跟踪身份验证尝试并防止暴力攻击
odoo11-addon-auth-brute-force的Python项目详细描述
跟踪身份验证尝试并防止暴力攻击
此模块将用户尝试验证的每个请求注册到 奥多。如果身份验证失败，则为给定的远程服务器增加一个计数器 知识产权。经过一定次数的尝试后，odoo将禁止远程ip和 忽略新请求。 此模块通过隐藏应用安全性 （https://en.wikipedia.org/wiki/Security_through_obscurity）， 当用户被禁止时，请求现在被视为攻击。那么，用户界面 将not向用户指示其IP被禁止，并显示常规消息 显示“错误登录/密码”。
此模块实现对web api（http://ip-api.com）的调用，以尝试 有关远程IP的附加信息。
配置
您可以使用这些控制此加载项行为的配置参数：
- auth_brute_force.whitelist_remotes是以逗号分隔的 白名单IP。忽略来自这些远程的故障。
- {TT2}$默认值为50，并指示最大值 IP允许连续失败。达到极限后，IP将 禁止。
- auth_brute_force.max_by_ip_user默认为10，并指示 允许任何IP和用户组合的最大连续故障。 达到限制后，该用户和IP组合将被禁止。
使用量
管理员用户可以解除阻止被禁止的IP。
日志记录
在以下情况下，此模块会生成一些警告日志：
- 当达到IP限制时：来自远程“x.x.x.x”的身份验证失败。 遥控器被禁止了。尝试登录：xxxx。
- 当达到IP+用户组合限制时： 来自远程“x.x.x.x”的身份验证失败。 远程和登录的组合已被禁止。尝试登录：xxxx。
已知问题/路线图
- 移除v12中https://github.com/odoo/odoo/issues/24183的修补程序。
- 根据服务器和/或用户网络配置，标识配置
的用户可能是错误的，主要是在以下情况下：
- 如果odoo服务器位于apache/nginx代理之后，并且它不正确 配置后，所有请求将使用相同的IP地址。阻止此类IP 可能导致所有用户都无法使用odoo！确保日志输出 安装此加载项之前，请更正Werkzeug流量的IP。
- IP元数据检索应该使用更好的系统。See details here。
缺陷跟踪器
在GitHub Issues上跟踪错误。如果有麻烦，请 如果您的问题已经报告，请检查那里。如果你先发现它， 通过提供详细且受欢迎的反馈，帮助我们粉碎它。
学分
贡献者
- 西尔文勒加尔（https://twitter.com/legalsylvain）
- 大卫·维达尔david.vidal@tecnativa.com>；
- 杰罗·洛皮斯，jairo.llopis@tecnativa.com>；
维护人员
此模块由OCA维护。
oca，或odoo社区协会，是一个非营利性组织 任务是支持odoo特性和 促进其广泛应用。
若要对此模块作出贡献，请访问https://odoo-community.org。
欢迎加入QQ群-->： 979659372
