fail2ban mit WordPress, ownCloud und Squirrelmail

Mit fail2ban lassen sich ganz wunderbar die unzähligen Login-Versuche blockieren, die tagtäglich auf einen Linuxserver einprasseln. Für SSH, Apache und viele weitere Dienste sind Filter vorab konfiguriert. Für WordPress, ownCloud und Squirrelmail ist etwas Handarbeit nötig.

Als Grundlage diente hier eine aktuelle Ubuntu 14.04 Installation. WordPress und ownCloud wurden manuell installiert, Squirrelmail direkt aus den Paketquellen. Letzteres benötigt zusätzlich auch noch das Paket squirrelmail-logger.

Die weiter unten erwähnten fail2ban Filter gehören jeweils ins Verzeichniss /etc/fail2ban/filter.d/, wohingegen die jail.conf sich in /etc/fail2ban/ findet. Ehe mittels
service fail2ban restart
die Filter scharf gestellt werden, lassen diese sich zuvor mittels
fail2ban-regex /pfad/zu/logfile.log /etc/fail2ban/filter.d/filtername.conf
manuell anwenden und debuggen.

Wer eine von den fail2ban Standardeinstellungen (im oberen Teil der jail.conf) abweichende findtime (Zeit in der Login-Fehler gezählt werden) oder bantime (Zeit die die IP gebannt wird) je nach Webservice konfigurieren möchte, kann das ganz analog zum Feld maxretry (Anzahl der Login-Fehler ehe geblockt wird) tun.

WordPress

WordPress schreibt in der Standardkonfiguration auf einem Apache in das access.log einen HTTP-Status Code 200 bei einem gescheiterten Login. Der fail2ban filter apache-wplogin.conf sieht dann wie folgt aus

[Definition]
failregex = <HOST>.*] "POST .*/wp-login\.php HTTP.* 200 .*$
ignoreregex =

und die jail.conf wird um folgenden Block ergänzt

[apache-wplogin]
enabled = true
port = http,https
filter = apache-wplogin
logpath = /var/log/apache*/*access.log
maxretry = 3

ownCloud

Für ownCloud müssen zunächst in der config.php folgende drei Punkte ggf. ergänzt werden

'logtimezone' => 'Europe/Berlin',
'log_type' => 'syslog',
'log_authfailip' => 'true',

um anschließend den fail2ban Filter owncloud.conf zu erstellen

[Definition]
failregex = .*ownCloud.*Login failed:.*, IP:<HOST>.*$
ignoreregex =

und die jail.conf zu erweitern

[owncloud]
enabled = true
port = http,https
filter = owncloud
logpath = /var/log/syslog
maxretry = 3

Squirrelmail

Nachdem das Paket squirrelmail-logger installiert war, hat Squirrelmail von sich aus nach syslog geloggt, daher kann direkt der fail2ban Filter squirremail.conf erstellt werden

[Definition]
failregex = .*squirrelmail: Failed webmail login.* at <HOST>.*$
ignoreregex =

und der entsprechende Block in der jail.conf ergänzt werden

[squirrelmail]
enabled = true
port = http,https
filter = squirrelmail
logpath = /var/log/mail.log
maxretry = 3

Bei der Recherche waren die folgenden Quellen teilweise nützlich:

  • fail2ban und WordPress
  • fail2ban und ownCloud
  • box.net via WebDAV mounten

    Um den Cloud-Speicherdienst box.net (oder andere) via WebDAV direkt unter Linux zu mounten findet sich hier eine tolle Anleitung.

    Seid kurzem sind die Zertifkate von box.net jedoch self-signed oder zumindest nicht mehr unter Ubuntu 12.04 enthalten. Daher klappt der automatische mount nicht mehr. Mit diesem Befehl wird der öffentliche Teil des Zertifikats heruntergeladen und unter dem Namen box.net.cert in der davfs Konfiguration abgelegt.

    $ echo "HEAD / HTTP/1.0\n Host: www.box.net:443\n\n EOT\n" | openssl s_client -prexit -connect www.box.net:443 > /etc/davfs/certs/box.net.cert

    Anschließend muss das Zertifikat noch in der davfs Konfiguration aktiviert werden. Hierzu in der Datei /etc/davfs2/davfs2.conf die entsprechende Zeile ändern:

    servercert box.net.cert

    Jetzt sollte es auch wieder mit dem automatischen mount klappen.

    Gnome 3 und die Netzwerk-Profile

    Nach dem Upgrade auf Ubuntu 11.10 und den Wechsel zu Gnome 3 hatte ich einige Probleme mit dem kabelgebundenen Netzwerk.
    Wie sich herausgestellt hat, lag es an einem alten Profil, dass ich für eine spezielle Verbindung mit statischer IP-Adresse konfiguriert hat. Da es das einzige Profil war, wurde dies stets zuerst gewählt anstatt eine Verbindung via DHCP zu konfigurieren. Klarheit schafft ggf. ein Blick in den “alten” Netzwerk-Manager, der auch das anlegen neuer Profile erlaubt. Diese tauchen anschließend auch im Gnome 3 Applet auf und können ausgewählt werden.

    $ nm-connection-editor

    Ubuntu 11.04 Backport-Kernel unter Ubuntu 10.04

    Für die LTS Version 10.04 von Ubuntu gibt es inzwischen Backports der Kernel 2.6.35 und 2.6.38 aus Maverick bzw. Natty. Ab 2.6.33 bietet der Kernel mit ext4 unter anderem volle Unterstützung für ATA-TRIM. Die Kernel können direkt aus den Paketquellen installiert werden:

    $ sudo apt-get install linux-image-generic-lts-backport-natty linux-headers-generic-lts-backport-natty

    Falls proprietäre Treiber installiert sind (z.B. NVIDIA) müssen diese noch geupdated werden:

    $ sudo apt-add-repository ppa:ubuntu-x-swat/x-updates &amp;&amp; sudo apt-get update
    $ sudo apt-get install nvidia-current nvidia-settings nvidia-current-dev nvidia-current-modaliases

    Nach einem Neustart können die Treiber unter “System -> Systemverwaltung -> Hardware-Treiber” aktiviert werden. Unter “System -> Systemverwaltung -> Software-Paketquellen” sollte man ggf. noch das neue Repository deaktivieren, sonst landen weitere Xorg Updates etc… auf dem Rechner.

    Quellen:

  • Backport Kernel
  • NVIDIA Update
  • Einsteins DSA Tool – Plugin für MeisterGeister

    Einsteins DSA Tool wird in Kürze als Plugin für die DSA MeisterGeister verfügbar sein. Alle weiteren Details und Informationen findet ihr auf der Website der MeisterGeister.

    Allen Linux Anwendern sei gesagt, ich werde Einsteins DSA Tool auch weiterhin eigenständig pflegen und stets eine unter Mono lauffähige Version zur Verfügung stellen.

    eGroupware 1.8 unter Ubuntu 10.04

    Seit kurzem ist die Community Version 1.8 von eGroupware erschienen. Um diese unter Ubuntu 10.04 zum laufen zu bekommen sind jedoch noch ein paar kleine Anpassungen nötig. Es wird im Folgenden davon ausgegangen, dass Apache, MySQL und PHP bereits installiert sind.

    Die PHP Version 5.3.2 aus den Ubuntu-Quellen hat einen Fehler, der zum Absturz des Webinterfaces führt. Die aktuelle PHP Version 5.3.3 für Ubuntu 10.04 gibt es in diesem Repository. In Zukunft vielleicht auch in den offiziellen Quellen. Der folgende Befehl fügt das Repository den Paketquellen hinzu.

    $ sudo add-apt-repository ppa:nginx/php5

    Als erstes wird jetzt PHP geupdated.

    $ sudo apt-get update &amp;&amp; sudo apt-get upgrade

    Anschließend editiert man die beiden Dateien /etc/php5/cli/php.ini und /etc/php5/apache2/php.ini und sucht nach dem Eintrag data.timezone. Die geänderte Zeile sollte anschließend so aussehen:

    date.timezone = Europe/Berlin

    Das Repository für eGroupware liegt auf den openSUSE Servern. Hierzu muss die folgende Zeile an die /etc/apt/sources.list angefügt werden.

    deb http://download.opensuse.org/repositories/server:/eGroupWare/xUbuntu_10.04/ ./

    Außerdem sollte man noch den Schlüssel des openSUSE Repositories importieren um lästige Nachfragen zu unterbinden.

    $ wget -O - http://download.opensuse.org/repositories/server:/eGroupWare/xUbuntu_10.04/Release.key | apt-key add -

    Jetzt kann eGroupware aus den Paketquellen installiert werden und wird zukünftig auch mit automatischen Updates versorgt.

    $ sudo apt-get update
    $ sudo apt-get install egroupware egroupware-egw-pear

    Während der Installation wird normalerweise eine Datenbank und ein entsprechender User für eGroupware angelegt. Was die weiterführende Konfiguration angeht, verweise ich an dieser Stelle einfach mal auf die offizielle Seite von eGroupware. Wer wie ich bereits die Version 1.6 installiert hatte, sollte die Installation ggf. an dem Punkt abbrechen. Unter den Release Notes der Version 1.8 steht noch ein wenig mehr darüber, wie man eine bestehende Version 1.6 upgraded.

    Kalender und Adressbuch mit Thunderbird synchronisieren.

    Um Kalender und Adressen anschließend durch den eGroupware eigenen GroupDAV-Server mit Thunderbird zu synchronisieren benötigt man die zwei Erweiterungen SOGo Connector und Lightning. Die Lightning Version 1.01b funktioniert mit Thunderbird 3.0.x problemlos. Die Lightning Version 1.02b macht im Zusammenspielt mit Thunderbird 3.1.x jedoch Probleme. Ich empfehle daher nicht nur den SOGo Connector sondern auch die angepasste Lightning Version direkt von Inverse zu nutzen.

    Nicht vergessen: Solange GroupDAV für den entsprechenden User unter eGroupware nicht aktiviert wurde, wird es nicht funktionieren. Das selbe gilt für SyncML, das man zum synchronisieren auf den meisten Handys kann.