diff --git a/content/posts/notes_general/notes_contabo.md b/content/posts/notes_general/notes_contabo.md index 415d3b6..1de641d 100644 --- a/content/posts/notes_general/notes_contabo.md +++ b/content/posts/notes_general/notes_contabo.md @@ -1,44 +1,204 @@ --- weight: 4 title: "Instalación de VPS en Contabo" -date: 2024-06-18T22:56:21+0200 -draft: true +date: 2024-10-31T13:56:35+0100 +draft: false summary: "Como montar tu propio VPS en Contabo" categories: - notes tags: - selfhosted +- debian +- fail2ban +- firewall +- zsh +- docker --- -# Opciones en Contabo +{{< admonition type=info title="Este artículo ya es válido" open=true >}} +Este artículo no está completo, pero **ya es válido para iniciar un servidor VPS**. -# Instalación +Intentaremos completar (en algún momento del futuro) las secciones: +- Configuración simple de cortafuegos con **nftables** +- Configuración simple de cortafuegos con **firewalld** -Con el servidor recien instalado con nuestro S.O. escogido (Debian) nos conectamos desde nuestro PC. +En la siguiente entrega veremos como configurar **Traefik** como proxy inverso. + +{{< /admonition >}} + + +Describimos la instalación de un VPS en el proveedor Contabo, pero quitando los detalles particulares de ese proveedor el resto de los pasos se pueden aplicar a cualquier VPS con **Debian 12 Server** + + + +## Opciones en Contabo + +Escogemos un servidor sencillo sin opciones extra. + +| | | +|:------------------|:-----------------| +| Sistema Operativo | Debian 12 Server | +| Tipo de servidor | Cloud VPS 1 | +| Cores | 4 vCPU | +| Memoria | 6 Gb RAM | +| HD | 400 Gb | + +- En el proceso de instalación especificamos que queremos Debian 12 +- Es importante recordar la password de ***root*** aunque ahora hay una opción para resetearla desde la web de contabo +- **ATENCIÓN: Evita usar caracteres especiales y las letras 'y' y 'z' al establecer la password de *root***. Hay un problema con los `LOCALES` y con el mapa de teclado que solucionaremos más tarde +- **Los snapshots de los servidores se borran a los 30 dias** +- En el panel de control web, sección *Your Services* debajo del botón *Manage* tenemos la opción para asignarle un nombre al servidor, yo lo hago con todos por que me es más sencillo recordarlos e interpretar las facturas +- Si hay problemas tendrás que recurrir al acceso via VNC. En la web de control de servidores en Contabo tienes la info para conectarte al VNC. Tienes que poner una contraseña para acceder al servidor VNC **que contenga mayúsculas, minúsculas, números y tenga EXACTAMENTE ocho caracteres**. Puedes dejar el acceso VNC desactivado y activarlo solo cuando lo necesitas. + +## Instalación + +### Actualización de paquetes + +Con nuestro S.O. escogido (Debian 12) recién instalado en el VPS nos conectamos desde nuestro PC. ```bash -ssh -o PreferredAuthentications=password root@38.242.142.112 +ssh -o PreferredAuthentications=password root@ ``` -Y hacemos la típica actualización: +{{< admonition type=tip title="¿Cómo que _PreferredAuthentications_?" open=false >}} + +En mi estación de trabajo (desde donde me conecto a mis servidores) tengo configurado el acceso ssh via claves GPG. Si haces como yo y usas distintas claves por cada servidor remoto es posible se acumulen tantas claves que la conexión falle con el error *Too many authentication failures*. Esto ocurre por que `ssh` irá probando todas las claves disponibles para la conexión. Como el servidor aun no está configurado para aceptar claves fallarán todos los intentos de conexión, aparecerá el error y el servidor remoto rechazará la conexión. Para evitar eso usamos la opción: + +`Preferredauthentications=password` + +Otra forma de conectarse sería: + +`ssh -o IdentitiesOnly=yes root@` + + +{{< /admonition >}} + + +Y hacemos la típica actualización de todos los paquetes: ```bash apt update apt upgrade ``` -Install `git` y `etckeeper`: +Lo más seguro es que nos de un fallo de `locale settings` de este estilo + +```log +perl: warning: Please check that your locale settings: + LANGUAGE = "en_GB:en", + LC_ALL = (unset), + LC_TIME = "es_ES.UTF-8", + LC_MONETARY = "es_ES.UTF-8", + LC_ADDRESS = "es_ES.UTF-8", + LC_TELEPHONE = "es_ES.UTF-8", + LC_NAME = "es_ES.UTF-8", + LC_MEASUREMENT = "es_ES.UTF-8", + LC_IDENTIFICATION = "es_ES.UTF-8", + LC_NUMERIC = "es_ES.UTF-8", + LC_PAPER = "es_ES.UTF-8", + LANG = "en_GB.UTF-8" + are supported and installed on your system. +``` +Lo arreglamos en la siguiente sección. + +### Reconfigurar *locales* y mapa de teclado + +Reconfiguramos los *locales*: + +```bash +dpkg-reconfigure locales +``` + +Dejamos el `en_US.UTF-8` como *locale* por defecto. + +Aparentemente Debian 12 ha pasado a controlar los locales bajo **systemd**. Parece que hay conflictos por que el antiguo comando `locale` nos dice una cosa y el nuevo comando `localectl status` nos dice otra: + +```bash +locale -a # Lista de los locales que he generado con dpkg-reconfigure locales +C +C.utf8 +en_GB.utf8 +en_US.utf8 +es_ES.utf8 +eu_ES.utf8 +gl_ES.utf8 +POSIX + +locale # Antiguo comando para ver la configuración de locales +LANG=en_GB.UTF-8 +LANGUAGE=en_GB:en +LC_CTYPE="en_GB.UTF-8" +LC_NUMERIC=es_ES.UTF-8 +LC_TIME=es_ES.UTF-8 +LC_COLLATE="en_GB.UTF-8" +LC_MONETARY=es_ES.UTF-8 +LC_MESSAGES="en_GB.UTF-8" +LC_PAPER=es_ES.UTF-8 +LC_NAME=es_ES.UTF-8 +LC_ADDRESS=es_ES.UTF-8 +LC_TELEPHONE=es_ES.UTF-8 +LC_MEASUREMENT=es_ES.UTF-8 +LC_IDENTIFICATION=es_ES.UTF-8 +LC_ALL= + +localectl status # Nuevo comando para ver la configuración de locales +System Locale: LANG=en_US.UTF-8 + LANGUAGE=en_GB:en + VC Keymap: (unset) + X11 Layout: de + X11 Model: pc105 +``` + +En cualquier caso ya no nos aparecerán más errores de locales, pero tenemos que solucionar también el problema del mapa de teclado que nos interfiere al conectarnos via VNC desde la página web de administración de Contabo. Para ello ejecutamos `dpkg-reconfigure keyboard-configuration`, escogiendo las opciones: + +- **Keyboard model**: *Generic 105-key PC* +- **Country of origin**: *Spanish* +- **Keyboard Layout**: *Spanish* +- **Altgrn key**: *Default* +- **Compose key**: *No compose key* + +Después de reconfigurar ya tendremos el mapa correcto : + +```bash +localectl status +System Locale: LANG=en_US.UTF-8 + LANGUAGE=en_GB:en + VC Keymap: (unset) + X11 Layout: es + X11 Model: pc105 +``` + +Con esto no deberíamos tener ya problemas para hacer login con el VNC sea cual sea la contraseña de nuestro usuario `root`. + +{{< admonition type=info title="Contraseñas" open=true >}} + +Una vez que compruebes que el teclado funciona bien via VNC y que la configuración de *locales* ya no te da problema puedes cambiar las contraseñas y poner la que quieras. Pero en los siguientes pasos vamos a prohibir el acceso de `root` y vamos a exigir que el acceso por ssh se haga con claves GPG. +Eso si, por VNC desde la página de administración de Contabo, siempre podrás entrar como `root`. + +{{< /admonition >}} + + + +### Instalación de **git** y **etckeeper** + +**git** lo uso continuamente, **etckeeper** se encarga de mantener todos los cambios que haya en el directorio `/etc/` de nuestro servidor controladas con **git**. A mi ya me ha resultado muy útil para resolver un par de problemas causados por cambios de configuración o instalación de paquetes. Uso el **etckeeper** estrictamente en local, nunca he definido un *remote* para este repo de **git**. + +**git-crypt** y **gnupg** son una manera de almacenar información confidencial en un repo de git. Aunque **gnupg** vale para muchas más cosas y merece la pena tenerlo instalado. + +Instalamos `git` y `etckeeper` (los siguientes comandos hay que ejecutarlos como `root` para tener el git configurado para **etckeeper**): ```bash apt install git apt install git-crypt apt install gnupg -git config --globar user.email "whaterver@mail.com" -git config --global user.name "Name Surname" +git config --global user.email "whatever@mail.com" # Pon el correo que te convenga +git config --global user.name "Name Surname" # Pon el nombre de usuario que tu quieras apt install etckeeper ``` +### Instalación de utilidades + Bibliotecas de compresión: ```bash @@ -48,7 +208,7 @@ apt install zip unzip unace bzip2 lzop p7zip p7zip-full Utilidades: ```bash -apt install most mc tree neofetch tmux aptitude rsync +apt install most mc tree tmux aptitude rsync fasd ``` Instalamos `sudo`: @@ -63,41 +223,931 @@ Instalamos `ufw` apt install ufw ``` -Vamos a añadir usuarios: +Instalamos `zsh`: + +```bash +apt install zsh +``` + +Instalamos `emacs`: ```bash -adduser --uid=1111 hostadmin +apt install emacs-nox +``` + + +El comando completo de instalación sería: + +```bash +apt install zip unzip unace bzip2 lzop p7zip p7zip-full \ +most mc tree tmux aptitude rsync fasd \ +sudo ufw zsh emacs-nox +``` + + +## Creación de usuarios en el VPS + +Vamos a añadir usuarios (lo de los id de los usuarios son costumbres mias que no tienen justificación clara): + +```bash +adduser --uid=1111 hostadmin # Siempre asigno el mismo id a los usuarios de administración gpasswd -a hostadmin sudo -adduser salvari +adduser salvari # Por costumbre dejo un usuario personal con id 1000 gpasswd -a salvari sudo -adduser dockadmin +adduser dockadmin # Acostumbro a tener el dockadmin en el id 1001 gpasswd -a dockadmin sudo ``` -Desde nuestra estación de trabajo preparamos las claves de acceso al server remoto y las trasferimos al mismo. +## Conexión al VPS via **ssh** + +### **ssh** en el cliente + +En nuestra estación de trabajo preparamos las claves de acceso al server remoto y las trasferimos al mismo. Lo dos primeros comandos son de ejemplo, con una sola clave del tipo que sea te vale. + +```bash +ssh-keygen -b 4096 -t rsa # Especificamos ~/.ssh/_rsa como salida + +ssh-keygen -t ed25519 -a 100 # <-- Opción mas robusta (especificamos como salida ~/.ssh/_ed25519) + +ssh-copy-id -i .ssh/_ed25519 -o PreferredAuthentications=password remoteuser@host +``` + +Para dejar correctamente configurado el acceso ssh al VPS desde nuestra estación de trabajo, tenemos que configurar nuestro cliente ssh editando el fichero `~/.ssh/config`. Hay también un fichero global con opciones para el cliente ssh que sería `/etc/ssh/ssh_config`. Los dos ficheros tienen el mismo formato. ```bash -ssh-keygen -b 4096 -t rsa # Especificamos ~/.ssh/fomalhaut_rsa como salida +touch ~/.ssh/config # Creamos el fichero si no existe +chmod 600 ~/.ssh/config # Solo nuestro usuario puede verlo, esto es imprescindible, ssh es muy susceptible +``` + +Editamos el fichero que tendría este contenido (evidentemente **tienes que usar tus propias direcciones ip y ficheros de claves**) -ssh-keygen -t ed25519 -a 100 # <-- Opción mas robusta +```config +# This options deactivates the use of every key in the ssh-agent +# Only the keys specified in this file will be used +# Host * +# IdentitiesOnly=yes -ssh-copy-id -i .ssh/newkey_ed25519 -o PreferredAuthentications=password remoteuser@host +Host firstvps + HostName + User + Port 22 + IdentityFile ~/.ssh/firstvps_rsa + +Host + HostName + User + Port 22 + IdentityFile ~/.ssh/secondvps_rsa ``` -El último paso lo repetimos para todos los usuarios remotos a los que queramos acceder, que no deberían ser muchos. +Con esta configuración y **una vez configurado el ssh en el servidor** (ver siguiente apartado) el comando de conexión será simplemente: + +`ssh ` + +Puedes conectarte a distintos usuarios en el lado VPS siempre y cuando hayas copiado la clave pública correspondiente al fichero `~/.ssh/authorized_keys` de ese usuario remoto. + +### Configuración del servidor ssh en el VPS + +En nuestro servidor VPS cambiamos la configuración para que: +- **No** se admitan login via ssh con password (**¡OJO! Esta es la opción que tendrás que habilitar de nuevo si te lias con tus claves gpg para ssh**) +- **No** se admita login via ssh con el usuario `root` + +Tenemos que editar el fichero de configuración `/etc/ssh/sshd_config`. A continuación los cambios introducidos + +```config +. +. +. +# 20240619-salvari uncomment +PubkeyAuthentication yes +. +. +. +# To disable tunneled clear text passwords, change to no here! +# 20240619-salvari changed to no +PasswordAuthentication no +#PermitEmptyPasswords no +. +. +. +# 20240619-salvari changed to no +UsePAM no +. +. +. +# 20240619-salvari changed to no +PermitRootLogin no +``` + +Después de cambiar la configuración reiniciamos el servicio con `sudo systemctl restart ssh` + +Ahora tenemos que comprobar que podemos conectarnos desde nuestra estación de trabajo via clave gpg, por ejemplo con el comando que ya describimos: `ssh ` + +## Configuración del cortafuegos + +Ya hace tiempo que en Linux se ha pasado de implementar los _firewall_ con **iptables** a usar **nftables**. Para mantener la compatibilidad con el antiguo **iptables** hay utilidades que se encargan de traducir los comandos **iptables** a configuraciones con **nftables** + +Yo solía usar *Uncomplicated Firewall* (UFW) para configurar mis cortafuegos por que mi configuración era muy simple. El problema es que **UFW** sigue usando comandos **iptables** y no se si la traducción a **nftables** queda muy elegante así que aunque de momento lo dejemos con **UFW** voy a echar un ojo a la configuración directa con **nftables** y también a usar **Firewalld** en lugar de **UFW**. + +Las ventajas de usar directamente **nftables** son configuraciones más simples y que aprendes como usuar **nftables** y como funciona un cortafuegos. + +La principal ventaja de usar **UFW** o **Firewalld** es que los escenarios y aplicaciones típicos son muy fáciles de configurar. + +### UFW + +Habíamos instalado **ufw** al instalar las utilidades al principio. Ahora vamos a poner la configuración básica del cortafuegos, es decir, vamos a permitir exclusivamente conexiones via ssh: + +```bash +sudo ufw status verbose # Comprobamos que está deshabilitado +sudo ufw app list # comprobamos que apps soporta +sudo ufw default deny incoming # le decimos que por defecto no acepta nada entrante +sudo ufw default allow outgoing # por defecto permitimos conexiones salientes +sudo ufw allow ssh # permitimos conexiones ssh +sudo ufw enable # lo habilitamos +sudo ufw status verbose # vemos el estado del cortafuegos +``` + +La respuesta al último comando tendrá esta pinta: + +```bash +Status: active +Logging: on (low) +Default: deny (incoming), allow (outgoing), disabled (routed) +New profiles: skip + +To Action From +-- ------ ---- +22/tcp ALLOW IN Anywhere +22/tcp (v6) ALLOW IN Anywhere (v6) +``` + +**Según vayamos añadiendo servicios tendremos que ir añadiendo reglas al *firewall*.** + +Si queremos ver como queda esto configurado en **nftables** podemos ejecutar el comando `sudo nft list ruleset`. Antes de activar el cortafuegos el comando no devuelve nada puesto que no hay definida ninguna regla. Pero tras activarlo obtenemos la configuración de reglas que figura a continuación. Son muchísimas reglas para lo que queremos (permitir sólo el acceso via **ssh**) Es de suponer que el **UFW** deja todo preparado para añadir nuevas reglas en el futuro. Aun así si configuramos lo mismo directamente con comandos **nftables** dudo mucho que necesitemos más de 30 lineas para dejar todo programado y bien comentado en el fichero de configuración. + +```nftables +# Warning: table ip filter is managed by iptables-nft, do not touch! +table ip filter { + chain ufw-before-logging-input { + } + + chain ufw-before-logging-output { + } + + chain ufw-before-logging-forward { + } + + chain ufw-before-input { + iifname "lo" counter packets 0 bytes 0 accept + ct state related,established counter packets 35 bytes 3502 accept + ct state invalid counter packets 0 bytes 0 jump ufw-logging-deny + ct state invalid counter packets 0 bytes 0 drop + meta l4proto icmp icmp type destination-unreachable counter packets 0 bytes 0 accept + meta l4proto icmp icmp type time-exceeded counter packets 0 bytes 0 accept + meta l4proto icmp icmp type parameter-problem counter packets 0 bytes 0 accept + meta l4proto icmp icmp type echo-request counter packets 0 bytes 0 accept + udp sport 67 udp dport 68 counter packets 54 bytes 18700 accept + counter packets 4 bytes 252 jump ufw-not-local + ip daddr 224.0.0.251 udp dport 5353 counter packets 0 bytes 0 accept + ip daddr 239.255.255.250 udp dport 1900 counter packets 0 bytes 0 accept + counter packets 3 bytes 152 jump ufw-user-input + } + + chain ufw-before-output { + oifname "lo" counter packets 0 bytes 0 accept + ct state related,established counter packets 31 bytes 5156 accept + counter packets 0 bytes 0 jump ufw-user-output + } + + chain ufw-before-forward { + ct state related,established counter packets 0 bytes 0 accept + meta l4proto icmp icmp type destination-unreachable counter packets 0 bytes 0 accept + meta l4proto icmp icmp type time-exceeded counter packets 0 bytes 0 accept + meta l4proto icmp icmp type parameter-problem counter packets 0 bytes 0 accept + meta l4proto icmp icmp type echo-request counter packets 0 bytes 0 accept + counter packets 0 bytes 0 jump ufw-user-forward + } + + chain ufw-after-input { + udp dport 137 counter packets 0 bytes 0 jump ufw-skip-to-policy-input + udp dport 138 counter packets 0 bytes 0 jump ufw-skip-to-policy-input + tcp dport 139 counter packets 0 bytes 0 jump ufw-skip-to-policy-input + tcp dport 445 counter packets 1 bytes 52 jump ufw-skip-to-policy-input + udp dport 67 counter packets 0 bytes 0 jump ufw-skip-to-policy-input + udp dport 68 counter packets 0 bytes 0 jump ufw-skip-to-policy-input + fib daddr type broadcast counter packets 0 bytes 0 jump ufw-skip-to-policy-input + } + + chain ufw-after-output { + } + + chain ufw-after-forward { + } + + chain ufw-after-logging-input { + limit rate 3/minute burst 10 packets counter packets 1 bytes 40 log prefix "[UFW BLOCK] " + } + + chain ufw-after-logging-output { + } + + chain ufw-after-logging-forward { + limit rate 3/minute burst 10 packets counter packets 0 bytes 0 log prefix "[UFW BLOCK] " + } + + chain ufw-reject-input { + } + + chain ufw-reject-output { + } + + chain ufw-reject-forward { + } + + chain ufw-track-input { + } + + chain ufw-track-output { + meta l4proto tcp ct state new counter packets 0 bytes 0 accept + meta l4proto udp ct state new counter packets 0 bytes 0 accept + } + + chain ufw-track-forward { + } + + chain INPUT { + type filter hook input priority filter; policy drop; + counter packets 95 bytes 22558 jump ufw-before-logging-input + counter packets 95 bytes 22558 jump ufw-before-input + counter packets 5 bytes 296 jump ufw-after-input + counter packets 4 bytes 244 jump ufw-after-logging-input + counter packets 4 bytes 244 jump ufw-reject-input + counter packets 4 bytes 244 jump ufw-track-input + } + + chain OUTPUT { + type filter hook output priority filter; policy accept; + counter packets 31 bytes 5156 jump ufw-before-logging-output + counter packets 31 bytes 5156 jump ufw-before-output + counter packets 0 bytes 0 jump ufw-after-output + counter packets 0 bytes 0 jump ufw-after-logging-output + counter packets 0 bytes 0 jump ufw-reject-output + counter packets 0 bytes 0 jump ufw-track-output + } + + chain FORWARD { + type filter hook forward priority filter; policy drop; + counter packets 0 bytes 0 jump ufw-before-logging-forward + counter packets 0 bytes 0 jump ufw-before-forward + counter packets 0 bytes 0 jump ufw-after-forward + counter packets 0 bytes 0 jump ufw-after-logging-forward + counter packets 0 bytes 0 jump ufw-reject-forward + counter packets 0 bytes 0 jump ufw-track-forward + } + + chain ufw-logging-deny { + ct state invalid limit rate 3/minute burst 10 packets counter packets 0 bytes 0 return + limit rate 3/minute burst 10 packets counter packets 0 bytes 0 log prefix "[UFW BLOCK] " + } + + chain ufw-logging-allow { + limit rate 3/minute burst 10 packets counter packets 0 bytes 0 log prefix "[UFW ALLOW] " + } + + chain ufw-skip-to-policy-input { + counter packets 1 bytes 52 drop + } + + chain ufw-skip-to-policy-output { + counter packets 0 bytes 0 accept + } + + chain ufw-skip-to-policy-forward { + counter packets 0 bytes 0 drop + } + + chain ufw-not-local { + fib daddr type local counter packets 4 bytes 252 return + fib daddr type multicast counter packets 0 bytes 0 return + fib daddr type broadcast counter packets 0 bytes 0 return + limit rate 3/minute burst 10 packets counter packets 0 bytes 0 jump ufw-logging-deny + counter packets 0 bytes 0 drop + } + + chain ufw-user-input { + tcp dport 22 counter packets 1 bytes 60 accept + } + + chain ufw-user-output { + } + + chain ufw-user-forward { + } + + chain ufw-user-logging-input { + } + + chain ufw-user-logging-output { + } + + chain ufw-user-logging-forward { + } + + chain ufw-user-limit { + limit rate 3/minute counter packets 0 bytes 0 log prefix "[UFW LIMIT BLOCK] " + counter packets 0 bytes 0 reject + } + + chain ufw-user-limit-accept { + counter packets 0 bytes 0 accept + } +} + +# Warning: table ip6 filter is managed by iptables-nft, do not touch! +table ip6 filter { + chain ufw6-before-logging-input { + } + + chain ufw6-before-logging-output { + } + + chain ufw6-before-logging-forward { + } + + chain ufw6-before-input { + iifname "lo" counter packets 0 bytes 0 accept + rt type 0 counter packets 0 bytes 0 drop + ct state related,established counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp icmpv6 type echo-reply counter packets 0 bytes 0 accept + ct state invalid counter packets 0 bytes 0 jump ufw6-logging-deny + ct state invalid counter packets 0 bytes 0 drop + meta l4proto ipv6-icmp icmpv6 type destination-unreachable counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp icmpv6 type packet-too-big counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp icmpv6 type time-exceeded counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp icmpv6 type parameter-problem counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp icmpv6 type echo-request counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp icmpv6 type nd-router-solicit ip6 hoplimit 255 counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp icmpv6 type nd-router-advert ip6 hoplimit 255 counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp icmpv6 type nd-neighbor-solicit ip6 hoplimit 255 counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp icmpv6 type nd-neighbor-advert ip6 hoplimit 255 counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp xt match icmp6 ip6 hoplimit 255 counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp xt match icmp6 ip6 hoplimit 255 counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp ip6 saddr fe80::/10 xt match icmp6 counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp ip6 saddr fe80::/10 xt match icmp6 counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp ip6 saddr fe80::/10 xt match icmp6 counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp ip6 saddr fe80::/10 xt match icmp6 counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp xt match icmp6 ip6 hoplimit 255 counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp xt match icmp6 ip6 hoplimit 255 counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp ip6 saddr fe80::/10 xt match icmp6 ip6 hoplimit 1 counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp ip6 saddr fe80::/10 xt match icmp6 ip6 hoplimit 1 counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp ip6 saddr fe80::/10 xt match icmp6 ip6 hoplimit 1 counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp xt match icmp6 counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp xt match icmp6 counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp xt match icmp6 counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp xt match icmp6 counter packets 0 bytes 0 accept + ip6 saddr fe80::/10 ip6 daddr fe80::/10 udp sport 547 udp dport 546 counter packets 0 bytes 0 accept + ip6 daddr ff02::fb udp dport 5353 counter packets 0 bytes 0 accept + ip6 daddr ff02::f udp dport 1900 counter packets 0 bytes 0 accept + counter packets 0 bytes 0 jump ufw6-user-input + } + + chain ufw6-before-output { + oifname "lo" counter packets 0 bytes 0 accept + rt type 0 counter packets 0 bytes 0 drop + ct state related,established counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp icmpv6 type destination-unreachable counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp icmpv6 type packet-too-big counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp icmpv6 type time-exceeded counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp icmpv6 type parameter-problem counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp icmpv6 type echo-request counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp icmpv6 type echo-reply counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp icmpv6 type nd-router-solicit ip6 hoplimit 255 counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp icmpv6 type nd-neighbor-advert ip6 hoplimit 255 counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp icmpv6 type nd-neighbor-solicit ip6 hoplimit 255 counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp icmpv6 type nd-router-advert ip6 hoplimit 255 counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp xt match icmp6 ip6 hoplimit 255 counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp xt match icmp6 ip6 hoplimit 255 counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp ip6 saddr fe80::/10 xt match icmp6 counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp ip6 saddr fe80::/10 xt match icmp6 counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp ip6 saddr fe80::/10 xt match icmp6 counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp ip6 saddr fe80::/10 xt match icmp6 counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp xt match icmp6 ip6 hoplimit 255 counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp xt match icmp6 ip6 hoplimit 255 counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp ip6 saddr fe80::/10 xt match icmp6 ip6 hoplimit 1 counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp ip6 saddr fe80::/10 xt match icmp6 ip6 hoplimit 1 counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp ip6 saddr fe80::/10 xt match icmp6 ip6 hoplimit 1 counter packets 0 bytes 0 accept + counter packets 0 bytes 0 jump ufw6-user-output + } + + chain ufw6-before-forward { + rt type 0 counter packets 0 bytes 0 drop + ct state related,established counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp icmpv6 type destination-unreachable counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp icmpv6 type packet-too-big counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp icmpv6 type time-exceeded counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp icmpv6 type parameter-problem counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp icmpv6 type echo-request counter packets 0 bytes 0 accept + meta l4proto ipv6-icmp icmpv6 type echo-reply counter packets 0 bytes 0 accept + counter packets 0 bytes 0 jump ufw6-user-forward + } + + chain ufw6-after-input { + udp dport 137 counter packets 0 bytes 0 jump ufw6-skip-to-policy-input + udp dport 138 counter packets 0 bytes 0 jump ufw6-skip-to-policy-input + tcp dport 139 counter packets 0 bytes 0 jump ufw6-skip-to-policy-input + tcp dport 445 counter packets 0 bytes 0 jump ufw6-skip-to-policy-input + udp dport 546 counter packets 0 bytes 0 jump ufw6-skip-to-policy-input + udp dport 547 counter packets 0 bytes 0 jump ufw6-skip-to-policy-input + } + + chain ufw6-after-output { + } -Cambiamos la configuración para que no se admintan login con password + chain ufw6-after-forward { + } -# Configuración de cortafuegos + chain ufw6-after-logging-input { + limit rate 3/minute burst 10 packets counter packets 0 bytes 0 log prefix "[UFW BLOCK] " + } + + chain ufw6-after-logging-output { + } + + chain ufw6-after-logging-forward { + limit rate 3/minute burst 10 packets counter packets 0 bytes 0 log prefix "[UFW BLOCK] " + } + + chain ufw6-reject-input { + } + + chain ufw6-reject-output { + } + + chain ufw6-reject-forward { + } + + chain ufw6-track-input { + } + + chain ufw6-track-output { + meta l4proto tcp ct state new counter packets 0 bytes 0 accept + meta l4proto udp ct state new counter packets 0 bytes 0 accept + } + + chain ufw6-track-forward { + } + + chain INPUT { + type filter hook input priority filter; policy drop; + counter packets 0 bytes 0 jump ufw6-before-logging-input + counter packets 0 bytes 0 jump ufw6-before-input + counter packets 0 bytes 0 jump ufw6-after-input + counter packets 0 bytes 0 jump ufw6-after-logging-input + counter packets 0 bytes 0 jump ufw6-reject-input + counter packets 0 bytes 0 jump ufw6-track-input + } + + chain OUTPUT { + type filter hook output priority filter; policy accept; + counter packets 0 bytes 0 jump ufw6-before-logging-output + counter packets 0 bytes 0 jump ufw6-before-output + counter packets 0 bytes 0 jump ufw6-after-output + counter packets 0 bytes 0 jump ufw6-after-logging-output + counter packets 0 bytes 0 jump ufw6-reject-output + counter packets 0 bytes 0 jump ufw6-track-output + } + + chain FORWARD { + type filter hook forward priority filter; policy drop; + counter packets 0 bytes 0 jump ufw6-before-logging-forward + counter packets 0 bytes 0 jump ufw6-before-forward + counter packets 0 bytes 0 jump ufw6-after-forward + counter packets 0 bytes 0 jump ufw6-after-logging-forward + counter packets 0 bytes 0 jump ufw6-reject-forward + counter packets 0 bytes 0 jump ufw6-track-forward + } + + chain ufw6-logging-deny { + ct state invalid limit rate 3/minute burst 10 packets counter packets 0 bytes 0 return + limit rate 3/minute burst 10 packets counter packets 0 bytes 0 log prefix "[UFW BLOCK] " + } + + chain ufw6-logging-allow { + limit rate 3/minute burst 10 packets counter packets 0 bytes 0 log prefix "[UFW ALLOW] " + } + + chain ufw6-skip-to-policy-input { + counter packets 0 bytes 0 drop + } + + chain ufw6-skip-to-policy-output { + counter packets 0 bytes 0 accept + } + + chain ufw6-skip-to-policy-forward { + counter packets 0 bytes 0 drop + } + + chain ufw6-user-input { + tcp dport 22 counter packets 0 bytes 0 accept + } + + chain ufw6-user-output { + } + + chain ufw6-user-forward { + } + + chain ufw6-user-logging-input { + } + + chain ufw6-user-logging-output { + } + + chain ufw6-user-logging-forward { + } + + chain ufw6-user-limit { + limit rate 3/minute counter packets 0 bytes 0 log prefix "[UFW LIMIT BLOCK] " + counter packets 0 bytes 0 reject + } + + chain ufw6-user-limit-accept { + counter packets 0 bytes 0 accept + } +} +``` + +Si queremos ver el cortafuegos en acción podemos ejecutar el comando `sudo journalctl -S today |grep UFW`, la cantidad de intentos de acceso bloqueados nunca deja de asombrarme. + + +## Instalación y configuración de **fail2ban** + +### Instalación de **fail2ban** + +Primero necesitamos instalar **fail2ban** en nuestro VPS. Podemos usar simplemente: + +```bash +sudo apt install fail2ban +``` + +Si por lo que sea queremos instalar la última versión, podemos hacerlo descargándola desde [aquí](https://github.com/fail2ban/fail2ban/releases) con los siguientes comandos: + +```bash +# Echa un ojo al repo de releases y apunta la versión actual de fail2ban +# En nuestro caso es: https://github.com/fail2ban/fail2ban/releases/download/1.1.0/fail2ban_1.1.0-1.upstream1_all.deb + +cd /tmp/ + +# 1) download deb package and signature: +wget https://github.com/fail2ban/fail2ban/releases/download/1.1.0/fail2ban_1.1.0-1.upstream1_all.deb \ + https://github.com/fail2ban/fail2ban/releases/download/1.1.0/fail2ban_1.1.0-1.upstream1_all.deb.asc + +# 2) check signature (if you want to be sure file is unmodified): +gpg --verify fail2ban_1.1.0-1.upstream1_all.deb.asc fail2ban_1.1.0-1.upstream1_all.deb + +# 3) view details of the package: +dpkg -I fail2ban_1.1.0-1.upstream1_all.deb + +# 4) to ensure the upgrade run gentler (protocol of previous version may be incompatible), stop fail2ban before install: +# using service: +sudo service fail2ban stop +# using client: +sudo fail2ban-client stop + +# 5a) either install package using dpkg (standalone package, don't regard dependencies): +sudo dpkg -i fail2ban_1.1.0-1.upstream1_all.deb +# if the package introduces some "broken" dependencies (I don't think so in case of fail2ban which has few dependencies), +# to fix the unmet dependency issue, run this: +sudo apt -f install + +# 5b) alternatively install package using gdebi (that will take care of installation of dependencies): +sudo gdebi fail2ban_1.1.0-1.upstream1_all.deb +# if you want to check anyway whether there are some broken packages and fix them automatically, you can run: +sudo apt -f install +``` + +Una vez instalado **fail2ban** podemos comprobar el estado del servicio: + +```bash +systemctl list-units -a --state=active --type=service +systemctl status fail2ban.service +``` + +### Configuración de **fail2ban** + +Hay dos ficheros principales de configuración en **fail2ban**: `/etc/fail2ban/fail2ban.conf` y `/etc/fail2ban/jail.conf` (ver [aquí](https://github.com/fail2ban/fail2ban/wiki/Proper-fail2ban-configuration)) + +/etc/fail2ban/fail2ban.conf +: Es el fichero de configuración de las opciones de operación del demonio **fail2ban**. Aquí se especifican cosas como el *loglevel*, el fichero de log, el socket o el fichero del pid. + +/etc/fail2ban/jail.conf +: Este es el fichero interesante, aquí es donde configuramos las reglas de baneado. Así aquí se configura, por ejemplo, el intervalo de baneo, el número de intentos de login antes de banear una ip, la lista blanca de IPs, la info que se envia por correo cuando se detecta un ataque, etc. etc. +: En **fail2ban** definimos un `jail` por cada servicio que nos interesa proteger. + +En casi todos los sitios que he leido nos aconsejan es hacer copias de los dos ficheros con extensión `.local` y hacer la configuración en estas copias. + +```bash +cd /etc/fail2ban/ +cp fail2ban.conf fail2ban.local +cp jail.conf jail.local +``` + +Pero la verdad es que en el man de fail2ban nos dicen que en los ficheros `.local` pongamos **exclusivamente** lo que no coincida con los valores por defecto. Y así lo voy a configurar. + +{{< admonition type=danger title="Cambio de ficheros de logs en Debian 12" open=true >}} + +Debian 12 ha cambiado la forma de gestionar los logs del sistema, ahora se usa **journald** bajo el paragüas de **systemd**. Si echais un ojo al directorio `/var/log` comprobareis que ya no existen la mayoria de los ficheros de log tradicionales. + +Esto impacta directamente en la configuración de **fail2ban**. Hay que tenerlo en cuenta por que con las configuraciones típicas de ejemplo en internet (o mi antigua configuración) **ya no funciona**. + +{{< /admonition >}} + +Otro detalle de la configuración de **fail2ban** es que la mayoría de los linux actuales han cambiado del antiguo **iptables** a **nftables** para implementar las políticas de cortafuegos. Este cambio no es reciente pero yo no era muy consciente por que hay programas de "traducción" de reglas **iptables** a reglas **nftables** . Si investigas un poco en tu linux seguramente verás que cuando invocas `iptables` casi seguro que en realidad estás invocando a `xtables-nft-multi`. + +Este no es un problema que impida el funcionamiento de **fail2ban**. Por ejemplo, ya comentamos que el cortafuegos que hemos instalado en nuestro server (*Uncomplicated Firewall* o **ufw**) sigue usando **iptables** y lo mismo hacen muchas otras aplicaciones como **Docker** sin ir más lejos. Asi que si no cambiamos la configuración por defecto **fail2ban** también usaría comandos de **iptables** que serían traducidos por **xtables-nft-multi**. Pero creo que lo conveniente es usar ya **nftables** puesto que **fail2ban** lo soporta. [^1] + +[^1]: Queda pediente buscar una alternativa a **ufw** que use directamente **nftables**, como **firewalld** por ejemplo. + +Si desplegamos **fail2ban** por primera vez hay que ir con cuidado de que no nos bloquee a nosotros mismos fuera del sistema. Puede que quieras activar el acceso con password via ssh antes de hacer el despliegue de **fail2ban** y seguramente es mejor no desplegar políticas de *baneo* muy agresivas hasta comprobar que todo funciona bien. + +Si antes de activar **fail2ban** quereis ver la cantidad de intentos de acceso ilegales[^2] que tiene vuestro VPS podéis ejecutar: + +[^2]: Si también quereis ver los intentos de acceso que esta bloqueando **UFW** podeis ejecutar `sudo journalctl -S today |grep UFW` + +```bash +journalctl -u ssh.service -S today +journalctl -u ssh -S "1 hour ago"q # Limitado a la última hora, el parámetro u (unit) acepta regexp +``` + +Con todas estas consideraciones nuestro fichero `jail.local` inicial quedaría: + +```toml +[DEFAULT] +# Add my others VPS as trusted servers +ignoreip = xxx.xxx.xxx.xxx yyy.yyy.yyy.yyy + +banaction=nftables[type=multiport] +# banaction=nftables[type=allports] # optional, more aggresive + + +# +# JAILS +# + +[sshd] +enabled = true +backend = systemd # backend is systemd in Debian 12 +``` + +En este fichero de configuración: +- Añado mis otros VPS a la lista `ignoreip` para que **fail2ban** nunca los banee. (Evidentemente para acceder tendre que configurar correctamente las claves ssh en esos otros VPS) +- Cambio el `banaction` para que **fail2ban** use **nftables** en lugar de **iptables** +- Activo un *jail* para el servicio `sshd` y, muy importante, especifico que el `backend` es `systemd` + +Una vez configurado reiniciamos el servicio **fail2ban* con: + +```bash +sudo systemctl restart fail2ban +``` +Con esta parametrización estas son las ip baneadas a los pocos minutos de arrancar el servicio. + +```bash +fail2ban-client status sshd +Status for the jail: sshd +|- Filter +| |- Currently failed: 18 +| |- Total failed: 159 +| `- Journal matches: _SYSTEMD_UNIT=sshd.service + _COMM=sshd +`- Actions + |- Currently banned: 18 + |- Total banned: 18 + `- Banned IP list: 47.236.2.29 8.219.246.145 8.222.245.20 47.237.106.242 8.222.169.164 8.219.241.126 8.222.184.144 8.222.150.15 171.22.31.29 202.157.184.46 103.146.52.138 103.142.87.225 47.245.92.217 35.192.179.181 27.71.237.15 47.237.4.213 160.20.186.237 59.34.217.89 +root@vmi1540613:/etc/fail2ban# +``` + + + +### Algunos comandos útiles: + +- `fail2ban-client status` Comprobar estado +- `fail2ban-client --test` Comprueba la configuración para ver si hay errores +- `fail2ban-client reload` Recargar configuración +- `fail2ban-client status sshd` Comprobar estado del jail sshd (o cualquier otro) y ver las IP baneadas +- `fail2ban-client set unbanip ` Desbanear una IP +- `fail2ban-client set addignoreip ` Meter una IP en la lista blanca (hasta el siguiente arranque) +- `fail2ban-client set delignoreip ` Quitar una IP de la lista blanca +- `fail2ban-client get ignoreip` Comprobar lista blanca para un jail + +### Refinando la configuración + +Cambiamos los tiempos de detección, de baneo inicial y activamos el `bantime.increment`. + +```toml +[DEFAULT] + +# Add my others VPS as trusted servers +ignoreip = xxx.xxx.xxx.xxx yyy.yyy.yyy.yyy + +maxretry = 2 +findtime = 60m + +bantime.increment = true +bantime = 60m + +banaction = nftables[type=multiport] +#banaction_allports = nftables[type=allports] + +# +# JAILS +# + +[sshd] +enabled = true +# To use more aggressive sshd modes set filter parameter "mode" in jail.local: +# normal (default), ddos, extra or aggressive (combines all). +# See "tests/files/logs/sshd" or "filter.d/sshd.conf" for usage example and details. +#mode = normal +port = ssh +logpath = %(sshd_log)s +# backend = %(sshd_backend)s +backend = systemd +``` + +{{< admonition type=tip title="Otras jail" open=true >}} + +Evidentemente a medida que vayamos instalando servicios en nuestro VPS deberemos añadir las jail necesarias para que **fail2ban** monitorice intentos de acceso ilegal a esos servicios. + +{{< /admonition >}} + + + +## Instalación de zsh + +Me gusta usar zsh para trabajar en la terminal así que lo vamos a instalar en nuestro VPS. + +Antes de empezar vamos a instalar: + +- **python3-all-dev** aunque sólo lo necesitas si vas a usar **pyenv** para gestionar entornos virtuales de Python3 +- **antigen** para gestionar todos los plugins de **zsh** +- **zsh-git-prompt** para tener información de git en el prompt del sistema + +Como **root** ejecutamos: + +```bash +apt install python3-all-dev + +cd /opt +git clone https://github.com/zsh-users/antigen +git clone https://github.com/olivierverdier/zsh-git-prompt +``` + +En el home de cada usuario (cada usario con el que queramos usar **zsh**) tendremos que crear un fichero `~/.zshrc` con las opciones de **zsh** que queramos para ese usuario y un fichero `~/.zalias.zsh` con los alias que queramos definir. + +{{< admonition type=warning title="Error con el bundle docker" open=true >}} + +He tenido que crear a mano el directorio: + +`~/.antigen/bundles/robbyrussell/oh-my-zsh/cache/completions` + +para solucionar un error con el bundle **docker** de **oh-my-zsh** +{{< /admonition >}} + +**Contenido de ~/.zshrc** + +```.zshrc +# This line loads .profile, it's experimental +[[ -e ~/.profile ]] && emulate sh -c 'source ~/.profile' +source /opt/zsh-git-prompt/zshrc.sh +source /opt/antigen/antigen.zsh + +# Load the oh-my-zsh's library. +antigen use oh-my-zsh + +antigen bundles < /dev/null +sudo apt-get update + +apt-get install docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-plugin + +gpasswd -a dockadmin docker +``` -# Configuración de fail2ban +Con esto tendríamos el **Docker** instalado en nuestro VPS. Para comprobarlo deberíamos ejecutar con nuestro usuario `dockadmin` el contenedor de pruebas con: +`docker run hello-world` +## Referencias -root - Torrezn0Melancolico -hostadmin - Torrezn0Melancolico -salvari - tesla fura macetas -dockadmin - margalo dreams +- [Introdución ao uso de nftables para construír devasas personalizadas](https://veedeo.org/w/c5R4mo2eEzx7s6aiwk7yBY) +- [nftables multi network (home) router primer](https://www.monotux.tech/posts/2021/04/nftables-primer/) +- [Firewall Configuration with nftables](https://travishorn.com/firewall-configuration-with-nftables) +- [Installing and Configuring fail2ban](https://www.naturalborncoder.com/2024/10/installing-and-configuring-fail2ban/) in Natural Born Coder blog. +- [Using Fail2ban to secure your server](https://www.linode.com/docs/guides/using-fail2ban-to-secure-your-server-a-tutorial/) +- [Fail2ban Configuration](https://www.hostinger.com/tutorials/fail2ban-configuration)