Onderwerp: Elastix : fail2ban geeft foutmeldingen

Ik heb onlangs besloten om - omwille van de faxmogelijkheden - eens te spelen met Elastix in plaats van FreePBX. Dus bij mijn voip provider een nieuwe trunk aangevraagd met een apart nummer, een VPS aangemaakt en installeren maar...

1. Tot 2x toe is de €10 die ik als prepaid had bij een Betamax provider opgebeld door derden. Daar dit niet de bedoeling is, wou ik "fail2ban", wat bij FreePBX standaard is, installeren.

2. Alle veiligheidstips zoals "allow anonymous calls" staan reeds uit

3. dit krijg ik als ik fail2ban probeer te starten:

Code:

[root@voip src]# service fail2ban start
Starting fail2ban: ERROR  NOK: ('invalid syntax', ('/usr/share/fail2ban/server/filterpyinotify.py', 214, 21, '\t\texcept Exception as e:\n'))
ERROR  NOK: ('ssh-iptables',)
ERROR  NOK: ('ssh-iptables',)
ERROR  NOK: ('ssh-iptables',)
ERROR  NOK: ('ssh-iptables',)
ERROR  NOK: ('ssh-iptables',)
ERROR  NOK: ('ssh-iptables',)
ERROR  NOK: ('ssh-iptables',)
ERROR  NOK: ('ssh-iptables',)
ERROR  NOK: ('ssh-iptables',)
ERROR  NOK: ('ssh-iptables',)
ERROR  NOK: ('ssh-iptables',)
ERROR  NOK: ('ssh-iptables',)
ERROR  NOK: ('ssh-iptables',)
ERROR  NOK: ('ssh-iptables',)
ERROR  NOK: ('ssh-iptables',)
ERROR  NOK: ('ssh-iptables',)
ERROR  NOK: ('ssh-iptables',)
ERROR  NOK: ('ssh-iptables',)
ERROR  NOK: ('ssh-iptables',)
ERROR  NOK: ('ssh-iptables',)
ERROR  NOK: ('ssh-iptables',)
ERROR  NOK: ('ssh-iptables',)
ERROR  NOK: ('ssh-iptables',)
ERROR  NOK: ('ssh-iptables',)
ERROR  NOK: ('ssh-iptables',)
ERROR  NOK: ('ssh-iptables',)
ERROR  NOK: ('ssh-iptables',)
ERROR  NOK: ('ssh-iptables',)
ERROR  NOK: ('ssh-iptables',)
ERROR  NOK: ('ssh-iptables',)
ERROR  NOK: ('ssh-iptables',)
ERROR  NOK: ('ssh-iptables',)
ERROR  NOK: ('ssh-iptables',)
ERROR  NOK: ('ssh-iptables',)
ERROR  NOK: ('ssh-iptables',)
ERROR  NOK: ('ssh-iptables',)
ERROR  NOK: ('ssh-iptables',)
ERROR  NOK: ('ssh-iptables',)
ERROR  NOK: ('ssh-iptables',)
ERROR  NOK: ('ssh-iptables',)
ERROR  NOK: ('ssh-iptables',)
ERROR  NOK: ('ssh-iptables',)
ERROR  NOK: ('invalid syntax', ('/usr/share/fail2ban/server/filterpyinotify.py', 214, 21, '\t\texcept Exception as e:\n'))
ERROR  NOK: ('asterisk-iptables',)
ERROR  NOK: ('asterisk-iptables',)
ERROR  NOK: ('asterisk-iptables',)
ERROR  NOK: ('asterisk-iptables',)
ERROR  NOK: ('asterisk-iptables',)
ERROR  NOK: ('asterisk-iptables',)
ERROR  NOK: ('asterisk-iptables',)
ERROR  NOK: ('asterisk-iptables',)
ERROR  NOK: ('asterisk-iptables',)
ERROR  NOK: ('asterisk-iptables',)
ERROR  NOK: ('asterisk-iptables',)
ERROR  NOK: ('asterisk-iptables',)
ERROR  NOK: ('asterisk-iptables',)
ERROR  NOK: ('asterisk-iptables',)
ERROR  NOK: ('asterisk-iptables',)
ERROR  NOK: ('asterisk-iptables',)
ERROR  NOK: ('asterisk-iptables',)
ERROR  NOK: ('asterisk-iptables',)
ERROR  NOK: ('asterisk-iptables',)
ERROR  NOK: ('asterisk-iptables',)
ERROR  NOK: ('asterisk-iptables',)
ERROR  NOK: ('asterisk-iptables',)
ERROR  NOK: ('asterisk-iptables',)
ERROR  NOK: ('asterisk-iptables',)
ERROR  NOK: ('asterisk-iptables',)
ERROR  NOK: ('asterisk-iptables',)
ERROR  NOK: ('asterisk-iptables',)
ERROR  NOK: ('asterisk-iptables',)
ERROR  NOK: ('asterisk-iptables',)
ERROR  NOK: ('asterisk-iptables',)
ERROR  NOK: ('asterisk-iptables',)
ERROR  NOK: ('asterisk-iptables',)
ERROR  NOK: ('asterisk-iptables',)
ERROR  NOK: ('asterisk-iptables',)
ERROR  NOK: ('asterisk-iptables',)
ERROR  NOK: ('asterisk-iptables',)
ERROR  NOK: ('asterisk-iptables',)
ERROR  NOK: ('asterisk-iptables',)
ERROR  NOK: ('ssh-iptables',)
ERROR  NOK: ('asterisk-iptables',)
                                                           [  OK  ]

4. Syntaxisfouten? Dit kan uiteraard, maar mijn jail.conf file bestaat enkel uit

[ssh-iptables]
enabled = true
filter = sshd
action = iptables[name=SSH, port=22, protocol=tcp]
sendmail-whois[name=SSH, dest=info@it2go.eu, sender=asterisk@fail2ban.local]|
logpath = /var/log/secure
maxretry = 3
bantime = 86400

[asterisk-iptables]
enabled = true
filter = asterisk
action = iptables-allports[name=ASTERISK, protocol=all]
sendmail-whois[name=ASTERISK, dest=info@it2go.eu, sender=asterisk@fail2ban.local]
logpath = /var/log/asterisk/full
maxretry = 3
bantime = 86400

Iemand een idee?

Waarom wil je een dynamische ban gebruiken uberhaupt, in deze toepassing ?

Gewoon een vaste iptables met alles dicht behalve de noodzakelijke IP host+poort met je VoIP trunk provider en je eigen management ?

Dat is helaas niet mogelijk : in België is een vast IP adres enkel mogelijk bij de duurdere abonnementen. De goedkopere abonnementen krijgen een IP dat elke 96 uur veranderd. Daar deze voip server niet bij mij thuis staat (zoals de andere servers) maar in een datacenter zou dit willen zeggen dat ik telkens in de wagen moet springen om naar daar te rijden.

Eveneens zullen VOIP-telefoontoestellen op diverse plaatsen staan waarbij een andere provider (en dus IP block) niet ondenkbaar is. En dan zijn er nog de smartphones die werken met CSipSimple.

Ik begrijp dat wat u zegt de snelste en meest doeltreffende optie is, maar ik vermoed dat dit met bovenstaande vereisten niet gaat?

Oorspronkelijk geplaatst door IT-worX

Dat is helaas niet mogelijk : in België is een vast IP adres enkel mogelijk bij de duurdere abonnementen. De goedkopere abonnementen krijgen een IP dat elke 96 uur veranderd. Daar deze voip server niet bij mij thuis staat (zoals de andere servers) maar in een datacenter zou dit willen zeggen dat ik telkens in de wagen moet springen om naar daar te rijden.

Eveneens zullen VOIP-telefoontoestellen op diverse plaatsen staan waarbij een andere provider (en dus IP block) niet ondenkbaar is. En dan zijn er nog de smartphones die werken met CSipSimple.

Ik begrijp dat wat u zegt de snelste en meest doeltreffende optie is, maar ik vermoed dat dit met bovenstaande vereisten niet gaat?

Ah, dat maakt het lastiger inderdaad.

In de context 'VoIP server en fax' verwachtte ik een server op een vaste (kantoor) locatie, met feitelijk alleen interne telefoon clients en een trunk naar buiten.
Indien mogelijk zou ik nog steeds graag een vaste iptables config gebruiken om dan de toegang te limiteren tot iets als 'belgische isps' , en dat dan maar combineren met fail2ban.

Gewoon om de scope (en logruis) van botjes die aan het proben zijn te beperken. Als je ook clients hebt die wereldwijd roamen zal dat niet gaan.

Voor wat betreft het verlies van je beltegoed, weet je hoe dat gegaan is ?
Is dat via jouw server gegaan ? Dan helpt een betere beveiliging van je server inderdaad. Als het gegaan is omdat je credentials bekend geraakt zijn (anders dan vanuit je server) gaat het dichter zetten van je server niet helpen.
Ook al is dat natuurlijk nog steeds een goed idee.

Uit google lijkt dit met je probleem te maken te hebben :

https://www.mail-archive.com/epel-de.../msg01366.html

Dag Visser,
Bedankt om hier op terug te komen. Wereldwijd roamen gebeurd (vakantie en zo) maar dit kan je wel verhelpen door dan de telefoontjes te forwarden naar hun GSM nummer ipv via CSipSimple.

Wat betreft het verlies van het beltegoed : dit is gebeurd via de server zelf. Tussen de 2 keren door heb ik namelijk alle wachtwoorden veranderd en de dag nadien was het opnieuw prijs. Op het webpanel van Elastix zelf zijn ze niet binnen geraakt : daar zie ik in de logs geen login van.

Volgende zie ik op mijn internetcallsaccount (zie bijlage) : een heel pak oproepen van onbekende nummers. Juist de 3 laatste oproepen (nummers half doorhaalt) kloppen : dat zijn oproepen van 09 394 94 00 naar 2 Belgische GSM nummers.

Oorspronkelijk geplaatst door IT-worX

Dag Visser,
Bedankt om hier op terug te komen. Wereldwijd roamen gebeurd (vakantie en zo) maar dit kan je wel verhelpen door dan de telefoontjes te forwarden naar hun GSM nummer ipv via CSipSimple.

Wat betreft het verlies van het beltegoed : dit is gebeurd via de server zelf. Tussen de 2 keren door heb ik namelijk alle wachtwoorden veranderd en de dag nadien was het opnieuw prijs. Op het webpanel van Elastix zelf zijn ze niet binnen geraakt : daar zie ik in de logs geen login van.

Het zou natuurlijk kunnen, maar uit wat je hier schrijft is dat nog niet gegarandeerd. De compu waarmee je de passwords wijzigde zou ook besmet kunnen zijn.
Overigens, als je niet goed weet _hoe_ dan misbruik van je server gemaakt is, is iets als fail2ban geen zekere oplossing.
Je zou het verkeer wat je server heeft laten uitbellen moeten terugvinden in de (rauwe) logs van je server, inclusief source IP.
En daaruit zoeken waarom een dergelijke client dat kon doen.

Beste Visser,

Wat de besmetting betreft moet ik helaas zeggen dat dit niet kan. Het account op zich heb ik aangemaakt met mijn laptop, terwijl de wachtwoordwijziging is gebeurd met een tablet.

Ik weet dus inderdaad niet hoe het misbruik is gebeurd, maar fail2ban leek mij reeds een eerste mogelijkheid (op mijn eigen voipbak zie ik dat fail2ban mij dagdagelijks tot 50 mailtjes stuurt van malafide personen die proberen binnen te dringen via SSH of SIP).

Ik heb dan ook besloten om hier verder niet meer naar te kijken als leek, maar om dit in handen te geven van mensen die er meer van kennen.

Bedankt in elk geval voor je zoektocht naar de oplossing!

Oorspronkelijk geplaatst door IT-worX

Beste Visser,

Wat de besmetting betreft moet ik helaas zeggen dat dit niet kan. Het account op zich heb ik aangemaakt met mijn laptop, terwijl de wachtwoordwijziging is gebeurd met een tablet.

Ik weet dus inderdaad niet hoe het misbruik is gebeurd, maar fail2ban leek mij reeds een eerste mogelijkheid (op mijn eigen voipbak zie ik dat fail2ban mij dagdagelijks tot 50 mailtjes stuurt van malafide personen die proberen binnen te dringen via SSH of SIP).

Ik heb dan ook besloten om hier verder niet meer naar te kijken als leek, maar om dit in handen te geven van mensen die er meer van kennen.

Bedankt in elk geval voor je zoektocht naar de oplossing!

Waarom ik denk dat fail2ban je niet genoeg zou beschermen is als je ook een inkomende trunk met default password (of helemaal open) o.i.d. hebt.
Dan is de eerste inlog meteen raak en heb je dus geen serie pogingen waarvan fail2ban daarna het IP blokkeert.

Als je door moet is het beter om het voor deze keer uit handen te geven, ook al is zelf uitzoeken wel bijzonder leerzaam.
Als degenen die ernaar kijken wat nuttigs vinden wil je dat hopelijk posten ?

Dag Visser,

De inkomende trunk van SpeakUp is beveiligd met een wachtwoord, maar daar zit het probleem niet : alle gesprekken gaan via Internetcalls. Bij deze laatste heb ik het wachtwoord ook al aangepast overigens.

Zelf uitzoeken is inderdaad altijd leerzaam, echter deze keer is het niet voor mezelf maar iets waar ik me voor heb geëngageerd. Dus het moet wel werken! :-)

Ik hou jullie zo-ie-zo op de hoogte!

Oorspronkelijk geplaatst door IT-worX

Dag Visser,

De inkomende trunk van SpeakUp is beveiligd met een wachtwoord, maar daar zit het probleem niet : alle gesprekken gaan via Internetcalls. Bij deze laatste heb ik het wachtwoord ook al aangepast overigens.

Ik bedoel inkomende trunks op je asterisk server.
(sip, of H323, of IAX )