Firewalling: iptables und Fail2Ban

fail2ban auf Debian Squeeze installieren und konfigurieren

Um Bruteforce Attacken auf ssh oder ftp Servern Paroli zu bieten, empfiehlt sich unter anderem der Einsatz von fail2ban. Über die iptables sperrt fail2ban Quell-IPs, über die versucht wird, ein Passwort zu erraten. Je nach Konfiguration wird die IP nach einer bestimmten Anzahl von Fehlversuchen für eine gewisse Zeit gesperrt.



Ihr installiert fail2ban über

apt-get install fail2ban

Zudem falls noch nicht geschehen das Paket whois:

apt-get install whois

Als nächstes kopiert die Konfigurationsdatei jail.conf nach jail.local

cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

Danach kann die Datei jail.local editiert und auf die eigenen Bedürfnisse angepasst werden. Per default ist nur der ssh "scharf" geschaltet.

nano /etc/fail2ban/jail.local

Wenn Ihr Euch die Datei anseht, stehen bereits schon entsprechende Sections wie der proftp zur Verfügung. Um eine bestimmte Section zu aktivieren stellt im jeweiligen Bereich das

enabled = false

auf

enabled = true

Die Standart bantime (= die Zeit, die eine IP gesperrt ist) steht auf 600 Sekunden = 10 Minuten. Sollte ein besonderer Dienst länger gesperrt werden, schreibt in die Section

bantime = XYZ

XYZ in Sekunden

Der Wert maxretry gibt an, ab wieviel Fehlversuche gesperrt wird. 5 bis 6 Fehlversuche gehen in der Regel in Ordnung.

Nach jeder Änderung muss fail2ban neu gestartet werden:

/etc/init.d/fail2ban restart

Achso: Der Wert ignoreip ist auch wichtig. Gebt hier die IP Eures Rechners ein, der keinesfalls gesperrt werden soll. Nichts schlimmeres, als wenn Eure eigene Maschine nicht mehr ran kann ;-)

Wer zudem sich den Luxus gönnen möchte, dass man per Mail verständigt wird, sobald ein Einbruchsversuch geblockt wurde, kann dies natürlich auch einrichten. Gebt dazu den Parameter destemail in der jail.local an:

destemail = meine@email.adresse

Als Standard MTA ist sendmail angegeben. Die heutigen Debianserver haben als Standard MTA den exim4 hinterlegt. Dieser funktioniert als Ersatz auch und es muss hier in der jail.local nichts umgebogen werden.

Solltet Ihr eigentlich keinen Webserver aktiviert haben, könnt Ihr aber dennoch den exim dazu verwenden, via eines sogenannten Smarthosts (= externer Mailserver) Eure fail2ban Mail verschicken zu lassen.

Um einen Smarthost einzurichten startet die Konfiguration mit einem

dpkg-reconfigure exim4-config

Folgende Konfigurationsschritte:
1.) Versand über Sendezentrale (Smarthost); Empfang mit SMTP oder Fetchmail

2.) Email Name des Systems: Lasst einfach den voreingestellten Domänen Name stehen

3.) IP-Adressen, dan denen eingehende SMTP-Verbindungen erwartet werden: 127.0.0.1

4.) Weitere Ziele, für die die E-Mails angenommen werden sollen: Auch hier den default Domän Namen stehen lassen

5.) Rechner für die die E-Mails weitergeleitet werden sollen (Relay): Leer lassen, wenn nicht ein weiterer Rechner DIESEN Rechner als Smarthost verwendet. Also normal leer lassen.

6.) IP Adresse oder Rechnername der Sendezentrale für ausgehende E-Mails: Hier und genau hier kommt die IP Adresse oder der Rechnername (mail/smtp.xyz) Eures ISP rein!
7.) Lokalen E-Mail Namen in ausgehende Mails verbergen: Ja

8.) Sichtbarer Domänennamen für lokalen Benutzer: Hier gebt eine Adresse ein, die Ihr besitzt (in der Form meinepage.de)

9.) DNS Anfrage minimieren: Nein

10.) Versandart bei lokaler Mailzustellung: Mbox Format in /var/mail/

11.) Einstellungen auf kleine Dateien aufteilen: Nein

Danach startet der MTA neu. Jetzt kann es auch sein, dass Euer Smarthost eine Authentifizierung abverlangt. Diese hinterlegt in der folgenden Datei: /etc/exim4/passwd.client

Hier das Passwort wie folgt hinterlegen:

IP_des_Mailserver_oder_Name:LOGIN:PASSWORT

Die Datei sollte nur lesbar für root sein.

Startet danach den MTA neu:

/etc/init.d/exim4 restart

Jetzt könnt Ihr auch Mails verschicken.
Danach geben wir noch in der /etc/fail2ban/jail.local an, dass auch E-Mails verschickt werden sollen. Ändert hierfür die Zeile

action = %(action_)s

in

action = %(action_mwl)s

Jetzt den fail2ban neu starten:

/etc/init.d/fail2ban restart

Nun sollte es nicht mehr lange dauern, bis Ihr eine Mail bekommt.

Die Logfile könnt Ihr an der Konsole mit einem

tail -f /var/log/fail2ban.log

überwachen.

Damit ist ein Geschützturm für Euren Server aufgestellt.

Firewall Script mit iptables

Parallel zur Fail2Ban Installation macht es Sinn, noch seinen Server über ein Firewall Script abzudichten. Hierbei soll das Script folgendes machen:

a) Spezielle IP Nummern sperren (Blacklisting)
b) Alle Ports dicht machen
c) Spezielle Ports öffnen

Zuerst legen wir unsere Blacklistdatei an:

touch /usr/local/etc/blacklist.txt

Solltet Ihr bereits IP Nummern haben, denen Ihr generell den Zugriff verwehren wollt, dann schreibt diese in die Blacklist Datei einfach untereinander rein.

Zu einer Blacklist gehört natürlich auch eine Whitelist:

touch /usr/local/etc/whitelist.txt

Hier kommen die IP Nummern rein, die nicht geblockt werden sollen, also immer Zugriff haben werden.

Dann legen wir unter /etc/init.d/ unser Firewallscript an:

touch /etc/init.d/firewall

Das machen wir ausführbar:

chmod +x /etc/init.d/firewall

Wir editieren nun das Skript mit

nano /etc/init.d/firewall

und füllen die Datei mit folgenden Inhalt:

#!/bin/sh
### BEGIN INIT INFO
# Provides:          custom firewall
# Required-Start:    $remote_fs $syslog $network
# Required-Stop:     $remote_fs $syslog $network
# Default-Start:     2 3 4 5
# Default-Stop:      0 1 6
# Short-Description: firewall initscript
# Description:       Custom Firewall, placed in /etc/init.d.
#                    script written by Gargi 2009 http://www.gargi.org
### END INIT INFO

#needed modules
modprobe ip_conntrack_ftp

BLACKLIST=/usr/local/etc/blacklist.txt
WHITELIST=/usr/local/etc/whitelist.txt

#PORTDESCRIPTION
#21:FTP 22:SSH 25:SMTP 53:DNS 80:HTTP 443:HTTPS 123:NTP

#trigger for your ports
IN_ALLOWED_TCP="21 22 25 53 80 443"
OUT_ALLOWED_TCP="21 22 25 53 80 443" 
IN_ALLOWED_UDP="53 123"
OUT_ALLOWED_UDP="53 123"
IN_ALLOWED_ICMP=" "
OUT_ALLOWED_IMCP=" "

case "$1" in
   start)

      # Stopping IP trap
      /etc/init.d/fail2ban stop
      echo "Stopping fail2ban IP trap ..."

      # Clear iptables
      iptables -F

      #Defaults
      iptables -P INPUT DROP
      iptables -P OUTPUT DROP
      iptables -P FORWARD DROP

      # loopback communication
      iptables -A INPUT -i lo -j ACCEPT
      iptables -A OUTPUT -o lo -j ACCEPT

      # persist on connections
      iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
      iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

      # Ban blacklisted IPs
      for x in `grep -v ^# $BLACKLIST | awk '{print $1}'`; do
        echo "Blocking $x..."
        iptables -A INPUT -t filter -s $x -j DROP
      done

      # Allow whitelisted IPs
      for x in `grep -v ^# $WHITELIST | awk '{print $1}'`; do
        echo "Allowing $x..."
        iptables -A INPUT -t filter -s $x -j ACCEPT
      done

      # TCP rules in
      for port in $IN_ALLOWED_TCP; do
        echo "Accepting TCP port $port"
        iptables -A INPUT -t filter -p tcp --dport $port -j ACCEPT
      done

      # TCP rules out
      for port in $OUT_ALLOWED_TCP; do
        echo "Allowing sending over TCP port $port"
        iptables -A OUTPUT -t filter -p tcp --dport $port -j ACCEPT
      done

      # UDP rules in
      for port in $IN_ALLOWED_UDP; do
        echo "Accepting UDP  port $port"
        iptables -A INPUT -t filter -p udp --dport $port -j ACCEPT
      done

      # UDP  rules out
      for port in $OUT_ALLOWED_UDP; do
        echo "Allowing sending over UDP port $port"
        iptables -A OUTPUT -t filter -p udp --dport $port -j ACCEPT
      done

      # ICMP rules in
      for port in $IN_ALLOWED_ICMP; do
        echo "Accepting ICMP  port $port"
        iptables -A INPUT -t filter -p icmp --dport $port -j ACCEPT
      done

      # ICMP rules out
      for port in $OUT_ALLOWED_ICMP; do
        echo "Allowing sending over ICMP port $port"
        iptables -A OUTPUT -t filter -p icmp --dport $port -j ACCEPT
      done

      # Dropping startup requests
      iptables -A INPUT -t filter -p tcp --syn -j DROP

      # Restarting IP trap
      /etc/init.d/fail2ban start
      echo "Fire up IP trap again ..."
      ;;
   stop)
      /etc/init.d/fail2ban stop
      iptables -F
      iptables -P INPUT ACCEPT
      iptables -P OUTPUT ACCEPT
      echo "Warning! Firewall is stopped, server is unprotected now!"
      ;;
   restart)
      $0 stop
      sleep 1
      $0 start
      ;;
      *)
      echo "Usage $0 {start|stop|restart}"
      ;;
esac

Ihr seht, dass Ihr oben einfach die gewünschten Ports für TCP / UDP In- und Outgoing eintragen könnt wie Ihr sie benötigt. Mit obigen Ports funktioniert FTP, DNS, SSH und HTTP. Jetzt müssen wir nur noch Debian beibringen, dass das Script in den Runlevels aktiviert ist:

cd /etc/init.d
update-rc.d firewall defaults

Danach startet das Script bei jedem Serverstart automatisch. Wenn Ihr neue Ports einfügt, dann müsst Ihr nicht jedes Mal den Server neu starten, sondern es genügt ein:

/etc/init.d/firewall restart

Hierbei wird zudem jedes Mal auch der Fail2ban neu gestartet. Um zu sehen, welche Regeln vorliegen ruft einfach

iptables -L -v

auf.


Gargi's Skript beim Systemstart

Portforwarding

Wenn von außen ein anderer Port als der Dienst es standardmäßig vorsieht, der Server aber den Port unbeding behalten muss, dann kann man auch recht einfach auf der gleichen Maschine ein Portforwarding mittels den iptables einrichten. Wir möchten beispielsweise den Port 180 auf den HTTP Port 80 legen, sodass beispielsweise am Router der Port 180 freigegeben werden kann und dieser dann auf den Server auf Port 80 geschoben wird. Fügt in das Script dann folgende Zeile ein:

iptables -t nat -A PREROUTING -p tcp --dport 180 -j REDIRECT --to-ports 80

Port für spezielle Hardware MAC freigeben

Möchtet Ihr, dass nur spezielle Rechner Zugriff auf einen Port haben sollen, dann kann das in den Sript auch einfach integriert werden. Wir wollen, dass zwei Rechner im Netz auf ssh Zugriff haben, sonst niemand. Schreibt dazu oben in das Script folgende Variable, in der Ihr dann alle MAC Adressen erfasst:

MAC_SSH="12:12:12:EE:EE:EE 23:23:23:23:CC:CC"

(die MACs natürlich entsprechend ändern)

In das Script weiter unten dann die Schleifen zusätzlich einbauen:

    # TCP rules in by MAC
      for mac in $MAC_SSH; do
       echo "Accepting device $mac on ssh"
       iptables -A INPUT -p tcp --destination-port 22  -m mac --mac-source $mac -j ACCEPT
     done

Startet danach Eure Firewall neu.

Fail2ban : wie man einen Ban aufhebt

Wenn Ihr Euch ausgesperrt habt und Ihr möchtet den Ban aufheben, dann geht wie folgt vor. Z.B. ist beim Einloggen in den FTP der Ban passiert. Lasst Euch dann die IPTABLES anzeigen:

iptables -L

Jetzt sucht den Bereich, wo Eure IP auftaucht. Z.B.:

Chain fail2ban-proftpd (1 references)
target     prot opt source               destination
DROP       all  --  192.168.1.2         anywhere
RETURN     all  --  anywhere             anywhere

Das erste, was gedroppt wird ist dann die gesuchte IP Nummer. Diese steht sozusagen in der ersten Drop Zeile des Abschnittes. Es könnten da theoretisch mehr IPs stehen, dann zählt die entsprechende Zeile ab. In unserem Beispiel ist es die Zeile 1.

Dann gebt folgendes ein:

iptables -D fail2ban-proftpd 1

Die 1 am Ende bedeutet eben die IP in der ersten Dropzeile. Jetzt solltet Ihr wieder zugreifen können.

Bei einem Restart des fail2ban kann es aber bei manchen Jail-Arten sein, dass eine IP wieder auf die Banliste gelangt, wenn eine entsprechende log Datei eingelesen wird. Hier muss dann die betroffene Log-Datei bearbeitet werden.

Version 0.8.6 : htaccess Fehlversuche werden nicht gebannt

Falls Fehlversuche auf einen htaccess (Apache Webserver) nicht gebannt werden, kann es sein, dass die apache-auth.conf bearbeitet werden muss:

nano /etc/fail2ban/filter.d/apache-auth.conf

Kommentiert die folgende Zeile aus:

failregex = ^%(_apache_error_client)s user .* (authentication failure|not found|password mismatch)\s*$

in

# failregex = ^%(_apache_error_client)s user .* (authentication failure|not found|password mismatch)\s*$

Setzt dafür folgende Zeilen darunter ein:

failregex = ^%(_apache_error_client)s user .* authentication failure for "\S*": Password Mismatch$
            ^%(_apache_error_client)s user .* not found: \S*\s*$

Speichert die Änderung ab und startet den fail2ban neu durch.

fail2ban versendet Mails mit Datum 1.1.1970

Falls fail2ban anfängt, Mails mit dem Datum 1.1.1970 zu verschicken, dann könnt Ihr den Fehler wie folgt beheben:

Editiert die /etc/init.d/fail2ban und fügt als erstes nach dem Info Bereich folgende Zeile ein:

export LC_TIME=C

Startet danach den fail2ban neu:

/etc/init.d/fail2ban restart

Oder mit dem kompletten Firewallscript

/etc/init.d/firewall restart

Die Stopp Meldungen kommen noch mit dem falschen Datum, die Startmeldung wieder mit dem korrekten.

Viele Grüße!
Pierre "Gargi" Kretschmer