Hallo liebe Gemeinde,
ich bin seit ca. 1 Woche umgezogen von 1und1 nach Contabo. Ich habe mir den kleinsten VPS bestellt und soweit eingerichtet. Auf dem vServer vom 1und1 lief noch alles dediziert, nun möchte ich die Applikationen mit Docker isolieren. Bisher habe ich einen Apache2.4 mit SSL zum fliegen gebracht im Docker-Container. Die Webseite ist mit htaccess-Digest abgesichert. Um nun Brute-Force-Attacken entgegenzuwirken habe ich fail2ban eingerichtet. Dazu habe ich die Logging-Daten vom Apache2.4 vom Host einbinden lassen (-v), außerdem gebe ich dem Container die Zeit des Hosts darüber mit.
Soweit so gut, und es läuft. Was nicht läuft ist fail2ban für den Container. Fail2ban schlägt beim SSH-Zugriff auf dem HOST zu, wie es soll. Wenn ich aber mehrere Male das Kennwort bei htaccess falsch eingebe, wird im Log von Fail2ban angezeigt, dass ich gesperrt werde, iptables sagt es auch ABER ich werde nicht gesperrt, wieso auch immer. Also kurzum ssh-Sperre klappt auf dem Host, die Sperre mit dem Container leider nicht.
Hier schön zu sehen, dass meine IP gesperrt wurde. Dennoch habe ich weiteren Zugriff auf die Webseite, was nicht sein dürfte.
Fail2ban Log
Iptables -L
Fail2ban-Regex
Was habe ich übersehen? :/
- Danke für jegliche Hilfe!
ich bin seit ca. 1 Woche umgezogen von 1und1 nach Contabo. Ich habe mir den kleinsten VPS bestellt und soweit eingerichtet. Auf dem vServer vom 1und1 lief noch alles dediziert, nun möchte ich die Applikationen mit Docker isolieren. Bisher habe ich einen Apache2.4 mit SSL zum fliegen gebracht im Docker-Container. Die Webseite ist mit htaccess-Digest abgesichert. Um nun Brute-Force-Attacken entgegenzuwirken habe ich fail2ban eingerichtet. Dazu habe ich die Logging-Daten vom Apache2.4 vom Host einbinden lassen (-v), außerdem gebe ich dem Container die Zeit des Hosts darüber mit.
Soweit so gut, und es läuft. Was nicht läuft ist fail2ban für den Container. Fail2ban schlägt beim SSH-Zugriff auf dem HOST zu, wie es soll. Wenn ich aber mehrere Male das Kennwort bei htaccess falsch eingebe, wird im Log von Fail2ban angezeigt, dass ich gesperrt werde, iptables sagt es auch ABER ich werde nicht gesperrt, wieso auch immer. Also kurzum ssh-Sperre klappt auf dem Host, die Sperre mit dem Container leider nicht.
Hier schön zu sehen, dass meine IP gesperrt wurde. Dennoch habe ich weiteren Zugriff auf die Webseite, was nicht sein dürfte.
Fail2ban Log
Iptables -L
Fail2ban-Regex
#sudo fail2ban-regex /var/log/Docker/apache2/error.log /etc/fail2ban/filter.d/apache-auth.conf
Running tests
=============
Use failregex file : /etc/fail2ban/filter.d/apache-auth.conf
Use log file : /var/log/Docker/apache2/error.log
Results
=======
Failregex: 1226 total
|- #) [# of hits] regular expression
| 6) [668] ^\[[^]]*\] \[?error|\S+:\S+)\]( \[pid \d+
| 7) [558] ^\[[^]]*\] \[
`-
Ignoreregex: 0 total
Date template hits:
|- [# of hits] date format
| [2274] WEEKDAY MONTH Day Hour:Minute:Second[.subsecond] Year
`-
Lines: 2283 lines, 0 ignored, 1226 matched, 1057 missed
Missed line(s): too many to print. Use --print-all-missed to print all 1057 lines
Was habe ich übersehen? :/
- Danke für jegliche Hilfe!
Zuletzt bearbeitet:
) dann i.d.R. auch zu bequem ist, die FORWARD-rules entsprechend anzupassen, hat ein Einbrecher sowieso im Docker die Möglichkeit, sein Botnet zu betreiben... Außerdem muss ich für jede Webapp (Baikal, Lesezeichenserver) einen eigenen Docker-Container anlegen (oder selber Dockerfiles erstellen und auch innerhalb des Dockers noch die Zugriffe absichern..., ist dann aber auch nicht mehr die Docker-Philosophie) und bei einem Sicherheitsupdate darf ich dann alle Images neubauen, d.h. also aus einem Patch werden 5-10-Docker-Patches... Wo da für den Privatmann, der jeden Dienst nur in einfacher Ausfertigung, auf einem Gerät braucht, der Vorteil liegt, weiß ich nicht (und für nicht-Roots sollte die Datensicherheit ja auch durch die geeigneten Nutzer gegeben sein).
. Leider stecke ich nicht so massig in IPTables drin, um dagegen oder dafür etwas zu sagen. Ich hatte mir durchaus gedacht, dass es was mit dem Routing sein könnte aber wie es nun realisiert wird ist mir immernoch schleierhaft und vor allem wie ich die Konfig im fail2ban anpasse :/ Da muss ich wohl noch weiter recherchieren. Aber auch lustig, wie es bis dato noch keine ähnlichen Fälle dazu gibt oder bin ich wieder zu doof zum googlen? 
Kann doch nicht, sein das ich der einzige bin der versucht seinen Container mit fail2ban abzusichern ODER die machen es alle schlauer als ich ^^