Banaction kan, ọ̀nà ìgbékalẹ̀ méjì: àtúnṣe jail ti fail2ban fún VPN

Kò sí ohunkóhun nínú fail2ban tó ń ju packet sílẹ̀ fúnra rẹ̀: ó ń pe action kan jáde, ìgbésẹ̀ yẹn ni ó sì ń dárúkọ protocol kan àti port kan. Nígbà tí jail bá jábọ̀ pé ó ti dínà kan nígbà tí daemon ṣì ń gba ìwọlé, ìdánà náà sábà jẹ́ gidi, ó sì tóóró ju bí log náà ṣe dábàá lọ. Oníbàárà tó bá tún so mọ́ ọ̀nà kejì kì yóò pàdé òfin tí wọ́n fi sọ́nà. Fi ohun tí action náà fi sọ́nà wé ohun tí daemon ń gbọ́ kí o tó yí ohunkóhun padà, nítorí ẹ̀rí wà nínú chain firewall tí action kọ, kì í ṣe nínú àkójọ jail.

Ka chain, kì í ṣe àkópọ̀ jail

fail2ban ń fi chain tirẹ̀ síwájú chain iṣẹ́ náà, nítorí náà àkójọ counter fi hàn gan-an ohun tí ó wà. Chain kan tí wọ́n dárúkọ lẹ́yìn jail, tí ó ní òfin kan tí protocol rẹ̀ kọ udp, jẹ́ àlàyé kíkún fún àwọn ìwọlé TCP tó ń tẹ̀síwájú láti dé. Àwọn packet UDP nìkan láti orísun tí wọ́n dínà ni wọ́n ń kọ̀. Iṣẹ́ náà ní listener TCP kan, kò sì sí ohunkóhun nínú chain yẹn tó fọwọ́ kàn án.

Ṣọ́ra fún ipa jail aládúgbò pẹ̀lú. Ẹ̀rọ kan lè dà bí ẹni tí wọ́n ṣètò dáadáa kìkì nítorí jail mìíràn pèsè ìlàjì tó ṣẹ́ kù, bí ọ̀rọ̀ sì ṣe rí gan-an ni ibi tí wọn kò ti fi jail yẹn sọ́nà.

Action ń dárúkọ protocol kan, ibẹ̀ sì ni ó ti ń já

Banaction kọ̀ọ̀kan jẹ́ àpẹẹrẹ òfin firewall, protocol sì wà nínú ọ̀kan lára àwọn placeholder rẹ̀. Ìtóóró yìí mọ̀ọ́mọ̀ ni, nítorí jail web àti jail DNS kò ní ipa kankan láti dínà àwọn port kan náà. Ó di ìdẹkùn nígbà tí iṣẹ́ náà bá ń gbọ́ orí ọ̀nà tó ju ọ̀kan lọ, èyí tí àwọn daemon VPN sábà ń ṣe. Filter lè máa wo àwọn ìwọlé tó kùnà láti ọ̀nà méjèèjì nígbà tí action kò bo ju ọ̀kan lọ.

Àwọn ìṣètò SoftEther àti OpenVPN sábà ń gbọ́ UDP àti TCP lẹ́ẹ̀kan náà, àti níwọ̀n bí ìlà log ṣe rí bákan náà ní ọ̀nà méjèèjì, filter ń wo méjèèjì. Àìdọ́gba yìí kì í farahàn nínú ìjábọ̀ jail fúnra rẹ̀. fail2ban ka àwọn ìkùnà náà dáadáa, ó sì fi òfin kan sọ́nà tó kan ìdajì ìrìn àwọn ìkùnà yẹn nìkan.

Jẹ́ kí ìdánà bo ọ̀nà méjèèjì

Tún un ṣe nínú ìtumọ̀ jail; àwọn òfin tí a fi ọwọ́ kọ yóò di ìdàrúdàpọ̀ ní reload tó kàn. Sọ action méjì jáde, ọ̀kan fún protocol kọ̀ọ̀kan:

action = %(banaction)s[name=%(__name__)s-tcp, actionname=%(__name__)s-tcp, protocol="tcp", port="%(port)s", chain="%(chain)s"]
         %(banaction)s[name=%(__name__)s-udp, actionname=%(__name__)s-udp, protocol="udp", port="%(port)s", chain="%(chain)s"]

Má gbìyànjú láti gé e kúrú pẹ̀lú protocol = all. Banaction àkọ́kọ́ jẹ́ action multiport, ó sì ń gbòòrò sí -p <protocol> -m multiport --dports <port>; tí kò bá sí protocol L4, kò sí ohun tí ìbámu port lè dánwò, nítorí náà iptables kọ̀ òfin náà nígbà tí jail ṣì ń jábọ̀ pé ìdánà ṣẹ́gun. Action gbogbo-port bíi iptables-allports tàbí nftables-allports gba ẹyọ kan, ṣùgbọ́n ó dínà gbogbo port lórí orísun yẹn, ìyẹn jẹ́ ìpinnu mìíràn tí ó nílò ìdáláre tirẹ̀. Fi protocol sí tcp tàbí udp kí o sì gba ẹyọ méjèèjì.

Jẹ́rìí pé òfin náà wà gan-an dípò gbígbẹ́kẹ̀ lé ètò náà, nítorí ètò ń ṣàpèjúwe èròǹgbà títí di ìgbà tí chain bá di í mú:

iptables -S f2b-vpn-tcp
iptables -S f2b-vpn-udp

Chain kọ̀ọ̀kan gbọdọ̀ ṣe àkójọ òfin kan, pẹ̀lú -p tcp nínú èkíní àti -p udp nínú èkejì, àwọn méjèèjì ń dárúkọ àdírẹ́sì tí wọ́n dínà. Lẹ́yìn náà jẹ́rìí pé wọ́n kọ̀ àdírẹ́sì kan náà lórí ọ̀nà méjèèjì. Ìdánà tí o kò tíì rí nínú chain jẹ́ ìrètí lásán, ìjábọ̀ tó kàn yóò sì tún ná wákàtí kan náà lẹ́ẹ̀kan sí i.

Ohun tí ìdánà ṣì ń pàdánù, àti ọ̀ràn tó kàn

Ohun tí action ń ṣe ni kíkọ̀ orísun kan ṣoṣo, àti lórí àwọn port tí wọ́n kọ sínú rẹ̀ nìkan. Kò ṣe ohunkóhun nípa olùkọlu tó ń yí àdírẹ́sì padà, kò sì lè ya ẹ̀rọ ìkọlù kúrò nínú ibùjáde NAT ti ẹ̀ka olùpèsè tí ọgọ́rọ̀ọ̀rún olùmúlò ń pín, níbi tí ìdánà kan ti ń ti àwọn tí kò ṣe ohunkóhun mọ́lẹ̀. Rí i dájú pé filter ka àdírẹ́sì tí oníbàárà ní gan-an, kì í ṣe header tí wọ́n fi ránṣẹ́ tàbí àdírẹ́sì proxy. Jẹ́ kí àkókò náà kúrú tó bẹ́ẹ̀ tí àṣìṣe yóò fi parí fúnra rẹ̀.

Kò sí ọ̀kan nínú àwọn yẹn tó fi ẹ̀rí hàn fún fífi àtúnṣe protocol sílẹ̀; ó fi ẹ̀rí hàn fún dídi àwọn èròǹgbà méjì mú lẹ́ẹ̀kan. Ìdánà tóóró ju bí àkópọ̀ jail ṣe dábàá lọ, àti ìdánà kíkún pàápàá tóóró ju ewu náà lọ. Fi chain firewall sí ẹ̀gbẹ́ àkójọ listener daemon, kí o sì fi protocol wé protocol, nítorí àwọn àkójọ méjèèjì yẹn ni ó ń pinnu bóyá ìdánà lè dé iṣẹ́ náà rárá.

Fi òfin reload àti àkójọ chain sínú runbook lẹ́gbẹ̀ẹ́ jail. Ẹni tó kàn yóò nílò méjèèjì, àkópọ̀ jail kò sì ní sọ ohunkóhun fún wọn.