Proxmox fail2ban - Historique des versions

Jc.forton : /* Comment bannir derrière un reverse-proxy ? */

2026-07-13T09:43:20Z

Comment bannir derrière un reverse-proxy ?

← Version précédente		Version du 13 juillet 2026 à 11:43
Ligne 368 :		Ligne 368 :
	Maintenant que votre Proxmox est derrière un reverse-proxy, inutile de bannir les IP publiques avec iptables sur le serveur Proxmox, la seule IP visible est celle du reverse-proxy (dans cet exemple 192.168.4.100).		Maintenant que votre Proxmox est derrière un reverse-proxy, inutile de bannir les IP publiques avec iptables sur le serveur Proxmox, la seule IP visible est celle du reverse-proxy (dans cet exemple 192.168.4.100).

	La seule machine ~~capable~~ capable de bannir est le reverse-proxy, il faut donc lui transmettre les IP et nous allons faire ça en trois étapes:		La seule machine capable de bannir est le reverse-proxy, il faut donc lui transmettre les IP et nous allons faire ça en trois étapes:
	* la première est de créer une "prison" proxmox sur le fail2ban présent sur le reverse-proxy		* la première est de créer une "prison" proxmox sur le fail2ban présent sur le reverse-proxy
	* la deuxième est l'invention d'une API pour fail2ban sur le reverse-proxy		* la deuxième est l'invention d'une API pour fail2ban sur le reverse-proxy

Jc.forton : /* Problème lié à la proxyfication */

2026-07-13T09:41:48Z

Problème lié à la proxyfication

← Version précédente		Version du 13 juillet 2026 à 11:41
Ligne 201 :		Ligne 201 :
	Dec 14 10:43:01 labo unix_chkpwd[1326506]: password check failed for user (root)		Dec 14 10:43:01 labo unix_chkpwd[1326506]: password check failed for user (root)
	Dec 14 10:43:01 labo IPCC.xs[1320783]: pam_unix(proxmox-ve-auth:auth): authentication failure; logname= uid=0 euid=0 tty= ruser= rhost=37.167.23.159 user=root		Dec 14 10:43:01 labo IPCC.xs[1320783]: pam_unix(proxmox-ve-auth:auth): authentication failure; logname= uid=0 euid=0 tty= ruser= rhost=37.167.23.159 user=root
	Dec 14 10:43:03 labo pvedaemon[1320783]: authentication failure; rhost=37.~~167~~.23.~~159~~ user=root@pam msg=Authentication failure		Dec 14 10:43:03 labo pvedaemon[1320783]: authentication failure; rhost=192.168.4.100 user=root@pam msg=Authentication failure
	</pre>		</pre>

Jc.forton : /* Configuration du reverse-proxy */

2026-07-13T09:41:15Z

Configuration du reverse-proxy

← Version précédente		Version du 13 juillet 2026 à 11:41
Ligne 183 :		Ligne 183 :
	ProxyPassReverse / https://192.168.4.1:8006/		ProxyPassReverse / https://192.168.4.1:8006/
	</source>		</source>
			== Problème lié à la proxyfication ==
	Le problème est que la seule adresse que fail2ban va voir apparaître dans les logs est celle du reverse-proxy (''192.168.4.100'') :		Le problème est que la seule adresse que fail2ban va voir apparaître dans les logs est celle du reverse-proxy (''192.168.4.100'') :
	[[Fichier:Reverse proxy ip logs.png\|600px\|centré]]		[[Fichier:Reverse proxy ip logs.png\|600px\|centré]]

Jc.forton : /* Proxification */

2026-07-13T09:39:45Z

Proxification

← Version précédente		Version du 13 juillet 2026 à 11:39
Ligne 114 :		Ligne 114 :
	Lorsque votre serveur Proxmox se trouve derrière un reverse-proxy (Apache, Nginx, Traefik, ...), au niveau 3 OSI, l'adresse IP du client est remplacée par celle du proxy et le serveur utilise l'entêtes ''X-Forwarded-For'' ou ''X-Real-IP'' pour transporter l'adresse du client		Lorsque votre serveur Proxmox se trouve derrière un reverse-proxy (Apache, Nginx, Traefik, ...), au niveau 3 OSI, l'adresse IP du client est remplacée par celle du proxy et le serveur utilise l'entêtes ''X-Forwarded-For'' ou ''X-Real-IP'' pour transporter l'adresse du client
	[[Fichier:Reverse proxy proxmox.png\|700px\|centré]]		[[Fichier:Reverse proxy proxmox.png\|700px\|centré]]
			Dans cette exemple:
			* le nom de domaine utilisé est '''pve.tala-informatique.fr'''
			* l'adresse du proxy est '''192.168.4.100'''
			* l'adresse du serveur Proxmox est '''192.168.4.1'''
	== Configuration du reverse-proxy ==		== Configuration du reverse-proxy ==
	Sur votre reverse-proxy Apache, vous devriez avoir une configuration qui ressemble à ça:		Sur votre reverse-proxy Apache, vous devriez avoir une configuration qui ressemble à ça:

Jc.forton : /* Configuration du reverse-proxy */

2026-07-13T09:37:55Z

Configuration du reverse-proxy

← Version précédente		Version du 13 juillet 2026 à 11:37
Ligne 148 :		Ligne 148 :
	</source>		</source>

	La première ligne renvoie à la configuration de [[Httpd_certificate_security#Let's_Encrypt \|~~mod_md~~]] ~~sur mon site~~ et permet l'obtention du certificat SSL auprès de [https://letsencrypt.org Let's encrypt]		La première ligne renvoie à la configuration de mod_md abordée dans cette [[Httpd_certificate_security#Let's_Encrypt \|article]] et permet l'obtention du certificat SSL auprès de [https://letsencrypt.org Let's encrypt]
	<source lang=apache>		<source lang=apache>
	MDomain pve.tala-informatique.fr		MDomain pve.tala-informatique.fr
Ligne 161 :		Ligne 161 :
	</source>		</source>

	Dans le bloc ''443'', on est obligé de désactiver les vérifications SSL parce que le certificat du serveur Proxmox est autosigné, ce qui pousse Apache à bloquer la connexion si on ne désactive pas ~~les~~ vérifications		Dans le bloc ''443'', on est obligé de désactiver les vérifications SSL parce que le certificat du serveur Proxmox est autosigné (donc pas de cadenas vert), ce qui pousse Apache à bloquer la connexion si on ne désactive pas ces vérifications
	<source lang=apache>		<source lang=apache>
	SSLProxyVerify none		SSLProxyVerify none

Jc.forton : /* Configuration du reverse-proxy */

2026-07-13T09:36:25Z

Configuration du reverse-proxy

@@ Ligne 148 : / Ligne 148 : @@
 </source>
-La première ligne renvoie à la configuration de mod_md et permet l'obtention du certificat SSL auprès de [https://letsencrypt.org Let's encrypt]
+La première ligne renvoie à la configuration de [[Httpd_certificate_security#Let's_Encrypt |mod_md]] sur mon site et permet l'obtention du certificat SSL auprès de [https://letsencrypt.org Let's encrypt]
 Le problème est que la seule adresse que fail2ban va voir apparaître dans les logs est celle du reverse-proxy (''192.168.4.100'') :
@@ Ligne 169 : / Ligne 199 : @@
 Dec 14 10:43:03 labo pvedaemon[1320783]: authentication failure; rhost=37.167.23.159 user=root@pam msg=Authentication failure
 </pre>
 == Configuration de pveproxy ==
 Si on veut voir l'adresse du client, il faut dire au [https://fr.wikipedia.org/wiki/Daemon_(informatique)| démon] ''pveproxy'' d'utiliser l'une des deux entêtes précédentes ainsi que préciser l'adresse du proxy.

Jc.forton : /* Proxification */

2026-07-13T09:27:56Z

Proxification

@@ Ligne 114 : / Ligne 114 : @@
 Lorsque votre serveur Proxmox se trouve derrière un reverse-proxy (Apache, Nginx, Traefik, ...), au niveau 3 OSI, l'adresse IP du client est remplacée par celle du proxy et le serveur utilise l'entêtes ''X-Forwarded-For'' ou ''X-Real-IP'' pour transporter l'adresse du client
 [[Fichier:Reverse proxy proxmox.png|700px|centré]]
 Le problème est que la seule adresse que fail2ban va voir apparaître dans les logs est celle du reverse-proxy (''192.168.4.100'') :
 [[Fichier:Reverse proxy ip logs.png|600px|centré]]

Jc.forton : /* Invention d'une API pour fail2ban */

2026-07-11T17:08:38Z

Invention d'une API pour fail2ban

← Version précédente		Version du 11 juillet 2026 à 19:08
Ligne 391 :		Ligne 391 :
	}		}
	</source>		</source>
	~~⚠~~ Gardez en tête que ce code simpliste n'est en aucun cas sécurisé et ne doit pas être accessible depuis Internet.		[[Fichier:Warning-icon.png\|40px]] Gardez en tête que ce code simpliste n'est en aucun cas sécurisé et ne doit pas être accessible depuis Internet.

	Pour démarrer se code en mode serveur il suffit de taper la commande suivante:		Pour démarrer se code en mode serveur il suffit de taper la commande suivante:

Jc.forton : /* Modification des actions fail2ban */

2026-07-11T16:53:03Z

Modification des actions fail2ban

← Version précédente		Version du 11 juillet 2026 à 18:53
Ligne 482 :		Ligne 482 :
	</source>		</source>
	Et vérifier sur le reverse-proxy que les modification sont bien prises en compte:		Et vérifier sur le reverse-proxy que les modification sont bien prises en compte:
			<source lang=bash>
			# fail2ban-client status proxmox
			Status for the jail: proxmox
			\|- Filter
			\| \|- Currently failed: 0
			\| \|- Total failed: 0
			\| `- File list: /dev/null
			`- Actions
			\|- Currently banned: 1
			\|- Total banned: 10
			`- Banned IP list: 1.2.3.4
			</source>

Jc.forton : /* Modification des actions fail2ban */

2026-07-11T16:52:36Z

Modification des actions fail2ban

← Version précédente		Version du 11 juillet 2026 à 18:52
Ligne 473 :		Ligne 473 :
	</source>		</source>
	Et vous pouvez tester les commandes suivantes:		Et vous pouvez tester les commandes suivantes:
			* pour bannir
			<source lang=bash>
			# fail2ban-client set proxmox banip 1.2.3.4
			</source>
			* pour dé-bannir:
			<source lang=bash>
			# fail2ban-client unban proxmox 1.2.3.4
			</source>
			Et vérifier sur le reverse-proxy que les modification sont bien prises en compte:

Proxmox fail2ban - Historique des versions

Jc.forton : /* Comment bannir derrière un reverse-proxy ? */

Jc.forton : /* Problème lié à la proxyfication */

Jc.forton : /* Configuration du reverse-proxy */

Jc.forton : /* Proxification */

Jc.forton : /* Configuration du reverse-proxy */

Jc.forton : /* Configuration du reverse-proxy */

Jc.forton : /* Proxification */

Jc.forton : /* Invention d'une API pour fail2ban */

Jc.forton : /* Modification des actions fail2ban */

Jc.forton : /* Modification des actions fail2ban */

Jc.forton : /* Comment bannir derrière un reverse-proxy ? */

Jc.forton : /* Problème lié à la proxyfication */

Jc.forton : /* Configuration du reverse-proxy */

Jc.forton : /* Proxification */

Jc.forton : /* Configuration du reverse-proxy */

Jc.forton : /* Configuration du reverse-proxy */

Jc.forton : /* Proxification */

Jc.forton : /* Invention d'une API pour fail2ban */

Jc.forton : /* Modification des actions fail2ban */

Jc.forton : /* Modification des actions fail2ban */