vServer fail2ban Alternative

mikkeg

Hallo,

seit einigen Tagen habe ich mein eigenen vServer und habe festgestellt, dass keine IP Regeln definiert werden können (iptables funktioniert auf diesen Servern nicht).

Was kann man als Alternative zu fail2ban Werkzeug benutzen?

Grüß,
Mikhail.

[netcup] Alex W.

Man kann sich via Supportticket die Firewallfunktion im openVCP freischalten lassen. Siehe Firewall des VCP.

perryflynn

Zitat

Firewallfunktion im openVCP

Nur hat man dann ja leider immer noch keinen Zugang zu den IPTables über SSH.
Und jede IP über das Panel händisch sperren ist doch ein bissl zu viel des guten.

mikkeg

Hallo,

danke für die Antwort.

Habe ich schon freischalten lassen. Trotzdem funktioniert iptable nicht (und folglich fail2ban auch!).

Zitat von [netcup] Alex;2671

Man kann sich via Supportticket die Firewallfunktion im openVCP freischalten lassen. Siehe Firewall des VCP.

[netcup] Felix P.

Guten Tag,

bei einem vServer können keine kernelseitigen Konfigurationen vorgenommen werden, da alle vServer gemeinsam einen Kernel nutzen. Hierunter fällt auch die Konfiguration der IP-Tables.

Mit freundlichen Grüßen

Felix Preuß

tux

Ich hab an einigen Stellen gelesen das fail2ban auch die host.deny zum sperren nutzen kann. Nur wie die config dann genau aussehen muss konnte ich nirgens finden und die Doku gibt (mir) keinen Aufschluss darüber.

Entweder das sind Gerüchte oder ich hab einfach nicht lang genug gesucht.

H34DCR4SH

ich habe auf meinem vServer "denyHosts" am laufen.

bei debian reicht ein "apt-get install denyhosts".

Denyhosts prüft die logdateien, und bei mehreren Loginfehlversuche wird die ip in hosts.deny eingetragen.

Tipp: Nebenbei auch einfach den ssh-port ändern.

perryflynn

Zitat von H34DCR4SH;2700

Tipp: Nebenbei auch einfach den ssh-port ändern.

http://de.wikipedia.org/wiki/Nmap
10 Minuten, dann hab ich den Port wieder.

tux

Zitat von H34DCR4SH;2700

ich habe auf meinem vServer "denyHosts" am laufen.

bei debian reicht ein "apt-get install denyhosts".

Denyhosts prüft die logdateien, und bei mehreren Loginfehlversuche wird die ip in hosts.deny eingetragen.

Tipp: Nebenbei auch einfach den ssh-port ändern.

Was ich meinte ist fail2ban so umzustellen das es anstelle der iptables die /etc/host.deny zum sperren nimmt.

Robert

Scheinbar geht das tatsächlich: http://en.gentoo-wiki.com/wiki/Fail2ban#…ead_of_iptables
Ausprobiert habe ich es noch nicht, werde das aber denke ich morgen mal tun.

dfroe

Zitat von sim4000;2701

http://de.wikipedia.org/wiki/Nmap
10 Minuten, dann hab ich den Port wieder.

Natürlich kannst du den Port ohne Probleme heraus bekommen. Aber es geht hier ja in erster Linie darum, die etlichen automatisierten Bot-Angriffe in den Griff zu bekommen. Denn selbst wenn diese es nicht schaffen, ein gültige User/Password Kombination zu erraten, erzeugen die ganzen Login-Versuche doch auch eine gewisse Last auf dem Server, wenn diese massenhaft und simultan durchgeführt werden.
Wenn du aber den SSH-Port einfach auf irgendeinen anderen Port änderst, hast du dieses ganzen Bot-Connections schonmal komplett vom Hals. Hier wird nämlich ähnlich wie beim Versenden von Spam verfahren: Einfach so viel wie möglich (Login-Versuche/Spam-Mails) in möglichst kurzer Zeit. Da erst noch einen SSH-Port zu suchen wäre viel zu ineffizient, da die Bots in dieser Zeit schon wieder etliche andere Systeme (mit Standard-Port) ausprobieren.

Fazit: Das Ändern des SSH-Ports hat konkret auf meinen Servern mit einfachsten Mitteln die automatisierten SSH-Angriffe komplett abgeschaltet. Ganz ohne fail2ban oder ähnlichem.

christian

[IRONIE]
Die wohl einfachste Möglichkeit wird nicht in erwägung gezogen da diese Variante mit etwa 30 Sekunden Aufwand verbunden ist. Meine Variante besteht einfach in der überlegung das ein gesperrter Port oder nicht laufender Dienst nicht angegriffen werden kann. Dazu wird einfach im OpenVCP der Port für den ssh gesperrt. Ein ftp server muss auch in den meisten fällen nicht laufen sondern kann bei Bedarf von Hand gestartet werden (wenn Mann/Frau alleine den Server nutzt).

Aber wie gesagt diese Variante ist mit 30 Sekunden Tip/klick-Arbeit verbunden... Ach wie schön ein Webhosting-Paket doch ist und vorallem so wenig Aufwand....
[/IRONIE]

In diesem Sinne

tux1337

Hallo,

für fail2ban kann selbst ein action script geschrieben werden. Ich habe mir bspw. eines geschrieben, dass sich im vservercontrolpanel einloggt und die IP über die IPTables Firewall im Controlpanel sperrt. Script ist kein grosser aufwand und mit curl schnell erledigt. Kann das script bei Bedarf hier posten, läuft seit längerem zuverlässig bei mir.

Das mit den deny.hosts ist so eine Sache. Funktioniert nur bei Diensten die, die Datei auch beachten/bzw. muss erst angegeben werden bei den einzelnen Diensten. Pingbar bleibt der Server nach wie vor, bzw. DDOSbar etc. da ist eine IPTables Regel zuverlässiger.

Gruß
tux1337

j-wolter

Also ich wäre an deinem Skript interessiert.

tux1337

Hallo,

hier mein Script. Bitte Lizenz beachten.

Bash

#!/bin/sh
#
# Script um IPs ueber OpenVCP zu bannen
#
# Dieses Script empfaengt über den ersten Parameter die
# zu blockende IP und sperrt diese danach ueber OpenVCP
#
# Copyright (C) 2008 Michael Geiger - tux1337 - www.geigers-site.de
#
# This program is free software; you can redistribute it and/or modify it
# under the terms of the GNU General Public License as published by the
# Free Software Foundation; either version 3 of the License, or (at your
# option) any later version.
#
# This program is distributed in the hope that it will be useful, but
# WITHOUT ANY WARRANTY; without even the implied warranty of
# MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE. See the GNU
# General Public License for more details.
#
# You should have received a copy of the GNU General Public License along
# with this program; if not, see <http://www.gnu.org/licenses/>.
#
# ##########################################################################
#
# Please let me know if you modify something. Maybe I can include it -
# and you can help to make the script better. Contact me with this form:
# http://contact.geigers-site.de - Thank you!
# Please give feedback over this form, too.
#
# ##########################################################################
#




###init bereich
#openvcp login
user="username"
password="password"
servername="servername"
####init end




# DO NOT CHANGE ANYTHING UNDER THIS LINE!
##############################################




#parameter
direction="INPUT"
protokoll="tcp"
sourceip="$1"
sourceport="any"
destinationip="any"
destinationport="any"
policy="DROP"
match="STATE"
new="NEW"
established="ESTABLISHED"
related="RELATED"
addrule="Regel hinzufügen"
#temp ordner (cookie)
cd /tmp




#login
curl -b openvcpcookie.txt -c openvcpcookie.txt -d "loginname=$user&password=$password" --url https://www.vservercontrolpanel.de/index.php/auth/submit




#regel definieren und setzen
#curl -b openvcpcookie.txt -d "direction=$direction" --url https://www.vservercontrolpanel.de/index.php/user/firewall/$servername/specify
curl -b openvcpcookie.txt -d "proto=$protokoll&srcip=$sourceip&srcport=$sourceport&destip=$destinationip&destport=$destinationport&target=$policy&match=$match&match_value[NEW]=$new&match_value[ESTABLISHED]=$established&match_value[RELATED]=$related&direction=$direction&add_rule=$addrule" --url https://www.vservercontrolpanel.de/index.php/user/firewall/$servername/submit




protokoll="udp"
curl -b openvcpcookie.txt -d "proto=$protokoll&srcip=$sourceip&srcport=$sourceport&destip=$destinationip&destport=$destinationport&target=$policy&match=$match&match_value[NEW]=$new&match_value[ESTABLISHED]=$established&match_value[RELATED]=$related&direction=$direction&add_rule=$addrule" --url https://www.vservercontrolpanel.de/index.php/user/firewall/$servername/submit




protokoll="icmp"
curl -b openvcpcookie.txt -d "proto=$protokoll&srcip=$sourceip&srcport=$sourceport&destip=$destinationip&destport=$destinationport&target=$policy&match=$match&match_value[NEW]=$new&match_value[ESTABLISHED]=$established&match_value[RELATED]=$related&direction=$direction&add_rule=$addrule" --url https://www.vservercontrolpanel.de/index.php/user/firewall/$servername/submit




#logout
curl -b openvcpcookie.txt --url https://www.vservercontrolpanel.de/index.php/user/logout




rm openvcpcookie.txt

Alles anzeigen

Das übliche: KEINE GEWÄHR, GARANTIE, SUPPORT etc. ANWENDUNG AUF EUER EIGENES RISIKO!!!
Das script sollte über Dateirechte abgesichert werden, da das OpenVCP Passwort im Klartext drinn steht. (im Init Bereich solltet ihr das eintragen)

Curl muss natürlich installiert sein/werden....

Viel Spaß damit.

Gruß
tux1337

€dit: weitere variable für servername

KB19

Du solltest noch eine weitere Variable im init-Bereich anlegen, denn der vServer Name ist derzeit noch hardcoded

MfG Christian

tux1337

stimmt du hast recht, habe ich gerade geändert... nimmst du bitte den namen aus deinem obigen beitrag raus... thx dir.

oncp

Hab das Script jetzt mal getestet, weil ich ein Programm gefunden habe, das mit Actionscripts arbeiten kann.

Leider funktioniert es nicht, da kein Login möglich ist - ich bleibe also beim Login hängen.

Kann es sein, dass am VCP etwas geändert wurde und es deswegen nicht mehr geht?

(Variablen für Login wurden natürlich geändert; Passwort und Benutzername stimmen auch)

MfG

tux

Ist curl installiert?

So kann es bei Debian/Ubuntu überprüft werden:

Code

dpkg -l |grep curl

oncp

Natürlich

Hab mir den Code ja angeschaut und überprüft, ob die verwendeten Programme installiert sind!

Benutzer online in diesem Thema