ஒரு banaction, இரண்டு போக்குவரத்துகள்: fail2ban-VPN-jail சரிசெய்தல்

fail2ban-ல் எதுவும் தானாக ஒரு பாக்கெட்டை விடாது: அது ஒரு செயலை அழைக்கிறது, அந்தச் செயலே நெறிமுறையையும் துறையையும் பெயரிடுகிறது. jail ஒரு ban-ஐ தெரிவிக்கும்போது டீமன் உள்நுழைவுகளை ஏற்றுக்கொண்டே இருந்தால், அந்த ban பொதுவாக உண்மையானது, பதிவு குறிப்பதை விடக் குறுகியது. மற்ற போக்குவரத்தின் வழியாக மீண்டும் இணையும் கிளையண்ட் நிறுவப்பட்ட விதியை ஒருபோதும் சந்திக்காது. எதையும் மாற்றும் முன் செயல் என்ன நிறுவியது, டீமன் எதைக் கேட்கிறது என்பதை ஒப்பிடுங்கள், ஏனெனில் சான்று செயல் எழுதிய ஃபயர்வால் சங்கிலியில் உள்ளது, jail பட்டியலில் இல்லை.

சங்கிலியைப் படியுங்கள், jail சுருக்கத்தை அல்ல

fail2ban தன் சங்கிலியை சேவையின் சங்கிலிக்கு முன் செருகுகிறது, எனவே கவுண்டர் பட்டியல் இருப்பதைத் துல்லியமாகக் காட்டுகிறது. jail பெயரில் உள்ள ஒரு சங்கிலியில் ஒரே விதி இருந்து, அதன் நெறிமுறை நெடுவரிசை udp என்று படித்தால், தொடர்ந்து வரும் TCP உள்நுழைவுகளுக்கு அது முழு விளக்கமாகும். தடைசெய்யப்பட்ட மூலத்திலிருந்து வரும் UDP பாக்கெட்டுகள் மட்டுமே நிராகரிக்கப்படுகின்றன. சேவைக்கு ஒரு TCP கேட்பான் உள்ளது, அந்தச் சங்கிலியில் எதுவும் அதைத் தொடாது.

அடுத்த jail-ன் விளைவையும் கவனியுங்கள். ஒரு ஹோஸ்ட் முழுமையாக கட்டமைக்கப்பட்டதாகத் தோன்றலாம், காரணம் வேறு jail காணாமல் போன பாதியை வழங்குவதால், அதே பில்ட் அந்த jail நிறுவப்படாத இடத்தில் எதுவும் செய்யாது.

செயல் ஒரே நெறிமுறையைப் பெயரிடுகிறது, அங்கேதான் அது உடைகிறது

ஒவ்வொரு banaction-ம் ஒரு ஃபயர்வால் கட்டளை வார்ப்புரு, நெறிமுறை அதன் ஒரு இடம்காட்டியில் உள்ளது. இந்தக் குறுகல் வேண்டுமென்றே, ஏனெனில் ஒரு வலை jail-க்கும் DNS jail-க்கும் ஒரே துறைகளைத் தடுப்பதில் எந்தத் தொடர்பும் இல்லை. சேவை ஒன்றுக்கு மேற்பட்ட போக்குவரத்துகளில் கேட்கும்போது இது பொறியாகிறது, VPN டீமன்கள் இதை வழக்கமாகச் செய்கின்றன. வடிகட்டி இரண்டு போக்குவரத்துகளின் தோல்வியடைந்த உள்நுழைவுகளையும் பார்க்கலாம், ஆனால் செயல் ஒன்றை மட்டுமே மூடுகிறது.

SoftEther மற்றும் OpenVPN வரிசைப்படுத்தல்கள் பொதுவாக ஒரே நேரத்தில் UDP மற்றும் TCP-ல் கேட்கின்றன, பதிவு வரி இரண்டு நிலைகளிலும் ஒரே மாதிரி தெரிவதால் வடிகட்டி இரண்டையும் கவனிக்கிறது. இந்த சமச்சீரின்மை jail-ன் சொந்த அறிக்கையில் ஒருபோதும் தெரிவதில்லை. fail2ban தோல்விகளைச் சரியாகக் கணக்கிட்டு, பின்னர் அந்தத் தோல்விகள் வந்த போக்குவரத்தின் பாதிக்குப் பொருந்தும் விதியை நிறுவியது.

ban இரண்டு போக்குவரத்துகளையும் மூடட்டும்

அதை jail-ன் வரையறையிலேயே சரிசெய்யுங்கள்; கையால் எழுதப்பட்ட விதிகள் அடுத்த மறுஏற்றத்தில் கலக்கப்படும். ஒவ்வொரு நெறிமுறைக்கும் ஒன்றாக இரண்டு செயல்களைத் தெளிவாக எழுதுங்கள்:

action = %(banaction)s[name=%(__name__)s-tcp, actionname=%(__name__)s-tcp, protocol="tcp", port="%(port)s", chain="%(chain)s"]
         %(banaction)s[name=%(__name__)s-udp, actionname=%(__name__)s-udp, protocol="udp", port="%(port)s", chain="%(chain)s"]

protocol = all கொண்டு அதைச் சுருக்க முயற்சிக்காதீர்கள். இயல்புநிலை banaction ஒரு multiport செயல், அது -p <protocol> -m multiport --dports <port> ஆக விரிவடைகிறது; L4 நெறிமுறை இல்லாததால் துறை பொருத்தத்திற்கு சோதிக்க எதுவும் இல்லை, எனவே iptables விதியை நிராகரிக்கிறது, jail இன்னும் வெற்றிகரமான ban-ஐ தெரிவிக்கிறது. iptables-allports அல்லது nftables-allports போன்ற அனைத்து துறை செயல் ஒரு உள்ளீட்டை ஏற்கிறது, ஆனால் அந்த மூலத்தின் ஒவ்வொரு துறையையும் தடுக்கிறது, இது வேறு முடிவு, அதற்கு அதன் சொந்த நியாயம் தேவை. protocol-ஐ tcp அல்லது udp-ல் விட்டு இரண்டு உள்ளீடுகளையும் ஏற்றுக்கொள்ளுங்கள்.

அமைப்பை நம்புவதற்குப் பதிலாக விதி இருப்பதை நிரூபியுங்கள், ஏனெனில் ஒரு சங்கிலி அதைப் பிடிக்கும் வரை அமைப்பு ஒரு நோக்கத்தை மட்டுமே விவரிக்கிறது:

iptables -S f2b-vpn-tcp
iptables -S f2b-vpn-udp

ஒவ்வொரு சங்கிலியும் ஒரு விதியைப் பட்டியலிட வேண்டும், முதலில் -p tcp, இரண்டாவதில் -p udp, இரண்டும் தடைசெய்யப்பட்ட முகவரியைப் பெயரிடுகின்றன. பின்னர் அதே முகவரி இரண்டு போக்குவரத்துகளிலும் நிராகரிக்கப்படுவதை உறுதிப்படுத்துங்கள். சங்கிலியில் நீங்கள் பார்க்காத ban ஒரு நம்பிக்கை, அதே அறிகுறியின் அடுத்த அறிக்கை மீண்டும் அதே மணி நேரத்தைச் செலவாக்கும்.

ban இன்னும் எதைத் தவறவிடுகிறது, அடுத்த வழக்கு

செயல் செய்வது ஒரே மூலத்தை நிராகரிப்பதுதான், அதிலும் அதில் பட்டியலிடப்பட்ட துறைகளில் மட்டும். முகவரிகளை மாற்றும் தாக்குபவருக்கு எதிராக எதுவும் செய்யாது, நூற்றுக்கணக்கான பயனர்கள் பங்கிடும் வாக்குநர் நிலை NAT வெளியேற்றத்திலிருந்து எதிரி இயந்திரத்தைப் பிரிக்க முடியாது, அங்கே ஒரு ban எதுவும் செய்யாத மக்களை வெளியே வைக்கிறது. வடிகட்டி வாடிக்கையாளரிடம் உண்மையில் உள்ள முகவரியை படிக்கிறதா என்பதை உறுதிப்படுத்துங்கள், அனுப்பப்பட்ட தலைப்பு அல்லது ப்ராக்ஸி முகவரி அல்ல. தவறு தானாகக் காலாவதியாகும் அளவுக்குச் சாளரத்தைக் குறுகியதாக வைத்திருங்கள்.

இவற்றில் எதுவும் நெறிமுறை திருத்தத்தைத் தவிர்க்க ஆதரவாக இல்லை; இது ஒரே நேரத்தில் இரண்டு கருத்துகளைப் பிடித்திருப்பதற்கு ஆதரவாக உள்ளது. ban jail சுருக்கம் குறிப்பதை விடக் குறுகியது, முழுமையான ban கூட அச்சுறுத்தலை விடக் குறுகியது. ஃபயர்வால் சங்கிலியை டீமனின் கேட்பான் பட்டியலுக்கு அருகில் வைத்து நெறிமுறை வாரியாக ஒப்பிடுங்கள், ஏனெனில் ban சேவையை அடைய முடியுமா என்பதை அந்த இரண்டு பட்டியல்களே தீர்மானிக்கின்றன.

மறுஏற்றக் கட்டளையையும் சங்கிலிப் பட்டியலையும் jail-க்கு அருகில் உள்ள ரன்புக்கில் வையுங்கள். அடுத்த நபருக்கு இரண்டும் தேவைப்படும், jail சுருக்கம் அவருக்கு எதையும் சொல்லாது.