간단한 등록 서비스(?) 하나를 웹에 올렸습니다.
pfsense -> 가상환경[ nginx(리버스 프록시) -> 웹서비스 ]
물리적으로는 'pfsense'와 '가상환경 머신'으로 구성되어 있습니다. 웹서버를 띄웠으니, 이제 fail2ban을 적용해야 하는데요.
이넘을 어디에(?) 적용할지에 대한 고민이 시작되었습니다.
웹서비스 서버를 그냥 노출시켰을 경우에는 서버에 바로 fail2ban을 적용하면 되는데..
그 앞에 두 군데를 거쳐 들어오니, 어디에 적용할지 고민입니다.
'nginx 로그'와 '웹서비스 로그인 실패 로그'를 pfsens로 던저, pfsens에서 막을지,
아님 '웹서비스 로그인 실패 로그'를 nginx에 던져 nginx에서 처리할지,
어떤게 맞나.. 라는 질문 자체가 사실 뭐 적절한 질문은 아닙니다만, 리버스 프록시 환경에서는 적용을 하려니 좀 생소해져, 고민이 생기네요.
혹 비슷한 상황에서 어떻게들 풀어가실지가 궁금해 여쭤봅니다.
왜냐하면 저런 공격하는넘이 한군데만 공격하거나, 한가지 공격만 하는 경우 거의 없습니다
fail2ban은 원리가 sshd로그를 모니터링 하고 있다가, 차단 규칙에 도달하면 처리하는 방식이므로
직접적으로 로그인 요청을 받는 말단 VM서버단에서 실행될 수 밖에 없을 것 같습니다.
그리고 fail2ban의 conf 에서 action 을 스크립트 방식으로 실행하는 기능은 지원하는 것 같고요.
그리고 pfsense는 다른 내부서버등에서 차단 룰을 외부에서 설정 할 수 있게 API 방식 구동이 가능하게끔 기능을 추가합니다.
(API기능을 추가하는 솔루션이 있는 것 같습니다. https://github.com/jaredhendrickson13/pfsense-api
관련 블로그 https://velog.io/@2jinu/pfSense-API )
이를통해 차단 발생시점에 Firewall-Rules 에 룰를 추가하고, 특정 시간이 경과후에 추가한 룰을 삭제하는 방식으로 제어가 가능한지 확인해보고요.
즉, 제어가 가능하면, 말단 fail2ban 에서 차단조건이 되면 pfSense 를 통해 차단을 하고,
필요시 특정시간 경과후에 푸는 등의 방식으로 컨트롤이 가능하지 않을까 추정해봅니다.
이후는 SED같은걸로 문자열 편집해서 추출후 차단하면 될껍니다