"Zu viele falsche Anmeldeversuche" - Von jeder IP!

[Ab5olut3B3ginn3r]

Hallo zusammen,

seit mindestens einer Woche (denn da ist es mir erst aufgefallen) bekomme ich keinen Zugriff mehr auf die Verwaltungskonsole der 3CX. Einen Zugriff über SSH habe ich jedoch.
Reichliches lesen hier im Forum und bei Google ergaben, das eine IP nach ca 30 Minuten wieder freigeschaltet wird, wenn sie auf der Blacklist gelandet ist. Auch habe ich gelesen, dass in diesem Fall eine eMail versendet wird. Jedoch habe ich keine bekomme und ich bekomme zu keinem Zeitpunkt einen Login.

Die 3CX ist On-Premise in Version 18 auf Debian gehostet.
Über das Mobil-Funknetz des Handys bekomme ich keinen Login wie auch wenn ich von irgendeiner anderen IP darauf zugreiffe.

- Gibt es über den SSH nicht die Möglichkeit ein Logfile einzusehen, in der die Authentifizierungsversuche geschrieben werden?
- Oder die Blacklist temporär zu löschen, sodass ich in den Moment mich einloggen kann?
- Wie könnte ich das Troubleshooting mit SSH durchführen?

Vielen Dank für Eure Unterstützung.
Marcus

 

[fxbastler]

Es gibt kein Logfile darüber. Gib mal im Terminal ein:
su - postgres -c "psql -d database_single -c \"SELECT * from blacklist;\""

 

[Ab5olut3B3ginn3r]

Ja, super Hinweis! Danke!

Es sind über 4900 Zeilen in der Ausgabe. Ist das normal?

Jedenfalls konnte ich dadurch erkennen, das mein komplettes internes Netz auch enthalten ist:

 5341 | 10.0.0.0        | 255.0.0.0       | Console Restriction added from Management Console        | 13884998400 |         1 | 4

Ich denke, ich kann diese Zeile einfach löschen, oder?
Hast du für mich einen Hinweis, wie ich das machen kann?

 

[avraammich_3CX]

Console Restriction added from Management Console ist hier die Key Meldung.

nun falls du nicht weiterkommst kannst du mir in PM schreiben damit ich mich via SSH auf deinem System verbinden kann und das Problem löse.

 

[fxbastler]

Hast du für mich einen Hinweis, wie ich das machen kann?

Du hast vmtl. in der 3CX unter Sicherheit / Konsolenzugriff die Option Zugriff nur ausgewählten IP-Adressen gestatten gewählt. Das bedeutet: ab da ist der sonst generell mögliche Zugriff auf die Verwaltungskonsole auf die dort gelisteten Netze beschränkt. Deine Ausgabe sieht zumindest so aus. Laut deiner Ausgabe kommst du aber noch mind. aus dem privaten Subnetz 10.0.0.0/8 auf die 3CX Verwaltungskonsole, siehe vorletzte Spalte blocktype, das entspricht der Regel allow. Schau mal ob das IP Segment der 3CX bzw. das von dem aus du darauf zugreifen willst auch in der Liste mit 1 bei blocktype enthalten ist. Wenn da 0 steht kommst du nicht ran außer man setzt das zurück: per SQL oder per Backup / Anpassung der XML / Restore.

 

[Ab5olut3B3ginn3r]

@fxbastler , wenn ich dich richtig verstanden habe, dann hätte mit dem Eintrag ein Zugriff aus 10.0.0.0/8 funktionieren sollen? Das hat es leider nicht.

Naja, mittlerer Weile habe ich die Zeile per SQL gelöscht. Das brachte aber auch kein Besserung. Auch nach einem Neustart des Systems kommt weiterhin der Fehler: "Anmeldezugriff verweigert. Zu viele falsche Anmeldeversuche."

Ich glaube, der nächste logische Versuch ist das Rückspielen eines Backups.

@avraammich_3CX , ich komme gerne auf dein Angebot zurück, wenn ich es nicht mit dem Backup klappen sollte.

 

[fxbastler]

Naja, mittlerer Weile habe ich die Zeile per SQL gelöscht.

Ganz schlechte Idee, vmtl. auch noch im lfd. Betrieb ...

 

[Topper_NRW]

Ich bin mal so frei und stelle hier meine ähnlich gelagerte Frage.

Wir haben atm das Problem bei einem Kunden, dass die IP des Kunden auf der Blacklist landet (3CX in der Cloud).
Als Meldung erhalten wir nur "3CX Clients / Softphone blocked - 3CX API Component" - daraus lässt sich leider nicht erkennen, welcher der Mitarbeiterclients das Problem verursacht.

Daher habe ich auf dem Unterbau den oben genannten Befehl
su - postgres -c "psql -d database_single -c \"SELECT * from blacklist;\""
ausgeführt, in der Hoffnung hier mehr zu sehen - leider vergebens.

Allerdings haben wir in dieser Liste über 5200 Einträge, auf der Console der Anlage werden aber nur 2 Blacklisted IPs angezeigt, wie passt das zusammen und habe ich wie die Möglichkeit zu erkennen, welcher der Clients das Problem verursacht? Momentan haben wir die IP des Kunden zwar als WhiteList Eintrag eingetragen aber mit dieser Lösung möchte ich mich nicht zufrieden geben.

 

[Topper_NRW]

Ich bin mal so frei und stelle hier meine ähnlich gelagerte Frage.

Wir haben atm das Problem bei einem Kunden, dass die IP des Kunden auf der Blacklist landet (3CX in der Cloud).
Als Meldung erhalten wir nur "3CX Clients / Softphone blocked - 3CX API Component" - daraus lässt sich leider nicht erkennen, welcher der Mitarbeiterclients das Problem verursacht.

Daher habe ich auf dem Unterbau den oben genannten Befehl
su - postgres -c "psql -d database_single -c \"SELECT * from blacklist;\""
ausgeführt, in der Hoffnung hier mehr zu sehen - leider vergebens.

Allerdings haben wir in dieser Liste über 5200 Einträge, auf der Console der Anlage werden aber nur 2 Blacklisted IPs angezeigt, wie passt das zusammen und habe ich wie die Möglichkeit zu erkennen, welcher der Clients das Problem verursacht? Momentan haben wir die IP des Kunden zwar als WhiteList Eintrag eingetragen aber mit dieser Lösung möchte ich mich nicht zufrieden geben.

Ich gehe davon aus, dass die 5200 Einträge aus der Globalen DB der 3CX stammen und seitens 3CX automatisch geblockt sind, daher hat sich diese Frage bereits beantwortet.^^

 

[fxbastler]

Es wird vmtl. nur im Log der 3CX zu sehen sein wer warum blacklisted wird. Dazu die Protokollierungsstufe des Aktivitätenprotokoll auf mind. mittel stellen und mehr wie einen Tag speichern lassen. Das tut nicht weh.

 

[patrickb]

Da die 3CX On-Premise ist nehme ich an sie steht hinter einer Firewall. Da du um von extern darauf zugreifen zu können ja ein Forwarding konfiguriert haben musst könnte ich mir vorstellen, das die Firewall ihre eigene IP über das eingehende Paket "drüber bügelt". Quasi NAT nach Intern. Dann denkt deine Anlage: "Oha 172.16.0.1 will was von mir", schickt das Antwortpaket raus an die Firewall, die das dann nicht richtig zuordnen kann. Dann geht's in eine Anfragenschleife und die 3CX sagt irgendwann "F*ck dich 172.16.0.1" - da zu viele falsche Anmeldeversuche.

Da du an vernünftigen Firewalls normalerweise die Dienste auswählen kannst, die weitergeleitet werden, könnte ich mir vorstellen das genau das, für https passiert. Das wäre dann eine Erklärung warum du via SSH draufkommst und via Web-GUI nicht.

Kann auch alles völliger Quatsch sein, checken würde ichs aber trotzdem mal.

 

[Topper_NRW]

Danke euch. Ich werde es mir nach meinem Urlaub nochmal anschauen und mich melden.