По вашему запросу ничего не найдено :(
Убедитесь, что запрос написан правильно, или посмотрите другие
наши статьи:
Сразу перейду к делу. Пользователями FreePBX 14 замечен крайне серьёзный баг в утилите fail2ban.
Версия fail2ban, на которой замечен баг - 0.8.14-11 и ниже. Проверить можно командой rpm -qa | grep fail2ban:
fail2ban-fpbx-0.8.14-11.sng7.noarch
Данный баг заключается в том, что после установки чистой FreePBX Distro 14 сервис fail2ban хоть и в активном статусе, однако никаких “тюрем" (jails) он не подгружает и их количество = 0.
Проверить можно командой fail2ban-client status, если Ваш сервер подвержен багу, то Вы увидите:
[root@merionlab]# fail2ban-client status
Status
|- Number of jail: 0
`- Jail list:
Это значит, что например, максимальное число попыток ввода пароля для доступа к вэб-интерфейсу FreePBX или попыток регистрации SIP-клиента с неверным паролем - не ограничено, а IP-адрес, с которого приходят эти запросы не блокируется. Естественно, что модуль Intrusion Detection во FreePBX также не будет работать.
"Тюрьмы" или jails - это такие секции в файле /etc/fail2ban/jail.local, в которых указано, логи какого сервиса необходимо мониторить, чтобы выявлять и блокировать несанкционированные попытки доступа к этому сервису, а также такие параметры как время блокировки, максимальное число попыток и действие, которое необходимо предпринять в случае выявления.
Например, вот секция [asterisk-iptables]:
[asterisk-iptables]
enabled = true
filter = asterisk-security
action = iptables-allports[name=SIP, protocol=all]
sendmail[name=SIP, dest=none@yourpbx.com, sender=none@yourpbx.com]
logpath = /var/log/asterisk/fail2ban
maxretry = 5
bantime = 1800
В ней указано, что нужно мониторить лог /var/log/asterisk/fail2ban, искать в нём 5 попыток неуспешной регистрации (например SIP телефон пытается зарегистрироваться с неверным паролем) и банить IP-адрес на 30 минут. Ну и ещё можно отправку по email настроить о данном факте.
По умолчанию, в файле /etc/fail2ban/jail.local должно быть 7 таких секций - [apache-tcpwrapper], [recidive], [ssh-iptables], [apache-badbots], [pbx-gui], [asterisk-iptables], [vsftpd-iptables]. В каждой указан путь к логам соответствующего сервиса.
Решение
Итак, есть два решения данной проблемы. Первое – остановить сервис fail2ban командой systemctl stop fail2ban и внести следующие изменения в файл /usr/lib/systemd/system/fail2ban.service:
[Unit]
Description=Fail2Ban Service
After=httpd.service
[Service]
Type=forking
ExecStartPre=/bin/mkdir -p /var/run/fail2ban
ExecStart=/usr/bin/fail2ban-client -x start
ExecStop=/usr/bin/fail2ban-client stop
ExecReload=/usr/bin/fail2ban-client reload
PIDFile=/var/run/fail2ban/fail2ban.pid
Restart=always
[Install]
WantedBy=default.target
Затем запустить сервсис fail2ban командой systemctl start fail2ban и сделать так, чтобы сервис включался после ребута автоматически systemctl enable fail2ban.
И вторая – обновить сам fail2ban. Для этого вводим следующие команды:
yum install sangoma-devel
yum update
Проверяем версию fail2ban после обновления - rpm -qa | grep fail2ban:
fail2ban-fpbx-0.8.14-75.sng7.noarch
После данных действий, команда fail2ban-client status должна отобразить верное количество jails и fail2ban с Intrusion Detection должны вновь встать на стражу Вашего сервера:
[root@merionlab]# fail2ban-client status
Status
|- Number of jail: 7
`- Jail list: apache-tcpwrapper, recidive, ssh-iptables, apache-badbots, pbx-gui, asterisk-iptables, vsftpd-iptables
Чтобы случайно не заблокировать свой адрес и игнорировать любые неуспешные попытки доступа к серверу с адресов, находящихся в локальной сети или других доверенных адресов, внесите их или всю доверенную подсеть в секцию [DEFAULT] в поле ignoreip в том же файле /etc/fail2ban/jail.local
Сетевой гигант не может не заметить происходящее в мире, и, в связи с этим, Cisco решила смягчить свои условия выдачи временных версий продуктов, вплоть до очень щедрых 90 дней. В статье я хочу описать все возможные продукты от Cisco, которыми можно начать сейчас пользоваться или задуматься о покупке - ведь кризис это не только тяжелое и несчастливое время, но и шанс что-то поменять. У Cisco есть несколько спецпредложений по двум основным направлениям: безопасность и коллаборейшн. Важный нюанс: те предложения, которые будут описаны ниже актуальны только для России.
Что можно попробовать из продуктов инфосек от Cisco
Первое и самое главное - Cisco AnyConnect
Так как весь мир стремительно переходит на удаленку, вопросы обеспечения безопасного удаленного доступа выходят на первый план. Итак, что может предложить Cisco? В первую очередь - это щедрое предложение Cisco AnyConnect (AC это, наверное, самый популярный VPN клиент в мире).
Если у вас уже есть Cisco ASA, но вы не покупали лицензии на AnyConnect, а тут вдруг вам резко приспичило, у вас есть возможность самостоятельно получить их для вашей ASA на ресурсе cisco.com/go/license . Для этого нужно пройти по ссылке, войти в ваш аккаунт и выбрать на лицензионном портале All Licenses. Далее выбрать пункт Demo and Evaluation, Security и наконец AnyConnect Plus/Apex(ASA) Demo License and Emergency COVID-19 License
Далее введите серийный номер вашего устройства и количество пользователей.
Важно: сначала уточните аппаратный максимум по кол-ву VPN подключений на вашем устройстве. К примеру для популярной ASA5506-X этот показатель равен 50 юзерам.
Далее указываете ваш почтовый адрес, нажимаете Submit и вуаля - вам на почту приходит ключ лицензии. Соответственно, если у вас несколько устройств, операцию можно повторить несколько раз.
На вашем устройстве переходите в режим конфигурации путем ввода conf t и применяете ключ (5 октетов) путем ввода команды activation key %ваш полученный ключ%.
Если хочется чувствовать себя в безопасности даже без VPN и корпоративных средств защиты - Cisco Umbrella
Следующее предложение - это DNS сервис от Cisco, но с очень толстым и богатым функционалом аналитики сверху. Если говорить очень просто, то Umbrella не даст вам зайти на заведомо вредоносный сайт или обратиться к командному центру через DNS вирусу-шифровальщику. Процесс настройки в базовом случае очень прост и заключается либо в смене DNS на вашем домен-контроллере или маршрутизаторе. Кроме того, Umbrella также можно использовать в виде модуля AnyConnect - таким образом, ваши пользователи всегда будут под защитой. Для получения достаточно зайти по ссылке https://signup.umbrella.com/
Важно: не забудьте поставить галочку "I confirm that this account is for business purposes."
После этого вам придет ссылка на активацию 14-дневного триала, но вы можете запросить его продление на 90 дней путем отправки письма на security-request@cisco.com - там вам быстро ответят на русском языке.
Надоел Скайп или хочу узнать что такое Cisco Webex
Cisco Webex Meetings - это широко известная платформа для веб-конференций, и ее сейчас также можно получить в виде триала на 90 дней! Но процедура для России выглядит менее автоматизированной - для получения триала вам нужно обратиться к вашему аккаунт-менеджеру в Cisco (или к партнеру Cisco, у которого есть специализация по Collaboration) и запросить триал.
Процесс настройки крайне прост и не займет много времени, а удовольствия вы получите море. На этом все, надеюсь было полезно и интересно.
Как правило, EIGRP-спикер роутер динамически обнаруживает своих соседей, отправляя multicast Hello сообщения. Однако есть возможность статически настроить этих соседей и общаться с ними с помощью unicast сообщений. Это делается крайне редко, но в таких случаях может оказаться полезным.
Предыдущие статьи из цикла про EIGRP:
Часть 1. Понимание EIGRP: обзор, базовая конфигурация и проверка
Часть 2. Про соседство и метрики EIGRP
Часть 2.2. Установка K-значений в EIGRP
Часть 3. Конвергенция EIGRP – настройка таймеров
Часть 4. Пассивные интерфейсы в EIGRP
Следующие статьи из цикла:
Часть 6. EIGRP: идентификатор роутера и требования к соседству
Рассмотрим для примера Frame Relay WAN. Представьте себе, что роутер А имеет интерфейс, настроенный на десять постоянных виртуальных каналов Frame Relay (PVC). На другом конце двух этих PVC каналов находятся EIGRP-спикер роутеры. Однако другие восемь PVC каналов не подключены к EIGRP-спикер роутерам. В данной топологии, если бы WAN-интерфейс роутера A участвовал в EIGRP, то роутер A должен был бы реплицировать свое приветственное сообщение EIGRP и отправить копию всем десяти PVC, что привело бы к увеличению нагрузки на роутер A и увеличило использование полосы пропускания на других восьми PVC, не подключающихся к EIGRP роутеру. Это ситуация, при которой выигрыш состоит в статической настройке соседей EIGRP, а не от использования процесса обнаружения на основе многоадресной рассылки. Давайте рассмотрим вариант конфигурации статического соседства EIGRP в этой статье.
Статическая конфигурация соседства
Команда neighbor ip_address outgoing_interface вводится в режиме конфигурации роутера EIGRP для статического указания соседства EIGRP. Обратите внимание, что эта настройка должна быть выполнена на обоих соседях. Кроме того, имейте в виду, что IP-адрес, указанный в команде neighbor, принадлежит той же подсети, что и указанный исходящий интерфейс. На основе топологии, показанной ниже, следующие примеры настроек показывают, как роутеры OFF1 и OFF2 статически указывают друг на друга, в отличие от использования динамического обнаружения.
OFF1#conf term
Enter configuration commands, one per line. End with CNTL/Z.
OFF1(config)#router eigrp 1
OFF1(config-router)#neighbor 10.1.1.2 gig 0/1
OFF1(config-router)#end
OFF1#
OFF2#conf term
Enter configuration commands, one per line. End with CNTL/Z.
OFF2(config)#router eigrp 1
OFF2(config-router)#neighbor 10.1.1.1 gig 0/1
OFF2(config-router)#end
OFF2#
На роутере OFF1 команда neighbor 10.1.1.2 gig 0/1 введенная в режиме конфигурации роутера EIGRP, дает команду процессу EIGRP прекратить отправку многоадресных сообщений из интерфейса Gig 0/1 и вместо этого начать использовать одноадресные сообщения. Он также инструктирует процесс маршрутизации EIGRP попытаться установить соседство с EIGRP-спикер роутером, по IP-адресу 10.1.1.2 (то есть IP-адрес интерфейса Gig 0/1 роутера OFF2). Поскольку статическая конфигурация соседа должна выполняться на обоих концах канала, роутер OFF2 аналогично настроен для отправки одноадресных сообщений EIGRP со своего интерфейса Gig 0/1 и для установления соседства с EIGRP-спикер роутером с IP-адресом 10.1.1.1 (то есть IP-адресом интерфейса gig 0/1 роутера OFF1).
Проверка статического соседства
Чтобы определить, какие интерфейсы на роутере статически настроены с соседом EIGRP, можно использовать команду show ip eigrp neighbors detail. В приведенном ниже примере показано, что эта команда выполняется на роутере OFF1. Обратите внимание, что выходные данные идентифицируют 10.1.1.2 как статически настроенного соседа.
Предостережение по применению статического соседства
Рассмотрим роутер, который должен установить более чем одно соседство EIGRP с одного интерфейса, например роутер OFF2 на рисунке ниже. В этой топологии роутеры OFF1 и OFF2 динамически cформировали соседство EIGRP. Позже был добавлен роутер OFF4, и роутеры OFF2 и OFF4 были настроены как соседи EIGRP статически. Однако после того, как была сделана статическая настройка, роутер OFF2 потерял свое соседство с роутером OFF1. Причина заключается в том, что роутер OFF2 отправляет только одноадресные сообщения EIGRP со своего интерфейса Gig0/1 и хочет получать только одноадресные сообщения EIGRP, поступающие на этот интерфейс. Однако роутер OFF1 все еще настроен (с настройками по умолчанию) для отправки и ожидания многоадресных сообщений EIGRP на своем интерфейсе Gig0/1. Итак, мораль этой истории заключается в том, что если вы настраиваете интерфейс роутера для установления соседства EIGRP статически, убедитесь, что все соседи EIGRP вне этого интерфейса также настроены для соседства статически.
Дело за малым - осталось последняя статья из цикла - EIGRP: идентификатор роутера и требования к соседству.