KeyHelp Community

So, mein Keyhelp 17 hat ja nun eine Firewall Verwaltung.

Aber ich frage mich, brauche ich die?
Was muss man da machen?

Dieser Hinweis

Bitte beachten Sie: Wenn Sie die KeyHelp-Firewall-Verwaltung verwenden, wird das aktuelle Verhalten Ihres fail2ban-Daemons geändert.

wirft für mich mehr Fragen auf als er beantwortet.

fail2ban läuft also.
Anscheinend ja gut, denn bisher habe ich keine Probleme bemerkt.
Wenn ich nun die Firewall aktiviere, was ändert sich dann bei fail2ban?
Ja klar, wie oben gesagt, "das aktuelle Verhalten" ändert sich. Aber woraus besteht das "aktuelle Verhalten"?
Und wo kann ich es einsehen?
Und dann wenn die Firewall erstmal läuft, kann ich nur manuell wieder zurück schalten?

Ich habe echt ein wenig Muffensausen, daß ich da etwas aktiviere und plötzlich irgendwas anderes nicht mehr läuft und ich dann panisch manuell in Dateien rumfummeln muss um wieder alles zurecht zu biegen.

Es wäre auch schön, wenn man die Firewall Regeln erstmal angucken könnte ohne dass irgendwas passiert. Aber schon dieses "Entwurf hinzufügen" ist mir nicht ganz geheuer.

Hat denn schon jemand das neue Feature aktiviert?

Tobi wrote:Wenn ich nun die Firewall aktiviere, was ändert sich dann bei fail2ban?

Normalerweise fügt der fail2ban Daemon, sofern er ungewöhnliches Verhalten festgestellt hat, automatisch neue Regeln in die INPUT-Kette der Firewall hinzu (und entfernt diese nach eingestellter Dauer wieder).
Die Änderung ist nun die Folgende: Es wird in der INPUT-Kette ein "Verweis" (--jump) zu einer neuen Kette "fail2ban" erstellt. Der fail2ban Daemon fügt nun seine Regeln nicht mehr in die INPUT-Kette hinzu, sondern in die neue "fail2ban"-Kette.
Das Resultat ist das Selbe, aber wir halten dies für deutlich übersichtlicher, alle (automatisch) gemanagten Regeln des fail2ban-Daemon von der INPUT Kette auszulagern.

Dieser Hinweis ist für User gedacht, die in der fail2ban Konfiguration bereits selbst so eine Änderung vorgenommen haben. Wenn du an der fail2ban Konfiguration keine Änderungen vorgenommen hast, dann spielt das für dich keine Rolle, da das bisherige fail2ban Verhalten (von der Funktionsweise her betrachtet) dem neuen Verhalten entspricht.

Also aud gegebenem Anlass wollte ich dann doch jetzt mal heute endlich die Firewall aktivieren.

Aber ganz ehrlich bin ich mit der Fülle an Optionen und Einstellungsmöglichkeiten überfordert.
Ich brauche jetzt auch gar nicht mit "BOGUS" und irgendwelchen Spezialbegriffen anfangen.
Was sind "Ketten"? Wie unterscheidet die sich von einer "Regel"?
Welche Auswirkungen hat ein Umgruppieren?
Was sind "Friends"?
Und so weiter und so fort...

Im Admin Handbuch https://doc.keyhelp.de/index.php?manual ... anguage=de gibt es einen Treffer zu "Firewall" auf Seite 47 und der Stand ist vom 30.11.2016. Es ist mir schon klar, dass ihr das wisst. Wollte es nur mal erwähnt haben.

Also ich persönlich würde für die Konfiguration DRINGEND einen Assistenten benötigen.
Außerdem "geprüfte Standrad-Profile".
Darunter stelle ich mir zum Beispiel die Firewall Einstellung "Webserver" vor.
Wenn ich diese Vorgabe aktiviere (Dummy Modus) werden die Standard Einstellungen für einen typischen Webserver für IPV4 und IPV6 gesetzt.
Weitere Profile wären beispielsweise "Mail-Server" oder "Team-Speak-Server".
So könnte man die Standard-Profile kombinieren und gut ist.

Darüber hinaus sollte es den o.g. Assistenten geben welcher "interaktiv" die benötigten Einstellungen abfragt.
So nach dem Motto "Was möchten Sie als Nächstes machen?
Und da wäre eine mögliche Option "Eine bestimmte IP sofort und hart für alle Dienste sperren". Weil genau das bräuchte ich wohl grade...

Ergänzung:

Idealerweise könnte man auf der Seite "Apache-Server-Status" die IP anklicken und dann auf "sperren" klicken

Hallo zusammen,

ich hole das Thema nioch mal nach vorn denn ich bin mit der Firewall ebenfalls überfordert.

Momentan sieht es so aus, dass ich mir in regelmäßigen Abständen die Serverauslastung anschaue. Ist die besonders hoch, schaue ich mir Apache Server Status an. Sehe ich dort, dass beispielsweise besonders viele POST Anfragen gestellt werden (üblicherweise an eine Wordpress-Schnittstelle oder direkt an die wp-login.php) dann kopiere ich mir die IP raus, wechsel in die Firewall und erstelle unter "BANNED" eine neue Regel, mit der ich diese IP dauerhaft blockiere.

Das hilft, wenn auch nur kurz. Kurze Zeit später kommen neue angreifende IPs und das Spiel geht von vorn los.

Dass mal eine IP aufgrund mehrere fehlgeschlagener Login-Versuche vorübergehend gesperrt worden wäre, hatte ich bisher noch nie.

Aber genau das brauche ich dringend.

Ich habe im Internet mehrere Anleitungen gefunden aber die beziehen sich natürlich nicht auf die Keyhelp-Schnittstelle. Ich brauche also eine Anleitung, wie ich maxentry und bantime unter keyhelp einrichten kann. Bisher habe ich dazu aber noch nichts gefunden.

Hallo,

bitte die "iptables" nicht mit einer IDS/IPS" ("Snort"/"Suricata") oder einer "WAF" wie "ModSecurity"/"NAXSI" und diversen Lösungen welche direkt auf der Anwendungsschicht aufsetzen verwechseln. Diese arbeiten wenn final konfiguriert scheinbar "magic".

Die Iptables ist eine Firewall welche lediglich anhand vorab erstellter Regelsätze und Chains den "Trafficfluss" bzw. den Zugriff auf das System überprüft, blockiert, erlaubt oder weiterleitet.

Wenn in der Firewall der Standardport für den SSH-Dienst (22/tcp) uneingeschränkt vom Rest der Welt erreichbar ist, dann prüft diese lediglich ob der Zielport und das Übertragungsprotokoll mit dem aus dem Regelsatz übereinstimmt und lässt diesen passieren. Die Firewall, in dem Fall die Iptables unterscheidet nicht, ob der Traffic welcher diesen Port nun erreicht legitim ist oder ob innerhalb von 1-n Minuten 1000x fehlgeschlagene Logins oder gar X Gb über SCP übertragen wurden. Die Prüfung auf fehlgeschlagene Logins ist keine Funktion der Firewall "out-of-the-box" - hier macht man sich lediglich zusätzliche Programme/Scripte zunutze wie "Fail2Ban".

Fail2Ban überprüft am Beispiel von SSH die "/var/log/auth.log" fehlgeschlagene Loginversuche und anhand der für den jeweiligen Dienst/Jail in der f2b-Konfiguration angegeben Limits, erstellt Fail2Ban bei erreichen dieser, die iptables-Regel zum Verwerfen von Traffic. Diese Mechanik gibt den iptables einen dynamisch-automatischen Hauch wenn, explizit Blockierungen von mehrfach unerwünschten und fehlgeschlagenen Logins vonstatten gehen.

Die Absicherung von Wordpress-Instanzen ist mit Fail2Ban und einem extra Jail sicherlich auch möglich, jedoch muss dies zuvor von Hand immer eingerichtet werden, damit Fail2Ban die Webserverlog überhaupt auf fehlgeschlagene "domain.tld/wp-admin/login.php" POSTs überprüft.
-> Beispiel: die Limitierung von Zugriffen bei Keyhelp-Systemen auf "Phpmyadmin"

Selbstverständlich ist die iptables-firewall in der Lage auch andere komplexere Limitierungen umzusetzen:
+ Limitierung von Verbindungen pro Sekunde/Minute/Stunde von IP-X /Subnetz-X oder maximal X IPs aus Subnetz-X
+ Filterung auf explizit angegebene flags oder raw-packets der Form X oder der Größe 'n' bytes
+ Prozess und User/Gruppenabhängige Regelungen
+ Country/Geoblocking in Verbindung mit "ipset" oder Blocklisten (dshild,tor,rbls,..)
uvm.

Derartige Filter lassen sich jedoch nur mit Anpassung auf ein- oder mehrere identische Systeme vornehmen und finden in vielen Fällen gar keine Verwendung, d.h. manuelle Anpassungen sind von Hand notwendig und variieren von System-zu-System.
Die bereitgestellte Funktion zur Konfiguration der iptables aus einer GUI(Keyhelp) heraus ermöglicht und vereinfacht dies, sofern die benötigte Syntax zur Erstellung der Regeln/Ketten nicht 100%ig geläufig sind. Auch stellt diese Vereinfachung keine Alternative von Firewall Appliances (Sophos/Cisco ASA/Sonicwall/Securepoint/Watchguard/Ipcop/Pfsense/Opensense/Ipfire/etc.) dar.

Anwendungsbezogene Legitimationsprüfungen und deren Handling ist die Firewall wie beschrieben nicht in der Lage, dies erfordert immer individuelle Anpassungen an den Zweck und die Anforderungen. Sobald die prüfende Anwendung (z.B. Kombination von WP/Webserver/F2B) für die Firewall verwertbare Informationen bereitstellt, dann kann dies auch auf IP und Protokollebene limitiert werden.

Anbei 2 vielleicht nützliche Links zur Wordpress/Fail2Ban/Iptables-Kombi:
#1 https://de.wordpress.org/plugins/wp-fail2ban/
#2 https://www.bjornjohansen.no/using-fail ... -wordpress

Hi,
ich muss das Thema hier nochmal aufgreifen.
Habe mir diesen Thread 2x durchgelesen und bin genau so schlau wie vorher. Irgendwie ist das alles etwas verwirrend.

Ich betreibe seit 3-4 Jahren einige Webserver im Hostingbereich, als System wird ausschließlich Debian genutzt.
Es wird natürlich IPtables genutzt mit diversen zusätzlichen blacklists, die täglich automatisch eingelesen werden etc.
Auch Fail2ban wird mit verschiedenen Jails erfolgreich genutzt. Eine seperate Firewall hatte ich bis Dato nicht genutzt,
deswegen bin ich etwas verwundert über Bogus, Ketten und Co.
ganz ehrlich finde ich die Firewall, F2B, Friend, Ketten etc. in der GUI etxrem unübersichtig. Habe es wenigstens geschafft, den
geänderten SSH-Port neu festzulegen.

Meine Frage dazu:
Wieso wird bei der Installation von KH dieser ganze Firewall-Krams mit installiert?
WENN der Admin unbedingt eine Firewall nutzen will kann er dieses doch manuell über die Console steuern!?
Meine Vermutung ist, das mit den Firewall-Einstellungen im KH mehr kaputt gemacht werden als es eigentlich nutzen soll und die Systemlast unnötig erhöht.

Verstehe ich es richtig, wenn ich bei ALLEN FW Regeln, Ketten etc. das Häckchen entferne für deaktiviert, wird somit die FW komplett deaktiviert??

Ganz ehrlich....ich hab' das auch noch nicht kapiert. Fail2Ban funktioniert einfach nicht. Ich verbringe täglich so ne gute halbe Stunde damit, alle IPs zu bannen, die permanente POST-Anfragen auf wordpress schicken. Normalerweise müsste F2B die doch selkbständig erkennen und blocken.

Mal für Doofe bitte

Hallo,

@hase: Wenn du bisher bereits iptables genutzt hat, so ist die in KeyHelp integrierte Firewall im Prinzip nichts anderes. Dies ist (sofern man den aktuellen Regelsatz neu einlesen lässt) die jeweils "grafische" Darstellung der aktuellen iptables Regeln. Die unterschiedlichen Ketten in den Standardregeln sollen lediglich die Strukturierung verbessern. Alles insofern kein Hexenwerk

@HolgerGr: Per Default überwacht fail2ban bei einem KeyHelp System lediglich SSH und PHPmyAdmin. Weitere Möglichkeiten stehen noch auf der ToDo Liste. Speziell für Wordpress sind aber entsprechende zusätzliche Einstellungen nötig. Diese könnten zum aktuellen Zeitpunkt selbst in der /etc/fail2ban/jail.local definiert werden.

Martin wrote: ↑Sat 14. Oct 2017, 17:32 Hallo,

@hase: Wenn du bisher bereits iptables genutzt hat, so ist die in KeyHelp integrierte Firewall im Prinzip nichts anderes. Dies ist (sofern man den aktuellen Regelsatz neu einlesen lässt) die jeweils "grafische" Darstellung der aktuellen iptables Regeln. Die unterschiedlichen Ketten in den Standardregeln sollen lediglich die Strukturierung verbessern. Alles insofern kein Hexenwerk

Also das verstehe ich nicht. Aktuell sind in der Iptables ca. 2500 IPs drin. Aber sehen tu ich in der Firewall-GUI nix
Wie soll ich den regelsatz denn einlesen lassen

Martin wrote: ↑Sat 14. Oct 2017, 17:32 Hallo,

@HolgerGr: Per Default überwacht fail2ban bei einem KeyHelp System lediglich SSH und PHPmyAdmin. Weitere Möglichkeiten stehen noch auf der ToDo Liste. Speziell für Wordpress sind aber entsprechende zusätzliche Einstellungen nötig. Diese könnten zum aktuellen Zeitpunkt selbst in der /etc/fail2ban/jail.local definiert werden.

Das stimmt nicht so ganz!
Meine manuellen Einstellungen zu F2B greifen alle, sofern die jail.local etc. entsprechend angepasst ist! Nur werden diese nicht in der GUI gezeigt.

Hallo,

bei Firewall -> Einstellungen gibt es eine Checkbox um die aktuellen Regeln neu einlesen zu lassen. Dies dauert dann ca. 1-2 Minuten und wenn man die Firewallseite dann erneut aufruft werden diese angezeigt.

(Mache ich üblicherweise so, da ich Firewallregeln gewohnheitsmäßig lieber über die Shell setze )

Bezgl. Fail2Ban, eigene Einstellungen sind natürlich wirksam, nur per Default sind nur von mir genannten Regeln aktiv. Alle anderen Regeln für fail2ban müsste der Admin zunächst selbst eintragen.

Aha, so langsam kapiere ich es
Ganz ehrlich, habe ich die Checkbox zum einlesen erst nach Deinem Beitrag gefunden Danke für Deine Kurzanleitung...

Aber meine ehrliche Meinung ist, das die Firewall-GUI eigentlich überflüssig ist.

hase wrote: ↑Sat 14. Oct 2017, 23:57Aber meine ehrliche Meinung ist, das die Firewall-GUI eigentlich überflüssig ist.

Nich unbedingt. Für Leute (wie ich selbst) die mit einer GUI lieber arbeiten, macht die Firewall schon sinn.

Nachdem ich mich nun ein paar Tage damit beschäftigt habe, habe ich es dann auch kapiert. Wollte schon Jolinar zur Hilfe rufen....
Ist etwas gewöhnungsbedürftig - wüsste hier aber keine Verbesserung.