii socda. Kaliya baakadaha UDP ee ka imanaya isha la xannibay ayaa la diidayaa. Adeeggu wuxuu leeyahay dhegeyste TCP, oo waxba silsiladdaas ku jira ma taabto.

Ogow sidoo kale saameynta jail-ka deriska. Hal martigeliye wuxuu u ekaan karaa mid si fiican loo habeeyay kaliya sababtoo ah jail kale ayaa bixiya qaybta maqan, isla build-kaasna waxba ma qabto meesha jail-kaas aan lagu rakibin.

Falku wuxuu magacaabaa hal borotokool, oo halkaas ayuu ku jabaa

Banaction kastaa waa qaab amarka dab-damiska, borotokoolkuna wuxuu ku jiraa mid ka mid ah meelaha bannaan. Cidhiidhka waa ula kac, maxaa yeelay jail web iyo jail DNS waxba kama qabaan xannibidda dekedo isku mid ah. Waxay noqotaa dabin marka adeeggu dhageysto wax ka badan hal gaadiid, taas oo daemon-ada VPN ay caadi ahaan sameeyaan. Shaandhuhu wuxuu arki karaa galitaan guuldareystay oo ka yimaada labada gaadiid halka falku daboolayo mid.

SoftEther iyo OpenVPN rakibaadkoodu badanaa waxay dhageystaan UDP iyo TCP isku mar, oo sababtoo ah xariiqda log-ku isku mid ayay u muuqataa labada xaaladood, shaandhuhu wuxuu arkaa labadaba. Asymmetry-ga waligiis kama muuqdo warbixinta jail-ka laftiisa. fail2ban si sax ah ayuu u tiriyay guuldarrooyinka ka dibna wuxuu rakibay qaanuun khuseeya kala bar taraafikada ay guuldarrooyinkaasi ku yimaadeen.

Ka dhig ban-ku inuu daboolo labada gaadiid

Hagaajinta ku samee qeexidda jail-ka; qaanuunnada gacanta lagu qoray ayaa dib-u-rakibidda xigta isku qasan doona. Qor laba fal, mid kasta oo borotokool ah:

action = %(banaction)s[name=%(__name__)s-tcp, actionname=%(__name__)s-tcp, protocol="tcp", port="%(port)s", chain="%(chain)s"]
         %(banaction)s[name=%(__name__)s-udp, actionname=%(__name__)s-udp, protocol="udp", port="%(port)s", chain="%(chain)s"]

Ha isku dayin inaad ku gaabiso protocol = all. Banaction-ka caadiga ah waa fal multiport, oo wuxuu u ballaadhaa -p <protocol> -m multiport --dports <port>; borotokool L4 la'aan waxba ma jiraan ay isbarbardhigga dekeddu tijaabiyo, sidaas darteed iptables wuu diidaa qaanuunka halka jail-ku wali soo sheegayo ban guuleystay. Fal dekedo kasta sida iptables-allports ama nftables-allports wuxuu aqbalaa hal gelin, laakiin wuxuu xannibaa deked kasta oo ku taal ishaas, taas oo ah go'aan kale oo u baahan caddayn u gaar ah. Ka tag protocol tcp ama udp oo aqbal labada gelin.

Caddee in qaanuunku jiro halkii aad ku kalsoonaan lahayd dejinta, maxaa yeelay dejintu waxay qeexdaa ujeeddo ilaa silsilad haysato:

iptables -S f2b-vpn-tcp
iptables -S f2b-vpn-udp

Silsilad kastaa waa inay taxdaa hal qaanuun, iyadoo -p tcp ku jiro tan koowaad iyo -p udp tan labaad, labaduba waxay magacaabaan cinwaanka la xannibay. Kadib xaqiiji in isla cinwaankaas laga diido labada gaadiid. Ban aanad ku arag silsiladda waa rajo, oo warbixinta xigta ee isla calaamaddaas ayaa mar kale kharash gelin doonta isla saacaddaas.

Waxa ban-ku wali seegto, iyo kiiska xiga

Waxa falku sameeyo waa diidmo hal isha, oo kaliya dekedaha ku taxan. Waxba kama qabto weeraryahan beddela cinwaannada, mana kala saari karo mishiin cadowga ah iyo bixitaanka NAT heerka shirkadda oo boqolaal isticmaale wadaagaan, halkaas oo hal ban ka xiro dad aan waxba qaban. Hubi in shaandhuhu akhriyo cinwaanka uu macmiilku dhab ahaan haysto, ma aha madax la gudbiyay ama cinwaan proxy. Hay daaqadda riix ku filan si khalad iskiis u dhamaado.

Wax ka mid ah kuwani ma doodayaan in la boodo dayactirka borotokoolka; waxay doodayaan in laba fikrad la hayo isku mar. Ban-ku wuu ka cidhiidhsan yahay waxa soo-koobka jail-ku soo jeediyo, xitaa ban buuxa wuu ka cidhiidhsan yahay khatarta. Dhig silsiladda dab-damiska agteeda liiska dhegeystayaasha daemon-ka oo isbarbar dhig borotokool kasta, maxaa yeelay labadaas liis ayaa go'aaminaya in ban-ku adeegga gaari karo.

Hay amarka dib-u-rakibidda iyo liiska silsiladaha runbook-ga agtiisa jail-ka. Qofka xiga wuxuu u baahan doonaa labadaba, soo-koobka jail-kana waxba kama sheegayo midkoodna.