VPN கேட்வேயில் Fail2ban: எதைச் சரிசெய்கிறது, எதைச் சரிசெய்யாது

ஒவ்வொரு வெளிப்படுத்தப்பட்ட சேவையும் ஒரே ஆலோசனையைப் பெறுகிறது: அதில் fail2ban வைக்கவும். VPN கேட்வேக்கு அந்த ஆலோசனை தவறானதும் இல்லை, போதுமானதும் இல்லை, அதைக் கடினப்படுத்தலின் ஒரு சரிபார்ப்புக் குறியாகக் கருதுவதே பயனுள்ள எதையும் தடுக்காத jail உடன் மக்கள் முடிவதற்குக் காரணம். Fail2ban நீங்கள் சுட்டிக்காட்டும் தோல்விப் பதிவுகளைப் படித்து, பொருந்தும் மூலங்களைத் தடுக்க ஒரு செயலாக்க backend-ஐக் கேட்கிறது. அதன் முழு மதிப்பும் எந்த அங்கீகார மேற்பரப்பு பதிவை உருவாக்கியது, அதிலுள்ள முகவரி உண்மையான கிளையண்டா, அந்த முகவரிக்குப் பின்னால் உள்ள மற்ற அனைவருக்கும் என்ன நடக்கிறது என்பதைப் பொறுத்தது.

இயந்திரவியலாக fail2ban என்பது என்ன

ஒரு வடிகட்டி பதிவின் வரிகளைப் பொருத்துகிறது, ஒரு jail மூலத்திற்கு ஏற்ப பொருத்தங்களை எண்ணுகிறது, ஒரு செயல் ஃபயர்வால் backend வழியாகத் தடையைப் பயன்படுத்துகிறது. மூன்று நகரும் பகுதிகள், ஒவ்வொன்றும் தனித்தனியாகத் தவறாக இருக்கலாம்.

மூன்றில் எதுவும் அங்கீகாரப் பாதையைத் தொடுவதில்லை: fail2ban நிகழ்வுக்குப் பிறகு சான்றுகளுக்குப் பதிலளிக்கிறது, ஒருபோதும் தானே ஒரு சான்றுகளைச் சரிபார்க்காது. எனவே jail சுத்தமாக இயங்கலாம், அது பெயரிடும் மேற்பரப்பு முன்பைப் போலவே வெளிப்பட்டிருக்கும்.

சுரங்கப் பாதையின் கேட்பான் உள்நுழைவுப் படிவம் அல்ல

OpenVPN கேட்பான் tls-auth அல்லது tls-crypt ஆல் பாதுகாக்கப்பட்டிருந்தால், சாதாரண TLS செயலாக்கம் தொடங்குவதற்கு முன் கட்டுப்பாட்டு-கால்வாய்ப் பாதுகாப்பு இல்லாத பாக்கெட்டுகளை வீசுகிறது. ஒருபோதும் சாவி இல்லாத ஸ்கேனர் உங்கள் வடிகட்டி எண்ணக்கூடிய எதையும் உருவாக்குவதில்லை. சான்றிதழ் அங்கீகாரம் மற்றொரு வாயிலைச் சேர்க்கிறது, ஏனெனில் ஊகிக்க கடவுச்சொல் இல்லை. Fail2ban திட்டம் ஒரு பொதுவான பதிவு-இயக்க மாதிரியை ஆவணப்படுத்துகிறது, பொதுவான VPN வடிகட்டி அங்கீகரிக்கப்படாத பாக்கெட்டை அர்த்தமுள்ள தோல்வி நிகழ்வாக மாற்றாது.

கேட்வே சான்றிதழ்களை மட்டும் ஏற்றுக்கொண்டால், நீங்கள் பாதுகாக்கும் brute-force கதை அந்த போர்ட்டில் இல்லாமலே இருக்கலாம்.

அப்படியானால் எந்த மேற்பரப்பைப் பாதுகாக்கிறீர்கள்?

ஒரே ஹோஸ்ட் பெரும்பாலும் மூன்று வெவ்வேறு விஷயங்களை வெளிப்படுத்துகிறது: சுரங்கப் பாதையின் கேட்பான், கிளையண்ட்-சுயவிவரம் அல்லது சுய-சேவை போர்ட்டல், மற்றும் நிர்வாகப் பக்கம். போர்ட்டலிலும் நிர்வாகப் பக்கத்திலும் கடவுச்சொல் படிவங்கள் உள்ளன, வடிகட்டி எண்ணக்கூடிய பதிவு வரிகளை உருவாக்குகின்றன. சுரங்கப் பாதை முற்றிலும் வேறு அர்த்தமுள்ள கைக்குலுக்கல் பிழைகளை மட்டும் உருவாக்கலாம். jail-ஐ தயாரிப்பு பெயருடன் அல்ல, மேற்பரப்புடன் பொருத்துங்கள்.

தவறான பதிவைப் பார்க்கும் ஒரு jail எந்த jail-ஐ விடவும் மோசம், ஏனெனில் அது பாதுகாப்பு இல்லாமல் நம்பிக்கையை உருவாக்குகிறது. உள்நுழைவு வடிகட்டியைச் சுரங்கப் பாதையின் கைக்குலுக்கல் பிழைகளை நோக்கித் திருப்புங்கள், ஒருபோதும் சாவி இல்லாத ஸ்கேனர்களில் கணக்கு ஒலிக்கும், ஆனால் போர்ட்டலுக்கு எதிரான கடவுச்சொல் தாக்குதல் எண்ணப்படாது. jail-இன் எண்ணை நம்புவதற்கு முன் வடிகட்டி பொருத்தும் பதிவு வரியைப் படியுங்கள்.

மூல பண்புக்கூறு பலவீனமான இணைப்பு

ஒரு தடை அது இலக்காகக் கொள்ளும் முகவரியைப் போலவே நல்லது. சேவை உள்ளூர் தலைகீழ் ப்ராக்ஸிக்குப் பின்னால் இருக்கும்போது, பதிவில் உள்ள கிளையண்ட் முகவரி ப்ராக்ஸியாக இருக்கலாம், அதைத் தடுப்பது அனைவரையும் நீக்கும். நம்பமுடியாத மூலத்திலிருந்து அனுப்பப்பட்ட தலைப்பை நம்புவது தாக்குபவருக்கு தன்னிச்சையான முகவரிகளைத் தடுக்கும் திறனை அளிக்கிறது. UDP-இல் மூல முகவரிகள் போலியாக்கப்படலாம், எனவே அவற்றை எண்ணுவது முடிக்கப்பட்ட TCP உள்நுழைவை எண்ணுவதை விட அதிக கவனம் தேவை.

மூல பண்புக்கூறு முறையை jail-இன் README-இல் பதிவு செய்யுங்கள், ஏனெனில் நம்பமுடியாத ஹாப்பிலிருந்து அனுப்பப்பட்ட தலைப்பு தடையை ஆயுதமாக மாற்றுகிறது.

பக்கச் செலவு மற்ற மக்கள்

ஒரு அலுவலக NAT-க்குப் பின்னால் பல ஊழியர்கள் ஒரு முகவரியைப் பகிர்கிறார்கள், எனவே ஒரு பழைய சேமிக்கப்பட்ட கடவுச்சொல் வரம்பு தாண்டியதும் முழு அலுவலகத்தையும் பூட்டக்கூடும். பதிவு தோல்வியடைந்த ஒரு மூலத்தையும் ஒரு கணக்கையும் காட்டுகிறது, முழு அலுவலகத்தின் தடையையல்ல.

குறுகிய தடைகளும் மிதமான வரம்புகளும் அதைக் குறைக்கின்றன, ஆவணப்படுத்தப்பட்ட தடைநீக்கப் பாதை அது இருந்தாலும் நிகழும்போது ஆதரவுச் சுமையைக் குறைக்கிறது. முகவரி ஒரு கரடுமுரடான சமிக்ஞை, அடையாளம் அல்ல, டிக்கெட் திறக்கும் நபர் வரம்பையல்ல, தடையை விவரிப்பார்.

எப்போது ஏற்றுக்கொள்வது, எப்போது வேறொன்றைச் சரிசெய்வது

நீங்கள் கட்டுப்படுத்தும் மேற்பரப்பில் உண்மையான, பண்புக்கூறு செய்யக்கூடிய, திரும்பத் திரும்ப நிகழும் ஆன்லைன் உள்நுழைவுத் தோல்வி இருக்கும்போதும், செயலாக்க backend அந்த மேற்பரப்பை உண்மையில் மூடும்போதும் அதை ஏற்றுக்கொள்ளுங்கள். பிரச்சினை பலவீனமான சான்றுக் கொள்கை, இணையத்திற்கு வெளிப்பட்ட நிர்வாகப் பக்கம், அல்லது சமரசம் ஆனதால் வெற்றிகரமாக உள்நுழையும் கணக்கு என்றால் வேறொன்றைச் சரிசெய்யுங்கள். தடை அவற்றில் எதையும் சரிசெய்ய முடியாது, ஏற்கனவே உங்கள் அப்லிங்கை நிரப்பிய போக்குவரத்தையும் உள்ளிழுக்க முடியாது. அந்தக் கடைசிப் பிரச்சினை மேலே, பாக்கெட்டுகள் உங்களை அடையும் முன் வடிகட்டக்கூடிய ஒருவருக்கு உரியது.

ஒவ்வொரு jail-ஐயும் ஒரு மேற்பரப்புடன் பிணைத்து வைத்திருங்கள், தவறான நேர்மறைகளை மதிப்பாய்வு செய்யுங்கள், தடுக்கப்பட்ட முகவரிகளின் எண்ணிக்கைக்குப் பதிலாகத் தவிர்க்கப்பட்ட அங்கீகார வேலையை அளவிடுங்கள்.