Proxmox fail2ban - Historique des versions

Jc.forton : /* Modification de AnyEvent.pm */

2025-12-20T16:07:32Z

Modification de AnyEvent.pm

← Version précédente		Version du 20 décembre 2025 à 18:07
Ligne 158 :		Ligne 158 :

	Il faut repérer la fonction suivante:		Il faut repérer la fonction suivante:
	<~~source~~ lang=perl>		<syntaxhighlight lang=perl>
	sub authenticate_and_handle_request {		sub authenticate_and_handle_request {
	my ($self, $reqstate) = @_;		my ($self, $reqstate) = @_;
Ligne 166 :		Ligne 166 :

	...		...
	</~~source~~>		</syntaxhighlight>
	C'est un peu plus loin qu'il faut insérer le code :		C'est un peu plus loin qu'il faut insérer le code :
	<~~source~~ lang=perl>		<syntaxhighlight lang=perl>
	}		}
	}		}
Ligne 177 :		Ligne 177 :
	my $connect_str = $request->header('Host');		my $connect_str = $request->header('Host');

	</~~source~~>		</syntaxhighlight>
	Il faut modifier l'attribut ''peer_host'' de l'objet ''reqstate'' si l'une des deux entêtes est présente :		Il faut modifier l'attribut ''peer_host'' de l'objet ''reqstate'' si l'une des deux entêtes est présente :
	<~~source~~ lang=perl>		<syntaxhighlight lang=perl>
	if ($request->header('X-Forwarded-For')) {		if ($request->header('X-Forwarded-For')) {
	$reqstate->{peer_host} = $request->header('X-Forwarded-For');		$reqstate->{peer_host} = $request->header('X-Forwarded-For');
Ligne 185 :		Ligne 185 :
	$reqstate->{peer_host} = $request->header('X-Real-IP');		$reqstate->{peer_host} = $request->header('X-Real-IP');
	}		}
	</~~source~~>		</syntaxhighlight>
	=== Double IPv4 ou préfixe IPv6 ===		=== Double IPv4 ou préfixe IPv6 ===
	Après redémarrage, cela permet de voir l'adresse du client dans les logs :		Après redémarrage, cela permet de voir l'adresse du client dans les logs :
Ligne 210 :		Ligne 210 :
	On a deux possibilités pour faire le nettoyage :		On a deux possibilités pour faire le nettoyage :
	*Soit on ajoute les lignes suivantes dans ''AnyEvent.pm'':		*Soit on ajoute les lignes suivantes dans ''AnyEvent.pm'':
	<~~source~~ lang=perl>		<syntaxhighlight lang=perl>
	if (index($reqstate->{peer_host}, ',') != -1) {		if (index($reqstate->{peer_host}, ',') != -1) {
	# Remove trailing ip		# Remove trailing ip
Ligne 220 :		Ligne 220 :
	$reqstate->{peer_host} = $1;		$reqstate->{peer_host} = $1;
	}		}
	</~~source~~>		</syntaxhighlight>
	*Soit on modifie le filtre /etc/fail2ban/filter.d/proxmox.conf :		*Soit on modifie le filtre /etc/fail2ban/filter.d/proxmox.conf :
	<pre>		<pre>
Ligne 231 :		Ligne 231 :
	On peut automatiser le processus précédent avec le script suivant, que l'on peut créer dans /root/remoteip_fix.sh :		On peut automatiser le processus précédent avec le script suivant, que l'on peut créer dans /root/remoteip_fix.sh :

	<~~source~~ lang=bash>		<syntaxhighlight lang=bash>
	#!/bin/bash		#!/bin/bash

Ligne 285 :		Ligne 285 :
	trap 0		trap 0
	echo "done."		echo "done."
	</~~source~~>		</syntaxhighlight>
	Il ne reste plus qu'à le rendre exécutable et le lancer :		Il ne reste plus qu'à le rendre exécutable et le lancer :
	<pre>		<pre>

Jc.forton le 14 décembre 2025 à 10:06

2025-12-14T10:06:20Z

← Version précédente		Version du 14 décembre 2025 à 12:06
Ligne 84 :		Ligne 84 :
	</pre>		</pre>
	= Tests =		= Tests =
	Il faut maintenant tester le filtre ~~est~~ pour ça on peut utiliser un partage de connexion et réaliser le nombre d'échecs spécifié par la directive "maxretry" (ici 3) :		Il faut maintenant tester le filtre et pour ça on peut utiliser un partage de connexion et réaliser le nombre d'échecs spécifié par la directive "maxretry" (ici 3) :
	<pre>		<pre>
	# fail2ban-client status proxmox		# fail2ban-client status proxmox
Ligne 135 :		Ligne 135 :
	Si on veut voir l'adresse du client, il faut dire au [https://fr.wikipedia.org/wiki/Daemon_(informatique)\| démon] ''pveproxy'' d'utiliser l'une des deux entêtes précédentes ainsi que préciser l'adresse du proxy.		Si on veut voir l'adresse du client, il faut dire au [https://fr.wikipedia.org/wiki/Daemon_(informatique)\| démon] ''pveproxy'' d'utiliser l'une des deux entêtes précédentes ainsi que préciser l'adresse du proxy.

	Préciser l'adresse du proxy est essentiel pour que ''pveproxy'' n'accepte de lire l'adresse du client présente dans l'entête ''uniquement'' si cela provient du proxy, qui est une machine de confiance. Le cas contraire, tout le monde pourrait ajouter une adresse IP dans l'entête pour la faire bannir...		Préciser l'adresse du proxy est essentiel pour que ''pveproxy'' n'accepte de lire l'adresse du client présente dans l'entête '''uniquement''' si cela provient du proxy, qui est une machine de confiance. Le cas contraire, tout le monde pourrait ajouter une adresse IP dans l'entête pour la faire bannir...

	Nous allons créer le fichier ''/etc/default/pveproxy'' avec les lignes suivantes:		Nous allons créer le fichier ''/etc/default/pveproxy'' avec les lignes suivantes:
Ligne 286 :		Ligne 286 :
	echo "done."		echo "done."
	</source>		</source>
	Il ne plus qu'a le rendre exécutable et le lancer :		Il ne reste plus qu'à le rendre exécutable et le lancer :
	<pre>		<pre>
	# chmod +x /root/remoteip_fix.sh		# chmod +x /root/remoteip_fix.sh

Jc.forton : /* Tests */

2025-12-14T10:02:32Z

Tests

@@ Ligne 84 : / Ligne 84 : @@
 </pre>
 = Tests =
-Il faut maintenant tester le filtre est pour ça on peut utiliser un partage de connexion et réaliser le nombre d'échecs spécifié par la directive "maxretry"
+Il faut maintenant tester le filtre est pour ça on peut utiliser un partage de connexion et réaliser le nombre d'échecs spécifié par la directive "maxretry" (ici 3) :
 = Démarrage et enregistrement dans le chargeur de démarrage =

Jc.forton : /* Filtre pour PVEPROXY */

2025-12-14T10:00:17Z

Filtre pour PVEPROXY

← Version précédente		Version du 14 décembre 2025 à 12:00
Ligne 83 :		Ligne 83 :
	journalmatch = _SYSTEMD_UNIT=pvedaemon.service		journalmatch = _SYSTEMD_UNIT=pvedaemon.service
	</pre>		</pre>
			= Tests =
			Il faut maintenant tester le filtre est pour ça on peut utiliser un partage de connexion et réaliser le nombre d'échecs spécifié par la directive "maxretry"

	= Démarrage et enregistrement dans le chargeur de démarrage =		= Démarrage et enregistrement dans le chargeur de démarrage =
	<pre>		<pre>

Jc.forton : /* Proxification */

2025-12-14T09:56:21Z

Proxification

← Version précédente		Version du 14 décembre 2025 à 11:56
Ligne 95 :		Ligne 95 :
	Le problème est que la seule adresse que fail2ban va voir apparaître dans les logs est celle du reverse-proxy (''192.168.4.100'') :		Le problème est que la seule adresse que fail2ban va voir apparaître dans les logs est celle du reverse-proxy (''192.168.4.100'') :
	[[Fichier:Reverse proxy ip logs.png\|600px\|centré]]		[[Fichier:Reverse proxy ip logs.png\|600px\|centré]]
	~~{\|style="width:100%" align="center"~~
	\|
	~~[[Fichier:Warning-icon.png\|centré\|60px]]~~
	~~\|valign="top"\|~~
	Même si le filtre ''fail2ban'' est configuré pour utiliser la commande ''journactl'' sur le démon ''pvedaemon'':		Même si le filtre ''fail2ban'' est configuré pour utiliser la commande ''journactl'' sur le démon ''pvedaemon'':
	<pre>		<pre>
Ligne 116 :		Ligne 112 :
	Dec 14 10:43:03 labo pvedaemon[1320783]: authentication failure; rhost=37.167.23.159 user=root@pam msg=Authentication failure		Dec 14 10:43:03 labo pvedaemon[1320783]: authentication failure; rhost=37.167.23.159 user=root@pam msg=Authentication failure
	</pre>		</pre>
	\|}
	== Configuration de pveproxy ==		== Configuration de pveproxy ==
	Si on veut voir l'adresse du client, il faut dire au [https://fr.wikipedia.org/wiki/Daemon_(informatique)\| démon] ''pveproxy'' d'utiliser l'une des deux entêtes précédentes ainsi que préciser l'adresse du proxy.		Si on veut voir l'adresse du client, il faut dire au [https://fr.wikipedia.org/wiki/Daemon_(informatique)\| démon] ''pveproxy'' d'utiliser l'une des deux entêtes précédentes ainsi que préciser l'adresse du proxy.

Jc.forton : /* Proxification */

2025-12-14T09:55:56Z

Proxification

← Version précédente		Version du 14 décembre 2025 à 11:55
Ligne 104 :		Ligne 104 :
	journalmatch = _SYSTEMD_UNIT=pvedaemon.service		journalmatch = _SYSTEMD_UNIT=pvedaemon.service
	</pre>		</pre>
	les adresses viennent de pveproxy qui journalise tout dans ''/var/log/pveproxy/access.log'' et ''pvedaemon'' ne journalise que les échecs d'authentification. Il est donc plus simple de faire un ''tail'' ~~que~~ d'utiliser ''journalctl'' pour voir les IPs		les adresses viennent de pveproxy qui journalise tout dans ''/var/log/pveproxy/access.log'' et ''pvedaemon'' ne journalise que les échecs d'authentification.
			Il est donc plus simple de faire un ''tail'' ou un ''cat'':
			<pre>
			# tail -f /var/log/pveproxy/access.log
			</pre>
			Que d'utiliser ''journalctl'' pour voir les IPs :
			<pre>
			# journalctl -fu pvedaemon
			Dec 14 10:43:01 labo unix_chkpwd[1326506]: password check failed for user (root)
			Dec 14 10:43:01 labo IPCC.xs[1320783]: pam_unix(proxmox-ve-auth:auth): authentication failure; logname= uid=0 euid=0 tty= ruser= rhost=37.167.23.159 user=root
			Dec 14 10:43:03 labo pvedaemon[1320783]: authentication failure; rhost=37.167.23.159 user=root@pam msg=Authentication failure
			</pre>
	\|}		\|}
	== Configuration de pveproxy ==		== Configuration de pveproxy ==

Jc.forton : /* Proxification */

2025-12-14T09:54:15Z

Proxification

← Version précédente		Version du 14 décembre 2025 à 11:54
Ligne 104 :		Ligne 104 :
	journalmatch = _SYSTEMD_UNIT=pvedaemon.service		journalmatch = _SYSTEMD_UNIT=pvedaemon.service
	</pre>		</pre>
	les adresses viennent de pveproxy qui journalise tout dans ''/var/log/pveproxy/access.log'' et ''pvedaemon'' ne journalise que les échecs d'authentification		les adresses viennent de pveproxy qui journalise tout dans ''/var/log/pveproxy/access.log'' et ''pvedaemon'' ne journalise que les échecs d'authentification. Il est donc plus simple de faire un ''tail'' que d'utiliser ''journalctl'' pour voir les IPs
	\|}		\|}
	== Configuration de pveproxy ==		== Configuration de pveproxy ==

Jc.forton : /* Proxification */

2025-12-14T09:53:34Z

Proxification

← Version précédente		Version du 14 décembre 2025 à 11:53
Ligne 103 :		Ligne 103 :
	...		...
	journalmatch = _SYSTEMD_UNIT=pvedaemon.service		journalmatch = _SYSTEMD_UNIT=pvedaemon.service
	~~...~~
	</pre>		</pre>
	les adresses viennent de pveproxy qui journalise tout dans ''/var/log/pveproxy/access.log'' et ''pvedaemon'' ne journalise que les échecs d'authentification		les adresses viennent de pveproxy qui journalise tout dans ''/var/log/pveproxy/access.log'' et ''pvedaemon'' ne journalise que les échecs d'authentification

Jc.forton : /* Proxification */

2025-12-14T09:53:25Z

Proxification

← Version précédente		Version du 14 décembre 2025 à 11:53
Ligne 101 :		Ligne 101 :
	Même si le filtre ''fail2ban'' est configuré pour utiliser la commande ''journactl'' sur le démon ''pvedaemon'':		Même si le filtre ''fail2ban'' est configuré pour utiliser la commande ''journactl'' sur le démon ''pvedaemon'':
	<pre>		<pre>
			...
	journalmatch = _SYSTEMD_UNIT=pvedaemon.service		journalmatch = _SYSTEMD_UNIT=pvedaemon.service
			...
	</pre>		</pre>
	les adresses viennent de pveproxy qui journalise tout dans ''/var/log/pveproxy/access.log'' et ''pvedaemon'' ne journalise que les échecs d'authentification		les adresses viennent de pveproxy qui journalise tout dans ''/var/log/pveproxy/access.log'' et ''pvedaemon'' ne journalise que les échecs d'authentification

Jc.forton : /* Proxification */

2025-12-14T09:53:04Z

Proxification

← Version précédente		Version du 14 décembre 2025 à 11:53
Ligne 95 :		Ligne 95 :
	Le problème est que la seule adresse que fail2ban va voir apparaître dans les logs est celle du reverse-proxy (''192.168.4.100'') :		Le problème est que la seule adresse que fail2ban va voir apparaître dans les logs est celle du reverse-proxy (''192.168.4.100'') :
	[[Fichier:Reverse proxy ip logs.png\|600px\|centré]]		[[Fichier:Reverse proxy ip logs.png\|600px\|centré]]
	{\|style="width:~~800px~~" align="center"		{\|style="width:100%" align="center"
	\|		\|
	[[Fichier:Warning-icon.png\|centré\|~~30px~~]]		[[Fichier:Warning-icon.png\|centré\|60px]]
	\|valign="top"\|		\|valign="top"\|
	Même si le filtre ''fail2ban'' est configuré pour utiliser la commande ''journactl'' sur le démon ''pvedaemon'':		Même si le filtre ''fail2ban'' est configuré pour utiliser la commande ''journactl'' sur le démon ''pvedaemon'':
Ligne 103 :		Ligne 103 :
	journalmatch = _SYSTEMD_UNIT=pvedaemon.service		journalmatch = _SYSTEMD_UNIT=pvedaemon.service
	</pre>		</pre>
	~~Les~~ adresses viennent de pveproxy qui journalise tout dans ''/var/log/pveproxy/access.log''		les adresses viennent de pveproxy qui journalise tout dans ''/var/log/pveproxy/access.log'' et ''pvedaemon'' ne journalise que les échecs d'authentification
	\|}		\|}
	== Configuration de pveproxy ==		== Configuration de pveproxy ==

Proxmox fail2ban - Historique des versions

Jc.forton : /* Modification de AnyEvent.pm */

Jc.forton le 14 décembre 2025 à 10:06

Jc.forton : /* Tests */

Jc.forton : /* Filtre pour PVEPROXY */

Jc.forton : /* Proxification */

Jc.forton : /* Proxification */

Jc.forton : /* Proxification */

Jc.forton : /* Proxification */

Jc.forton : /* Proxification */

Jc.forton : /* Proxification */

Jc.forton : /* Modification de AnyEvent.pm */

Jc.forton : /* Tests */

Jc.forton : /* Filtre pour PVEPROXY */

Jc.forton : /* Proxification */

Jc.forton : /* Proxification */

Jc.forton : /* Proxification */

Jc.forton : /* Proxification */

Jc.forton : /* Proxification */

Jc.forton : /* Proxification */