VPN గేట్‌వేలో Fail2ban: ఏమి సరిచేస్తుంది మరియు ఏమి సరిచేయదు

ప్రతి బహిర్గత సేవకు అదే సలహా లభిస్తుంది: దానిపై fail2ban పెట్టండి. VPN గేట్‌వేకు ఆ సలహా తప్పు కాదు, సరిపోదు, మరియు దానిని హార్డెనింగ్ టిక్‌గా పరిగణించడమే ఉపయోగకరమైన ఏదీ నిరోధించని jail తో ప్రజలు ముగిసే కారణం. Fail2ban మీరు సూచించే వైఫల్య రికార్డులను చదివి, సరిపోలే మూలాలను నిరోధించమని అమలు backend ను అడుగుతుంది. దాని మొత్తం విలువ ఏ ప్రమాణీకరణ ఉపరితలం రికార్డును సృష్టించింది, అందులోని చిరునామా నిజమైన క్లయింటా, ఆ చిరునామా వెనుక ఉన్న మిగతా అందరికీ ఏమి జరుగుతుంది అనే దానిపై ఆధారపడి ఉంటుంది.

యాంత్రికంగా fail2ban అంటే ఏమిటి

ఫిల్టర్ లాగ్‌లోని పంక్తులను సరిపోల్చుతుంది, jail మూలానికి అనుగుణంగా సరిపోలికలను లెక్కిస్తుంది, చర్య ఫైర్‌వాల్ backend ద్వారా నిరోధాన్ని వర్తింపజేస్తుంది. మూడు కదిలే భాగాలు, ప్రతి ఒక్కటి స్వతంత్రంగా తప్పుగా ఉండవచ్చు.

మూడింటిలో ఏదీ ప్రమాణీకరణ మార్గాన్ని తాకదు: fail2ban సంఘటన తర్వాత సాక్ష్యాలకు ప్రతిస్పందిస్తుంది, ఎప్పుడూ తానే ఒక ఆధారాన్ని ధృవీకరించదు. అందువల్ల jail శుభ్రంగా పనిచేయగలదు, అది పేర్కొనే ఉపరితలం మునుపటిలాగే బహిర్గతంగా ఉంటుంది.

టన్నెల్ శ్రోత లాగిన్ ఫారం కాదు

OpenVPN శ్రోత tls-auth లేదా tls-crypt తో రక్షించబడి ఉంటే, సాధారణ TLS ప్రాసెసింగ్ ప్రారంభం కాకముందే నియంత్రణ-ఛానెల్ రక్షణ లేని ప్యాకెట్లను విసిరేస్తుంది. ఎప్పుడూ కీ లేని స్కానర్ మీ ఫిల్టర్ లెక్కించగల ఏదీ ఉత్పత్తి చేయదు. సర్టిఫికెట్ ప్రమాణీకరణ మరో ద్వారాన్ని జోడిస్తుంది, ఎందుకంటే ఊహించడానికి పాస్‌వర్డ్ లేదు. Fail2ban ప్రాజెక్ట్ సాధారణ లాగ్-ఆధారిత నమూనాను డాక్యుమెంట్ చేస్తుంది, సాధారణ VPN ఫిల్టర్ ప్రమాణీకరించని ప్యాకెట్‌ను అర్థవంతమైన వైఫల్య సంఘటనగా మార్చదు.

గేట్‌వే సర్టిఫికెట్లను మాత్రమే అంగీకరిస్తే, మీరు ఎదుర్కొంటున్న brute-force కథ ఆ పోర్ట్‌లో అసలు ఉండకపోవచ్చు.

మరి మీరు ఏ ఉపరితలాన్ని రక్షిస్తున్నారు?

ఒకే హోస్ట్ తరచుగా మూడు వేర్వేరు విషయాలను బహిర్గతం చేస్తుంది: టన్నెల్ శ్రోత, క్లయింట్-ప్రొఫైల్ లేదా స్వయం-సేవా పోర్టల్, మరియు నిర్వహణ పేజీ. పోర్టల్ మరియు నిర్వహణ పేజీలో పాస్‌వర్డ్ ఫారాలు ఉంటాయి, ఫిల్టర్ లెక్కించగల లాగ్ పంక్తులను ఉత్పత్తి చేస్తాయి. టన్నెల్ పూర్తిగా వేరే అర్థమున్న హ్యాండ్‌షేక్ లోపాలను మాత్రమే ఉత్పత్తి చేయవచ్చు. jail ను ఉత్పత్తి పేరుతో కాదు, ఉపరితలంతో సరిపోల్చండి.

తప్పు లాగ్ చూసే ఒక jail ఏ jail లేకపోవడం కంటే చెడ్డది, ఎందుకంటే అది కవరేజ్ లేకుండా నమ్మకాన్ని సృష్టిస్తుంది. లాగిన్ ఫిల్టర్‌ను టన్నెల్ హ్యాండ్‌షేక్ లోపాల వైపు తిప్పండి, ఎప్పుడూ కీ లేని స్కానర్లపై కౌంటర్ మోగుతుంది, అయితే పోర్టల్‌పై పాస్‌వర్డ్ దాడి లెక్కించబడదు. jail సంఖ్యను నమ్మే ముందు ఫిల్టర్ సరిపోల్చే లాగ్ పంక్తిని చదవండి.

మూల ఆపాదన బలహీనమైన లింక్

నిరోధం అది లక్ష్యంగా పెట్టుకున్న చిరునామా అంత మంచిది. సేవ స్థానిక రివర్స్ ప్రాక్సీ వెనుక ఉన్నప్పుడు, లాగ్‌లోని క్లయింట్ చిరునామా ప్రాక్సీ కావచ్చు, దానిని నిరోధించడం అందరినీ తొలగిస్తుంది. నమ్మదగని మూలం నుండి పంపిన హెడర్‌ను నమ్మడం దాడి చేసే వ్యక్తికి ఏకపక్ష చిరునామాలను నిరోధించే సామర్థ్యాన్ని ఇస్తుంది. UDP లో మూల చిరునామాలను నకిలీ చేయవచ్చు, కాబట్టి వాటిని లెక్కించడం పూర్తయిన TCP లాగిన్ లెక్కించడం కంటే ఎక్కువ జాగ్రత్త అవసరం.

మూల ఆపాదన పద్ధతిని jail README లో నమోదు చేయండి, ఎందుకంటే నమ్మదగని హాప్ నుండి పంపిన హెడర్ నిరోధాన్ని ఆయుధంగా మారుస్తుంది.

పార్శ్వ ఖర్చు ఇతర ప్రజలు

ఒక కార్యాలయ NAT వెనుక అనేక మంది ఉద్యోగులు ఒక చిరునామాను పంచుకుంటారు, కాబట్టి ఒక పాత సేవ్ చేసిన పాస్‌వర్డ్ పరిమితి దాటినప్పుడు మొత్తం కార్యాలయాన్ని లాక్ చేయగలదు. లాగ్ విఫలమైన ఒక మూలం మరియు ఒక ఖాతాను చూపిస్తుంది, మొత్తం కార్యాలయ అంతరాయాన్ని కాదు.

చిన్న నిరోధాలు మరియు మితమైన పరిమితులు దానిని తగ్గిస్తాయి, నమోదిత అన్‌బ్యాన్ మార్గం అది ఏమైనా సంభవించినప్పుడు మద్దతు భారాన్ని తగ్గిస్తుంది. చిరునామా ఒక మొరటు సంకేతం, గుర్తింపు కాదు, టికెట్ తెరిచే వ్యక్తి పరిమితిని కాదు, అంతరాయాన్ని వివరిస్తారు.

ఎప్పుడు స్వీకరించాలి, ఎప్పుడు మరేదైనా సరిచేయాలి

మీరు నియంత్రించే ఉపరితలంలో నిజమైన, ఆపాదించగలిగే, పునరావృత ఆన్‌లైన్ లాగిన్ వైఫల్యం ఉన్నప్పుడు, అమలు backend ఆ ఉపరితలాన్ని నిజంగా కవర్ చేసినప్పుడు దానిని స్వీకరించండి. సమస్య బలహీనమైన ఆధార విధానం, ఇంటర్నెట్‌కు బహిర్గతమైన నిర్వహణ పేజీ, లేదా రాజీ పడినందున విజయవంతంగా లాగిన్ అయ్యే ఖాతా అయితే మరేదైనా సరిచేయండి. నిరోధం వాటిలో ఏదీ సరిచేయలేదు, ఇప్పటికే మీ అప్‌లింక్‌ను నింపిన ట్రాఫిక్‌ను గ్రహించలేదు. ఆ చివరి సమస్య పైన, ప్యాకెట్లు మీకు చేరకముందే ఫిల్టర్ చేయగల ఒకరికి చెందుతుంది.

ప్రతి jail ను ఒక ఉపరితలానికి కట్టివేయండి, తప్పుడు పాజిటివ్‌లను సమీక్షించండి, నిరోధించిన చిరునామాల సంఖ్యకు బదులు తప్పించుకున్న ప్రమాణీకరణ పనిని కొలవండి.