Bir VPN geçidinde Fail2ban: neyi düzeltir, neyi düzeltmez

Maruz kalan her hizmet aynı tavsiyeyi alır: üzerine fail2ban koyun. Bir VPN geçidi için bu tavsiye ne yanlıştır ne de yeterlidir ve tam da onu bir sertleştirme onay kutusu olarak görmek, insanların işe yarar hiçbir şeyi engellemeyen bir hapishane (jail) ile kalmasına yol açar. Fail2ban, işaret ettiğiniz hata kayıtlarını okur ve bir uygulama backend'inden eşleşen kaynakları engellemesini ister. Tüm değeri, kaydı hangi kimlik doğrulama yüzeyinin ürettiğine, içindeki adresin gerçek istemci olup olmadığına ve o adresin arkasındaki herkese ne olduğuna bağlıdır.

fail2ban mekanik olarak nedir

Bir filtre günlükteki satırları eşleştirir, bir hapishane kaynak başına eşleşmeleri sayar ve bir eylem güvenlik duvarı backend'i aracılığıyla engelleme uygular. Üç hareketli parça ve her biri bağımsız olarak yanlış olabilir.

Üçü de kimlik doğrulama yoluna dokunmaz: fail2ban olaydan sonra kanıtlara tepki verir ve bir kimlik bilgisini asla kendisi doğrulamaz. Bu yüzden bir hapishane temiz çalışabilirken adını verdiği yüzey öncesi kadar açık kalır.

Tünel dinleyicisi bir giriş formu değildir

OpenVPN dinleyicisi tls-auth veya tls-crypt ile korunuyorsa, normal TLS işlemesi başlamadan önce kontrol kanalı koruması olmayan paketleri düşürür. Anahtarı hiç olmayan bir tarayıcı, filtrenizin sayabileceği hiçbir şey üretmez. Sertifika kimlik doğrulaması bir kapı daha ekler, çünkü tahmin edilecek parola yoktur. Fail2ban projesi genel bir günlük odaklı model belgeler ve genel bir VPN filtresi kimliği doğrulanmamış bir paketi anlamlı bir hata olayına dönüştürmez.

Geçit yalnızca sertifika kabul ediyorsa, kendinizi savunduğunuz brute-force hikâyesi o portta hiç olmayabilir.

Peki hangi yüzeyi koruyorsunuz?

Aynı ana makine sıklıkla üç farklı şeyi açığa çıkarır: tünel dinleyicisi, istemci profili veya self-servis portalı ve bir yönetim sayfası. Portal ve yönetim sayfasında parola formları vardır ve bir filtrenin sayabileceği günlük satırları üretir. Tünel ise tamamen başka bir anlama gelen el sıkışma hataları üretebilir. Hapishaneyi ürün adıyla değil, yüzeyle eşleştirin.

Yanlış günlüğü izleyen bir hapishane hiç olmamasından daha kötüdür, çünkü kapsama olmadan güven yaratır. Giriş filtresini tünelin el sıkışma hatalarına yönlendirin; sayaç anahtarı hiç olmayan tarayıcılarda tetiklenirken portala yönelik parola saldırısı sayılmaz. Hapishanenin sayısına güvenmeden önce filtrenin eşleştirdiği günlük satırını okuyun.

Kaynak atfı zayıf halkadır

Bir engelleme, hedef aldığı adres kadar iyidir. Hizmet yerel bir ters proxy arkasındaysa, günlükteki istemci adresi proxy olabilir ve onu engellemek herkesi kaldırır. Güvenilmeyen bir kaynaktan gelen yönlendirilmiş başlığa güvenmek, saldırgana rastgele adresleri engelleme yeteneği verir. UDP'de kaynak adresler taklit edilebilir, bu yüzden onları saymak tamamlanmış bir TCP girişini saymaktan daha fazla özen gerektirir.

Kaynak atfı yöntemini hapishanenin README dosyasına yazın, çünkü güvenilmeyen bir atlamadan gelen yönlendirilmiş başlık engellemeyi bir silaha dönüştürür.

Yan maliyet diğer insanlardır

Tek bir ofis NAT'ı arkasındaki birkaç çalışan bir adresi paylaşır, bu yüzden tek bir eski kaydedilmiş parola eşik aşıldığında tüm ofisi kilitleyebilir. Günlük, başarısız olan tek bir kaynağı ve tek bir hesabı gösterir, ofis çapında bir kesinti değil.

Kısa engellemeler ve ölçülü eşikler bunu azaltır ve belgelenmiş bir engel kaldırma yolu yine de olduğunda destek yükünü azaltır. Adres kaba bir sinyal, bir kimlik değil ve bilet açan kişi eşiği değil, kesintiyi anlatacaktır.

Ne zaman benimsemeli ve ne zaman başka bir şeyi düzeltmeli

Kontrol ettiğiniz bir yüzeyde gerçek, atfedilebilir ve tekrarlanan çevrimiçi giriş hatası olduğunda ve uygulama backend'i o yüzeyi gerçekten kapsadığında benimseyin. Sorun zayıf bir kimlik bilgisi politikası, internete açık bir yönetim sayfası veya ele geçirildiği için başarıyla oturum açan bir hesapsa başka bir şeyi düzeltin. Bir engelleme bunların hiçbirini onaramaz ve yukarı bağlantınızı zaten doyurmuş trafiği ememez. O son sorun yukarı akışa, paketler size ulaşmadan önce filtreleyebilecek birine aittir.

Her hapishaneyi tek bir yüzeye bağlı tutun, yanlış pozitifleri gözden geçirin ve engellenen adres sayısı yerine önlenen kimlik doğrulama işini ölçün.