iptables ip reject i.c.m. portforward/reverseproxy

[AOC]

Op mijn rapsberry wil ik graag fail2ban draaien omdat ik deze aan het internet ga hangen en zodoende van afstand data wil aflezen van Grafana die op de raspberry draait.

Probleem is dat iptables de ip ingeschoten door fail2ban niet werkelijk blokkeert. Dit heeft in eerste instantie (denk ik) te maken met het feit dat ik gebruik maak van dataplicity.com. Die zorgt ervoor dat ik mijn Raspberry van buiten het netwerk kan bereiken en draait op localhost poort 80

Het volgende is dat de IP die ingeschoten wordt door fail2ban naar iptables afkomstig is uit een acces.log welke de juiste ip's toont m.b.v. x-forwarded-for. De host ip blijft gewoon 127.0.0.1 en een andere IP die ik kan inzien begint altijd met 10.90.xxx.xxx welke afkomstig zijn van dataplicity. Ik vermoed dat iptables naar de host ip kijkt welke altijd 127.0.0.1. is en daarom niet de IP kan blokkeren die fail2ban toewijst.

Hoe kan ik iptables laten kijken naar de x-forwarded-ip? Of hoe kan ik ervoor zorgen dat de werkelijke ip getoond wordt?

In Nginx heb ik al meerdere configuraties geprobeerd om een 'real-ip' te generen maar volgens mij gooit dataplicity roet in het eten.

Heeft iemand wellicht ideeën waar ik verder in kan duiken?

[alex3305]

IPTables zal alleen het TCP verkeer routeren op L3/L4 niveau, terwijl je eigenlijk op applicatieniveau wilt filteren. Met andere woorden, IPTables heeft geen idee wat er in het pakket zich afspeelt. Dat is ook niet iets wat je zou willen, aangezien daarmee de performance drastisch lager zal worden.

Ik ken Dataplicity niet, maar heb zelf een domeinnaam aan het externe IP adres van mijn modem verbonden. Aangezien daar geen processing op zit, krijg je dus dan wel het juiste src ip mee gestuurd. Zelf maak ik gebruik van Cloudflare om mijn DNS te managen. Daarmee is de TTL van de records ook extreem laag en kan ik nagenoeg on-the-fly aanpassingen maken. Ook omdat mijn IP weinig veranderd is dat een voldoende oplossing hier.

Een andere optie zou zijn om een VPN te gebruiken. Daarmee zorg je er in feite voor dat je afdwingt dat je eerst verbonden moet zijn naar jouw thuisnetwerk voordat je jouw services kunt gebruiken.

[Orion84]

iptables past gewoon de regels toe die fail2ban genereert. Dus als er al iets mis gaat en verbeterd moet worden, dan zit 'm dat in fail2ban, die de logs leest en op basis daarvan iptables rules inschiet. Dus geef eerst eens een kopie van de regels die door fail2ban worden gegenereerd (en de rest van je iptables config).

Als ik me niet vergis kan je met iptables -L een uitdraai maken van alle op dit moment actieve regels.

[ Voor 5% gewijzigd door Orion84 op 16-02-2019 16:31 ]

[Hero of Time]

Met bovenstaande ^. Daarbij heeft fail2ban hele mooie filter regels voor je jails. Je kan die vrij aanpassen of bij de jail specificeren in je jail.local. Als je dus al het werkelijke IP dat verbinding maakt met je Pi in de logs te zien krijgt van Nginx, moet je kijken of de filter regels hier ook rekening mee houdt. Doet het dat niet, dan zal je dus die regels moeten aanpassen zodat het naar het juiste veld kijkt, waardoor het werkelijke IP adres wordt gebanned.

[AOC]

op zich pakt fail2ban al het juiste ip-adres. Deze komt ook in de iptables terecht. Maar ondanks de juiste ip in iptables kan diegene toch de site bezoeken.

Zelf vermoed ik dat door dataplicity iptables het juiste ip niet in kan zien.

Waar kan ik overigens de iptables config vinden op raspbian?

[Orion84]

Zoals gezegd: door iptables -L uit te voeren.

[ Voor 9% gewijzigd door Orion84 op 18-02-2019 19:09 ]

[Hero of Time]

Waterkoker schreef op maandag 18 februari 2019 @ 18:50:
op zich pakt fail2ban al het juiste ip-adres. Deze komt ook in de iptables terecht. Maar ondanks de juiste ip in iptables kan diegene toch de site bezoeken.

Zelf vermoed ik dat door dataplicity iptables het juiste ip niet in kan zien.

Dat is heel goed mogelijk. Net zoals je bij reverse proxies het IP van de client doorgeeft aan de webserver heeft het geen enkel nut om bij de webserver het externe adres van de client te gaan blokkeren. De connectie komt eigenlijk van de reverse proxy.

[Orion84]

Maar iptables heeft niets met die webserver van doen, dus tenzij die reverse proxy op een andere machine draait moet het prima werken om IP adressen van clients in de firewall te mikken.

Maar laat nu eerst maar eens de actieve iptables rules zien, want zonder dat is er een pijl op te trekken waar dit mis gaat.