Rete e sicurezza

Questa pagina riguarda gli indirizzi IP del server e le sue protezioni: il firewall, i ban di fail2ban, il blocco degli scanner di Internet e la panoramica della sicurezza.

Gli indirizzi IP

Server › Indirizzi IP elenca gli indirizzi del server.

• Rileva gli indirizzi legge quelli configurati sul server, che restano in sola lettura. La prima volta che apri la pagina lo fa da sola.
• Aggiungi un indirizzo mette un indirizzo secondario su un'interfaccia: il pannello lo configura subito e a ogni avvio. Resta In corso finché il server non lo conferma.
• Indirizzo pubblico serve solo quando il server è dietro NAT: è l'indirizzo con cui il server si vede da Internet.

Un indirizzo è Condiviso, se serve tutti i clienti, o Dedicato, se appartiene a un reseller o a un cliente, nei limiti delle sue subscription. Un indirizzo dedicato serve, per esempio, a far ricevere a una subscription di CSP (Central Syslog) i log sulle porte standard 514 e 6514. Gli indirizzi condivisi che un reseller dà ai suoi clienti vengono dal suo pool.

Un indirizzo aggiunto viene scritto nella configurazione di rete del server, così torna a ogni avvio. A ogni avvio il pannello lo controlla: se manca diventa Non riuscito. Esegui di nuovo esapanel-setup per riscrivere gli indirizzi; se resta non riuscito, la sua interfaccia non esiste più oppure la rete del server è stata cambiata a mano.

La panoramica della sicurezza

Sicurezza › Panoramica mostra le protezioni del server in un colpo d'occhio:

• Firewall: se le regole del pannello sono attive, e se ci sono modifiche in attesa di essere applicate;
• Ban IP: gli indirizzi che fail2ban blocca adesso, e quelli bloccati nell'ultimo giorno;
• Scanner di Internet: quante reti e quanti indirizzi ferma il firewall;
• Accessi falliti: password e codici del secondo fattore sbagliati nell'ultimo giorno;
• Certificato del pannello: quanto dura ancora;
• Secondo fattore: quante persone attive lo hanno acceso.

Ogni riquadro porta alla sua pagina.

Il firewall

Sicurezza › Firewall: il traffico in ingresso è chiuso, tranne quello che le regole aprono.

• Regole di Esapanel: proteggono il server e servono i moduli, per esempio le porte di ricezione di CSP e la porta 514 degli indirizzi dedicati. Le scrive il pannello e sono in sola lettura.
• Le tue regole: controllate nel loro ordine, decide la prima che corrisponde. Vengono dopo le connessioni già stabilite e prima delle aperture dei moduli: una regola che scarta una rete la blocca anche sulle porte dei moduli. Le regole SSH e Pannello le ha create l'installazione e puoi modificarle.
• Accesso SSH: da qualsiasi indirizzo, oppure solo dagli indirizzi e dalle reti che elenchi, come l'ufficio e la casa dell'amministratore. La pagina ti avvisa quando l'indirizzo che usi adesso non è nell'elenco. Il pannello resta raggiungibile: si chiude solo SSH.

Applicare le modifiche senza chiudersi fuori

Le modifiche sono una bozza: il server tiene il suo firewall finché non le rivedi e applichi.

1. Fai le modifiche e apri l'anteprima: mostra il firewall completo che verrà caricato, con le righe aggiunte e tolte.
2. Applica il firewall: il server lo carica subito.
3. Torna alla pagina Firewall e conferma entro 60 secondi. La conferma arriva al server solo se raggiungi ancora il pannello.

Se una regola ti ha chiuso fuori, non riesci a confermare, e il server torna da solo al firewall di prima.

Anche quando SSH è chiuso al tuo indirizzo, la console del provider funziona comunque.

I ban IP

Sicurezza › Ban IP mostra i ban applicati da fail2ban.

• Ban attivi: gli indirizzi bloccati ora, da fail2ban dopo i loro tentativi falliti o a mano, con la scadenza. Sblocca toglie subito un ban.
• Banna un indirizzo: blocca un indirizzo per un certo tempo o per sempre, per esempio uno che scandisce il server. Un ban a mano finisce da solo alla sua scadenza.
• Jail: per SSH, per l'accesso al pannello e per il server web (bot malevoli, ricerche di applicazioni vulnerabili, accessi falliti), quanti tentativi falliti entro quanti minuti bannano un indirizzo, e per quanto tempo. Con WFP (Web File) installato, una riga sorveglia anche FTPS, SFTP, rsync e WebDAV; un tentativo lì banna l'indirizzo su tutte le porte.
• Mai bannati: indirizzi e reti che fail2ban non banna mai. Mettici la rete del tuo ufficio, così una password sbagliata non ti chiude fuori. Le voci di sistema evitano che il server banni se stesso.

Il registro dei ban si aggiorna ogni minuto.

Gli scanner di Internet

Servizi come Censys, Modat o Shodan sondano tutti gli indirizzi di Internet e catalogano i servizi che rispondono. Da soli non fanno danni, ma riempiono la quarantena di CSP e dicono a chiunque legga i loro cataloghi che cosa espone il server.

Sicurezza › Scanner: il firewall li ferma prima che raggiungano qualsiasi cosa del server, pannello e SSH compresi:

• le reti che gli scanner pubblicano, elencate in Scanner noti;
• gli indirizzi trovati: ogni pochi minuti il pannello cerca il nome inverso dei mittenti non autorizzati di CSP, e quelli con il nome di uno scanner vengono bloccati per 30 giorni. Una sorgente autorizzata, un indirizzo del server e un indirizzo mai bannato non vengono mai bloccati.

Sblocca toglie un indirizzo; se ritorna con il nome di uno scanner, viene bloccato di nuovo.

Gli scanner di ricerca, come Shadowserver, avvisano i CERT nazionali e i proprietari delle reti dei servizi esposti per errore o vulnerabili. Bloccandoli, quegli avvisi su questo server non arrivano più: pensaci prima di farlo.