Différences

Ci-dessous, les différences entre deux révisions de la page.

--- pratique:informatique:fail2ban [23/11/2023 09:15] – [Commandes fail2ban utilisées régulièrement] Zatalyz
+++ pratique:informatique:fail2ban [23/11/2023 13:37] – Zatalyz
@@ Ligne 1: / Ligne 1: @@
 ====== Fail2ban et Iptables ======
+<WRAP center round important 100%>
+Tout ça n'est pas encore au point.
+À un moment faudra que tout ça soit revu de fond en comble... J'apprends petit à petit.
+En attendant, n'utilisez pas ça "comme ça", ne croyez pas à la qualité de ce qui est là !
+</WRAP>
 Fail2ban logiciel me file des boutons mais je n'ai pas vraiment trouvé de remplaçant. Son principal mérite est de délayer les attaques par brute-force ; en principe notre serveur n'y est pas vulnérable, mais les principes et la sécurité... Bref, c'est aussi bien de l'avoir comme protection supplémentaire, selon le principe du tamis : si ça passe une couche, avec un peu de chance ça ne passera pas la suivante.
@@ Ligne 75: / Ligne 84: @@
 #-A INPUT -m set --match-set blocklist_ip src -j DROP
 # Ça, ça ne veut pas...
+#rejeter tout le reste
+-A INPUT -j REJECT --reject-with icmp-port-unreachable
 </code>
 ==== Commandes Iptables utiles ====
 Lister "tout" en vrac :
@@ Ligne 92: / Ligne 105: @@
   iptables-restore /etc/iptables/rules.v4
-=== Quelques explications ===
+==== Quelques explications ====
-== Différence entre -I et -A ==
+=== Différence entre -I et -A ===
   * ''-I'' signifie "insérer la règle à la ligne n° X" ; sans préciser de numéro, la règle se retrouve au début et a donc la priorité sur tout autre.
   * ''-A'' indique d'ajouter donc ce sera à la suite du reste des règles.
 Bref, quand on a un fichier qui charge les règles, elles sont forcément les unes après les autres, ''-A'' est indiqué. Si on teste une règle, alors ''-I'' peut être plus pertinent.
+=== Ordre des règles ===
+Les règles sont appliquées dans l'ordre.
+Donc il faut que les commandes d'ipset et fail2ban soient avant celles qui acceptent une connexion :
+  - On regarde si l'un de ces logiciels dit qu'il faut bloquer l'ip
+    - Si oui, elle dégage
+    - Si non, on passe à la règle suivante
+  - La règle suivante étant "on accepte".
+Sinon, ça serait :
+  - On accepte la connexion
+  - On regarde si fail2ban... ah ben non, forcément, ça ne marche pas, puisque la connexion est acceptée.
 ===== Ipset =====
-Créer une entrée pour toutes les ip qui vont être renvoyées dans les limbes (adapter le nom ''blocklist_ip'':
+Créer une entrée pour toutes les ip qui vont être renvoyées dans les limbes (adapter le nom ''blocklist_ip''):
   ipset create blocklist_ip hash:ip