Configurer fail2ban avec SquirrelMail sur CentOS 5.3/ISPConfig 3

4. Redémarrer fail2ban

Un redémarrage du démon fail2ban est nécessaire pour charger les modifications apportées :

service fail2ban restart

5. Tester l’enregistrement correct de l’adresse source

cd /var/lib/squirrelmail/prefs  
tail -f squirrelmail_access_log

Connectez-vous à votre interface Web SquirrelMail.

Interface SquirrelMail

Dans la fenêtre de terminal du système d’exploitation, vous verrez l’adresse source de la connexion réussie apparaître dans le fichier squirrelmail_access_log ouvert :

08/03/2009 10:17:33 [LOGIN] [email protected] (localhost) from XXX.XXX.XX.XX:
08/03/2009 10:18:13 [LOGOUT] [email protected] (localhost) from XXX.XXX.XX.XX:

Quittez votre session SquirrelMail mais laissez le fichier squirrelmail_access_log ouvert après avoir vu la bonne adresse source.

6. Tester les connexions non autorisées

Connectez-vous plusieurs fois à l’interface Web SquirrelMail en utilisant des noms d’utilisateur et/ou des mots de passe incorrects. Cela créera des événements d’erreur dans le fichier squirrelmail_access_log :

08/03/2009 10:37:35 [LOGIN_ERROR] u37458734 (localhost) from XXX.XXX.XX.XX: Utilisateur inconnu ou mot de passe incorrect.
08/03/2009 11:22:19 [LOGIN_ERROR] wetwetr (localhost) from XXX.XXX.XX.XX: Utilisateur inconnu ou mot de passe incorrect.
08/03/2009 11:22:30 [LOGIN_ERROR] 7846587435836 (localhost) from XXX.XXX.XX.XX: Utilisateur inconnu ou mot de passe incorrect.

Fermez le fichier squirrelmail_access_log :

Ctrl-c

Vérifiez que fail2ban peut capturer ces erreurs :

fail2ban-regex /var/lib/squirrelmail/prefs/squirrelmail_access_log /etc/fail2ban/filter.d/squirrelmail.conf

Exécution des tests
=============  
Utiliser le fichier regex : /etc/fail2ban/filter.d/squirrelmail.conf  
Utiliser le fichier journal   : /var/lib/squirrelmail/prefs/squirrelmail_access_log


Résultats
=======

Failregex
|- Expressions régulières :
|  [1] \[LOGIN_ERROR\].*from : Utilisateur inconnu ou mot de passe incorrect
|
`- Nombre de correspondances :
   [1] 14 correspondance(s)

Ignoreregex
|- Expressions régulières :
|
`- Nombre de correspondances :

Résumé
=======

Adresses trouvées :
[1]
    XXX.XXX.XX.XX (Lun 03 Août 10:37:35 2009)
    XXX.XXX.XX.XX (Lun 03 Août 11:22:19 2009)
    XXX.XXX.XX.XX (Lun 03 Août 11:22:30 2009)
    XXX.XXX.XX.XX (Lun 03 Août 11:22:42 2009)
    XXX.XXX.XX.XX (Lun 03 Août 11:22:53 2009)
    XXX.XXX.XX.XX (Lun 03 Août 11:23:13 2009)
    XXX.XXX.XX.XX (Lun 03 Août 12:21:31 2009)
    XXX.XXX.XX.XX (Lun 03 Août 12:21:41 2009)
    XXX.XXX.XX.XX (Lun 03 Août 12:21:54 2009)
    XXX.XXX.XX.XX (Lun 03 Août 12:22:07 2009)
    XXX.XXX.XX.XX (Lun 03 Août 13:56:36 2009)
    XXX.XXX.XX.XX (Lun 03 Août 13:56:51 2009)
    XXX.XXX.XX.XX (Lun 03 Août 13:57:03 2009)
    XXX.XXX.XX.XX (Lun 03 Août 13:57:16 2009)

Modèles de date touchés :
0 hit(s) : Mois Jour Heure:Minute:Seconde
0 hit(s) : Jour de la semaine Mois Jour Heure:Minute:Seconde Année
0 hit(s) : Jour de la semaine Mois Jour Heure:Minute:Seconde
0 hit(s) : Année/Mois/Jour Heure:Minute:Seconde
0 hit(s) : Jour/Mois/Année:Heure:Minute:Seconde
38 hit(s) : Mois/Jour/Année Heure:Minute:Seconde
0 hit(s) : Année-Mois-Jour Heure:Minute:Seconde
0 hit(s) : Jour-Mois-Année Heure:Minute:Seconde[.Milliseconde]
0 hit(s) : TAI64N
0 hit(s) : Époque

Succès, le nombre total de correspondances est 14

Cependant, regardez la section ci-dessus 'Exécution des tests' qui pourrait contenir des informations importantes.

La sortie de fail2ban-regex ci-dessus vérifie que fail2ban capture les conditions d’erreur.

7. Vérifier la chaîne supplémentaire iptables

Iptables créera une chaîne d’entrée supplémentaire pour SquirrelMail :

service iptables status

Près du haut de la sortie, vous verrez :

3    fail2ban-SquirrelMail  tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:80

En bas de la sortie, vous verrez :

Chaîne fail2ban-SquirrelMail (1 référence)
num  cible     prot opt source               destination         
1    RETURN     tout  --  0.0.0.0/0            0.0.0.0/0

Si tous les tests ci-dessus ont été réussis, vous pouvez déployer fail2ban pour SquirrelMail.

Configurer fail2ban avec SquirrelMail sur CentOS 5.3/ISPConfig 3 - Page 2

4. Redémarrer fail2ban

5. Tester l’enregistrement correct de l’adresse source

6. Tester les connexions non autorisées

7. Vérifier la chaîne supplémentaire iptables

Recevez de nouveaux articles dans votre boîte de réception.