Fail2ban në një portë VPN: çfarë rregullon dhe çfarë jo

Çdo shërbim i ekspozuar merr të njëjtin këshillë: vendos fail2ban mbi të. Për një portë VPN ai këshillë as nuk është i gabuar as i mjaftueshëm, dhe pikërisht trajtimi i tij si një kutizë në forcim është mënyra se si njerëzit përfundojnë me një burg (jail) që nuk bllokon asgjë të dobishme. Fail2ban lexon regjistrat e dështimeve ku e drejton dhe i kërkon një backend zbatimi të bllokojë burimet që përputhen. E gjithë vlera e tij varet nga ajo se cila sipërfaqe vërtetimi e prodhoi regjistrin, nëse adresa në të është klienti i vërtetë dhe çfarë ndodh me të gjithë të tjerët pas asaj adrese.

Çfarë është fail2ban mekanikisht

Një filtër përputh rreshtat në një regjistër, një burg numëron përputhjet për burim dhe një veprim zbaton një bllokim përmes një backend muri zjarri. Tre pjesë të lëvizshme, dhe secila mund të jetë e gabuar në mënyrë të pavarur.

Asnjëra prej të treve nuk prek rrugën e vërtetimit: fail2ban reagon ndaj provave pas faktit dhe nuk vërteton kurrë vetë një kredencial. Prandaj një burg mund të punojë pastër ndërsa sipërfaqja që emërton mbetet saktësisht aq e ekspozuar sa më parë.

Dëgjuesi i tunelit nuk është formular hyrjeje

Një dëgjues OpenVPN i mbrojtur me tls-auth ose tls-crypt hedh poshtë paketat pa mbrojtjen e kanalit të kontrollit përpara se të fillojë përpunimi normal i TLS. Një skaner që nuk e ka kurrë çelësin nuk prodhon asgjë që filtri yt mund të numërojë. Vërtetimi me certifikatë shton një portë tjetër, sepse nuk ka fjalëkalim për të hamendësuar. Projekti Fail2ban dokumenton një model të përgjithshëm të drejtuar nga regjistrat, dhe një filtër VPN i përgjithshëm nuk e kthen një paketë të pavërtetuar në një ngjarje dështimi kuptimplotë.

Nëse porta pranon vetëm certifikata, historia e brute-force kundër së cilës mbrohesh mund të mos ekzistojë fare në atë portë.

Pra cilën sipërfaqe po mbron?

I njëjti host shpesh ekspozon tre gjëra të ndryshme: dëgjuesin e tunelit, një portal profili klienti ose vetëshërbimi dhe një faqe administrimi. Portali dhe faqja e administrimit kanë formularë fjalëkalimi dhe prodhojnë rreshta regjistri që një filtër mund të numërojë. Tuneli mund të prodhojë vetëm gabime shtrëngimi duarsh që nënkuptojnë diçka krejt tjetër. Përputh burgun me sipërfaqen, jo me emrin e produktit.

Një burg që vëzhgon regjistrin e gabuar është më keq se asnjë, sepse krijon besim pa mbulim. Drejto një filtër hyrjeje te gabimet e shtrëngimit të duarve të tunelit dhe numëruesi do të aktivizohet te skanerët që nuk kishin kurrë çelës, ndërsa një sulm me fjalëkalim ndaj portalit mbetet i panumëruar. Lexo rreshtin e regjistrit që filtri përputh para se t'i besosh numrit të burgut.

Atribuimi i burimit është hallka e dobët

Një bllokim vlen aq sa adresa që synon. Kur shërbimi qëndron pas një proxy të kundërt lokal, adresa e klientit në regjistër mund të jetë vetë proxy-ja, dhe bllokimi i saj heq të gjithë. Të besosh një header të përçuar nga një burim i pasigurt i jep një sulmuesi aftësinë të bllokojë adresa arbitrare. Në UDP adresat e burimit mund të falsifikohen, ndaj numërimi i tyre kërkon më shumë kujdes sesa numërimi i një hyrjeje TCP të përfunduar.

Regjistro metodën e atribuimit të burimit në README-në e burgut, sepse një header i përçuar nga një hop i pasigurt e kthen një bllokim në armë.

Kostoja anësore janë njerëzit e tjerë

Disa punonjës pas një NAT zyre ndajnë një adresë, kështu që një fjalëkalim i vjetër i ruajtur mund të bllokojë të gjithë zyrën sapo kalohet pragu. Regjistri tregon një burim dhe një llogari që dështuan, jo një ndërprerje të gjithë zyrës.

Bllokimet e shkurtra dhe pragjet e matura e zvogëlojnë këtë, dhe një rrugë e dokumentuar për të hequr bllokimin zvogëlon ngarkesën e mbështetjes kur ndodh gjithsesi. Adresa është një sinjal i trashë, jo identitet, dhe personi që hap biletën do të përshkruajë ndërprerjen, jo pragun.

Kur ta miratosh dhe kur të rregullosh diçka tjetër

Miratoje kur ka një dështim hyrjeje online të vërtetë, të atribueshëm dhe të përsëritur në një sipërfaqe që kontrollon, dhe kur backend-i i zbatimit e mbulon vërtet atë sipërfaqe. Rregullo diçka tjetër kur problemi është një politikë e dobët kredencialesh, një faqe menaxhimi e ekspozuar në internet ose një llogari që hyn me sukses sepse është komprometuar. Një bllokim nuk mund të rregullojë asnjërën prej tyre dhe nuk mund të thithë trafikun që tashmë ka ngopur uplink-un tënd. Ai problemi i fundit i takon më lart, dikujt që mund të filtrojë përpara se paketat të arrijnë te ti.

Mbaj çdo burg të lidhur me një sipërfaqe, rishiko pozitivët e rremë dhe mat punën e vërtetimit të shmangur në vend të numrit të adresave të bllokuara.