Paperless in Docker mit fail2ban absichern

[sfreek]

Hallo liebe Leute im Forum

Ich bin hier etwas am Rotieren seit einer Woche. ;-) Ich versuche nämlich meine Paperless-ngx Instanz, welche in Docker (Desktop) auf einem MacMini M1 mit OS Monterey läuft, mit Fail2ban abzusichern. Leider gibt es zu dieser Combo keine Infos oder Tuts im Netz (suche seit einer Woche und komme immer wieder auf die gleichen Posts, die mir aber nicht weiterhelfen, da ich es nicht ableiten kann für meinen Usecase.), daher seid Ihr hier quasi meine letzte Hoffnung! ;-)

Den Mechanismus wie fail2ban arbeitet habe ich ja noch verstanden, aber wie ich das Ganze dann in meinem Setup zum Laufen bekomme, habe ich auch hier beim Suchen im Forum nicht herausgefunden. Daher wäre es sehr nett, wenn sich jemand die Zeit nehmen würde, mir eine kleine "Schritt für Schritt-Anleitung" mit den einzelnen Befehlen usw. hier zu schreiben, damit fail2ban mit meinem Paperless in Docker funktioniert. Ich stelle mir so etwas ähnliches wie hier vor, mit den einzelnen Schritten und Terminal-Befehlen: https://www.computerbase.de/forum/threads/paperless-mit-fail2ban-oder-crowedsec-moeglich.2161917/

Ahja, fail2ban habe ich anhand dieses Posts (https://github.com/crazy-max/docker-fail2ban?tab=readme-ov-file ) aber wenigstens schonmal zum Laufen gebracht in Docker, nur scheint irgendwie nix konfiguriert, es hat 0 Jails und filters und wenn ich z.B. von Hand eine IP sperren will kommt ein "unbekannter Jail-Error"... Doch Neuinstallation?



Vielen lieben Dank schonmal im Voraus, falls Ihr euch die Mühe macht, mir zu antworten/helfen!

Liebe Grüss & einen guten Start in die Woche!
sfreek

 

[elefant]

Frage1: Du hast dein Paperless offen im Netz?
Frage2: Wenn Frage1 mit "Ja" beantwortet wurde, erhoffst dir von Fail2Ban nun die Eierlegendewollmilchsau der Cybersecurity?

Oder ist das ganze mehr ein proof of concept?

 

[sfreek]

Hallo elefant

Lieben Dank für die schnelle Antwort!

Zu deinen Fragen:

1. Ja, mein Paperless ist per https mit eigener DDNS-Domain hinter einem Reverseproxy im Netz erreichbar. Ja, ich weiss, ist etwas heikel, daher möchte ich zu den starken Passwörtern auch noch fail2ban (evtl. wechsle ich auch noch auf 2FA), was mich zu Frage 2 führt:

Ja, einerseits erhoffe ich mir ein wenig mehr Sicherheit (obwohl die Firewall ja nur schweizer- und Nachbarländer überhaupt rein lässt, d.h. die "üblichen Verdächtigen" von denen meistens automatisierte Bruteforce-Angriffe kommen, sind schonmal draussen") und andererseits ist es schon eine Art "Proof of concept", da ich vielleicht später nochmals so ein Setup einrichten muss...

Vielen Dank soweit mal und einen schönen Tag!

 

[h00bi]

Vermutlich wäre es praktikabler auf Authelia zu setzen und eine starke Authentifizierung zu forcieren.
Authelia ist nicht super simpel bei der Ersteinrichtung, aber danach easy für weitere Dienste erweiterbar.

 

[Nordwind2000]

Stellt sich mir die Frage warum paperless von außen erreichbar sein muss?

 

[sfreek]

Hallo h00bi & Nordwind2000

Besten Dank für die Antworten!

@h00bi Authelia habe ich mir auch schon angeschaut, da steige ich leider nicht durch und Paperless würde ja auch von Haus aus 2FA unterstützen, daher wäre mir ein zusätzlicher Schutz mit Fail2ban momentan eigentlich lieber...

@Nordwind2000 Damit z.B. Clients unkompliziert über die App "Paperparrot" Dateien hochladen und bearbeiten/ansehen können. Lösung über VPN ist nicht für alle Nutzer hier "convinient" genug in der Praxis... Wie gesagt, ich weiss um die Risiken, trotzdem ist die Lösung mit eigener URL momentan zweckmässiger als eine andere, vielleicht etwas sicherere Lösung...

Freundliche Grüsse

 

[elefant]

Nur als Anregung, auf den Endgeräten die VPN-Verbindung beim Aufruf von Paperparrot automatisieren.

Welche IP hast du denn versucht zu sperren? Eine externe oder interne?

 

[sfreek]

Ja, lieber elefant, das weiss ich, danke für die Info, aber leider funktioniert das auch nicht zuverlässig mit der Automation und VPN (zumindest nicht auf iPhone) und dann muss man doch wieder User supporten und troubleshooten. Daher ist die Verbindung über https momentan die praktikabelste und zuverlässigste Lösung... IP war eine externe IP, da kam dann eben die Fehlermeldung, dass es kein Jail gäbe (so nehme ich an, da die Fehlermeldung einen unbekannten Jail-Error herausgab und beim Nachsehen auf Dateiebene ein solches File auch nicht vorhanden war...)

@ALLE Ich danke Euch sehr für die bisherigen, netten Inputs und das Nachfragen, aber ich habe meine Gründe, warum Paperless nach aussen hin erreichbar sein muss und wäre wirklich sehr dankbar, wenn mir jemand mit fail2ban weiterhelfen könnte...

Vielen Dank & liebe Grüsse

 

[Legolas]

Ich würde mir anstatt Fail2Ban, Crowdsec ansehen. Welchen Proxy setzt Du ein?

 

[sfreek]

Hallo Legolas

Ja, habe ich auch schon gemacht, auch da gibt es keine Tuts in Verbindung mit Paperless und es ist noch aufwändiger einzurichten, im Gegensatz dazu, was der Hersteller verspricht, denn es werden per Default nur die SSH's abgesichert, für Docker und Paperless gibt es auch hier kein Szenario/Tut da alles auf dem Host direkt abgewickelt wird, nicht in Docker... Trotzdem danke für den Tipp!

Reverseproxy läuft auf einer Synology NAS...

 

[Legolas]

Schau mal ob Dir das weiterhilft: https://deployn.de/en/blog/paperless-install-vps/

 

[sfreek]

Danke, sieht sehr aufwändig auf, aber ich habe ja schon alles am Laufen, es ging nur um Fail2Ban....

Ich exploriere momentan noch die Möglichkeit eines Cloudflaretunnel mit vorangestellter Loginmaske, bevor man überhaupt auf mein Paperless kommt, mal schauen, wie ich da weiter komme, da wir ja hier auch nicht weiterkommen mit Fail2Ban...

Trotzdem nochmals vielen Dank an alle!

Liebe Grüsse & einen schönen Tag!

 

[andy_m4]

Fail2Ban

Mit fail2ban kann man sich auch schnell mal "selbst" aussperren. Insbesondere, wenn man zum Beispiel aus Netzen zugreifen, wo sich mehrere Leute eine IP-Adresse teilen wie ja beispielsweise bei Mobilfunkbetreibern sehr verbreitet. Dann braucht der "Angreifer" nur im selben Netz sein und Du bist dann "mit gebannt".

Cloudflaretunnel

Man betreibt einen Dienst und unabhängig von Cloud zu sein und dann holt man sich aber doch wieder ein Cloud-Dienst rein? :-)
Und dann noch Cloudflare!