VPN shlyuzida Fail2ban: nimani tuzatadi va nimani yo'q

Har bir ochiq xizmat bir xil maslahat oladi: unga fail2ban o'rnating. VPN shlyuzi uchun bu maslahat na xato, na yetarli, va unga qattiqlashtirish belgisi sifatida qarash odamlarning hech qanday foydali narsani bloklamaydigan qamoqxona (jail) bilan qolishiga olib keladi. Fail2ban siz ko'rsatgan xatolik yozuvlarini o'qiydi va mos keladigan manbalarni bloklashni ijro etish backendidan so'raydi. Uning butun qiymati yozuvni qaysi autentifikatsiya yuzasi yaratganiga, undagi manzil haqiqiy mijoz ekaniga va o'sha manzil orqasidagi barcha boshqalarga nima bo'lishiga bog'liq.

Fail2ban mexanik jihatdan nima

Filtr jurnaldagi satrlarni moslashtiradi, qamoqxona manba bo'yicha mosliklarni sanaydi, amal esa tarmoq devori backend'i orqali bloklashni qo'llaydi. Uchta harakatlanuvchi qism, va har biri mustaqil ravishda xato bo'lishi mumkin.

Uchovining hech biri autentifikatsiya yo'liga tegmaydi: fail2ban voqeadan keyin dalillarga javob beradi va hech qachon o'zi ishonchnomani tekshirmaydi. Shuning uchun qamoqxona toza ishlashi mumkin, u nomlagan yuza esa avvalgidek ochiq qoladi.

Tunnel tinglovchisi kirish shakli emas

OpenVPN tinglovchisi tls-auth yoki tls-crypt bilan himoyalangan bo'lsa, oddiy TLS ishlovi boshlanishidan oldin boshqaruv kanali himoyasi bo'lmagan paketlarni tashlab yuboradi. Kaliti hech qachon bo'lmagan skaner sizning filtriingiz sanay oladigan hech narsa chiqarmaydi. Sertifikat bilan autentifikatsiya yana bir darvoza qo'shadi, chunki taxmin qiladigan parol yo'q. Fail2ban loyihasi umumiy jurnalga asoslangan modelni hujjatlashtiradi, va umumiy VPN filtri autentifikatsiya qilinmagan paketni mazmunli xatolik hodisasiga aylantirmaydi.

Agar shlyuz faqat sertifikatlarni qabul qilsa, siz himoya qilayotgan brute-force hikoyasi o'sha portda umuman bo'lmasligi mumkin.

Xo'sh, qaysi yuzani himoya qilyapsiz?

Bir xil xost ko'pincha uch xil narsani ochadi: tunnel tinglovchisi, mijoz profili yoki o'z-o'ziga xizmat portali va boshqaruv sahifasi. Portal va admin sahifada parol shakllari bor va filtr sanay oladigan jurnal satrlarini ishlab chiqaradi. Tunnel butunlay boshqa ma'no beradigan qo'l siqish xatolarini chiqarishi mumkin. Qamoqxonani mahsulot nomiga emas, yuzaga moslang.

Noto'g'ri jurnalni kuzatadigan bitta qamoqxona yo'qidan yomonroq, chunki u qamrovsiz ishonch yaratadi. Kirish filtrini tunnelning qo'l siqish xatolariga qarating va hisoblagich hech qachon kaliti bo'lmagan skanerlarda ishga tushadi, portaldagi parol hujumi esa sanalmaydi. Qamoqxona raqamiga ishonishdan oldin filtr moslashtiradigan jurnal satrini o'qing.

Manbani nisbatlash — zaif bo'g'in

Bloklash nishonga olgan manzil qanchalik yaxshi bo'lsa, shunchalik yaxshi. Xizmat mahalliy teskari proksi orqasida bo'lsa, jurnaldagi mijoz manzili proksining o'zi bo'lishi mumkin, va uni bloklash hammani olib tashlaydi. Ishonchsiz manbadan kelgan uzatilgan sarlavhaga ishonish hujumchiga ixtiyoriy manzillarni bloklash imkonini beradi. UDP'da manba manzillari qalbakilashtirilishi mumkin, shuning uchun ularni sanash tugallangan TCP kirishini sanashdan ko'ra ko'proq ehtiyotkorlik talab qiladi.

Manbani nisbatlash usulini qamoqxonaning README fayliga yozing, chunki ishonchsiz sakrashdan uzatilgan sarlavha bloklashni qurolga aylantiradi.

Yon xarajat — boshqa odamlar

Bitta ofis NAT'i orqasidagi bir nechta xodim bitta manzilni baham ko'radi, shuning uchun bitta eskirgan saqlangan parol chegara oshganda butun ofisni qulflashi mumkin. Jurnal bitta manba va bitta hisob muvaffaqiyatsiz bo'lganini ko'rsatadi, butun ofis uzilishini emas.

Qisqa bloklashlar va mo''tadil chegaralar buni kamaytiradi, hujjatlashtirilgan blokdan chiqarish yo'li esa bu baribir sodir bo'lganda qo'llab-quvvatlash yukini kamaytiradi. Manzil qo'pol signal, shaxs emas, va chipta ochgan odam chegarani emas, uzilishni tasvirlaydi.

Qachon qabul qilish va qachon boshqa narsani tuzatish

O'zingiz nazorat qiladigan yuzada haqiqiy, nisbatlash mumkin bo'lgan, takrorlanuvchi onlayn kirish xatosi bo'lganda va ijro etish backendi o'sha yuzani haqiqatan qamrab olganda uni qabul qiling. Muammo zaif ishonchnoma siyosati, internetga ochiq boshqaruv sahifasi yoki buzilgani uchun muvaffaqiyatli kiradigan hisob bo'lsa, boshqa narsani tuzating. Bloklash ularning hech birini tuzata olmaydi va uplink'ingizni allaqachon to'ydirgan trafikni ham yuta olmaydi. Oxirgi muammo yuqorida, paketlar sizga yetib kelishidan oldin filtrlashga qodir birovga tegishli.

Har bir qamoqxonani bitta yuzaga bog'lab turing, noto'g'ri ijobiylarni ko'rib chiqing va bloklangan manzillar soni o'rniga oldini olingan autentifikatsiya ishini o'lchang.