Fail2ban防止网站CC

最新推荐文章于 2024-08-20 14:42:14 发布

peakchao

最新推荐文章于 2024-08-20 14:42:14 发布

阅读量1.4k

点赞数

分类专栏： Linux 文章标签： fail2ban Linux

本文链接：https://blog.csdn.net/c__chao/article/details/79777227

版权

Linux 专栏收录该内容

52 篇文章 0 订阅

订阅专栏

Fail2ban可以通过日志监控操作防火墙规则，来达到屏蔽IP的功能，可以很好的避免SSH暴力破解和网站流量攻击。

安装Fail2ban前，可以先配置Nginx限制IP访问，具体操作请看我的另一篇博客：https://www.jianshu.com/p/3cb4c82633d1

安装Fail2ban：

yum -y install epel-release
yum repolist
yum -y install fail2ban

Fail2ban 结构

/etc/fail2ban ## fail2ban 服务配置目录
/etc/fail2ban/action.d ## iptables 、mail 等动作文件目录
/etc/fail2ban/filter.d ## 条件匹配文件目录，过滤日志关键内容
/etc/fail2ban/jail.conf ## fail2ban 防护配置文件
/etc/fail2ban/fail2ban.conf ## fail2ban 配置文件，定义日志级别、日志、sock 文件位置等

fail2ban.conf 默认配置（无需修改）

[Definition]

loglevel = 3 ## 定义日志级别，默认

logtarget = /var/log/fail2ban.log ## 定义 fail2ban 日志文件

socket = /var/run/fail2ban/fail2ban.sock ## sock 文件存放位置，默认

pidfile = /var/run/fail2ban/fail2ban.pid ## pid 文件存放位置，默认

jail.conf 防护配置（无需修改）

[DEFAULT] ## 全局设置，优先级最小

ignoreip = 127.0.0.1/8 ## 不受限制的 IP ，多组用空格分割

bantime = 600 ## 非法 IP 被屏蔽时间（秒），-1 代表永远封锁

findtime = 600 ## 设置多长时间（秒）内超过 maxretry 限制次数即被封锁

maxretry = 3 ## 最大尝试次数

backend = auto ## 日志修改检测机制（gamin 、polling 、auto 三种）

usedns = warn

[ssh-iptables] ## 分类设置（基于 SSHD 服务的防护）

enabled = true ## 是否开启防护，false 为关闭

filter = sshd ## 过滤规则 filter 名称，对应 filter.d 目录下的 sshd.conf

action = iptables[name=SSH, port=ssh, protocol=tcp] ## 动作参数
sendmail-whois[name=SSH, dest=you@example.com, sender=fail2ban@example.com, sendername="Fail2Ban"] ## 邮件通知参数
                          ## 收件人地址           ## 发件人地址 
logpath = /var/log/secure ## 检测系统登陆日志文件

maxretry = 5 ## 最大尝试次数

filter.d目录下新建http-get-dos.conf

[Definition]
failregex = <HOST> -.*- .*HTTP/1.* .* .*$
ignoreregex =

编辑 vi jail.local

[DEFAULT]
# Ban hosts for one hour:
bantime = 600
findtime = 60
maxretry = 3
backend = auto

[ssh-iptables]
enabled = true
filter = sshd
action = iptables[name=SSH, port=ssh, protocol=tcp]
logpath = /var/log/secure
maxretry = 3
bantime = 60

# Override /etc/fail2ban/jail.d/00-firewalld.conf:
banaction = iptables-multiport

# 此处引用刚才新建的http-get-dos.conf
[http-get-dos]
enabled = true
port = http
filter = http-get-dos
logpath = /home/wwwlogs/access.log
maxretry = 5
findtime = 60
bantime = 300
action = iptables[name=HTTP,port=http,protocol=tcp]

[sshd]
enabled = true

Fail2ban操作(如果重启 iptables ，必须重启 fail2ban)：

# 如果配置出错，请用此条命令启动，可以看到错误日志
/usr/bin/fail2ban-client -x start
# 启动
service fail2ban start
# 重启
service fail2ban restart
# 停止
service fail2ban stop
# 查看状态
fail2ban-client status 
# 以行数方式显示防火墙规则
iptables -L -n --line-numbers
# 删除指定规则
iptables -D INPUT 5
# 显示防火墙规则
iptables -nL 
# 查看拦截日志
tail -1 /var/log/fail2ban.log
# 系统登陆日志
cat /var/log/secure 
# centos7可以用如下命令重启服务
systemctl restart fail2ban.service
sudo systemctl restart fail2ban

如果提示拦截日志不存在，请修改日志路径：

vi fail2ban.conf
loglevel = WARNING
logtarget = /var/log/fail2ban.log

解除屏蔽：

# 显示防火墙规则列表，并显示行号
iptables -L -n --line-numbers
# 删除指定规则的某行
iptables -D f2b-sshd 1
# fail2ban删除屏蔽IP
iptables -D f2b-HTTP -s 117.174.26.150 -j REJECT
fail2ban-client set http-get-dos unbanip 117.174.26.150

定时清理日志：

vi /root/del_cc_log.sh
#! /bin/bash
cat /dev/null > /home/wwwlogs/access.log
cat /dev/null > /var/log/fail2ban.log

授权

chmod 755 del_cc_log.sh

定时任务：

crontab -e
30 3 * * 0 sh /root/del_cc_log.sh

开启crontab：

/etc/init.d/crond start
chkconfig --list|grep crond

配置用例：

--屏蔽ssh探测
vi /etc/fail2ban/jail.conf

[ssh-iptables]
enabled = true
filter = sshd
action = iptables[name=SSH, port=ssh, protocol=tcp]
logpath = /var/log/secure 
maxretry = 10 
bantime = 144000

Copy其他规则：

cd /etc/fail2ban/filter.d
cp apache-badbots.conf nginx-badbots.conf
vim nginx-badbots.conf

规则校验：

fail2ban-regex /var/log/nginx/access.log /etc/fail2ban/filter.d/nginx-badbots.conf

创建jail规则：

vim /etc/fail2ban/jail.d/nginx.local

例如：

例如：

[nginx-badbots]

enabled  = true
port     = http,https
filter   = nginx-badbots
logpath  = /home/wwwlogs/access.log
           /home/wwwlogs/www.sijitao.net.log
maxretry = 3

邮件支持

yum install sendmail

启动

service sendmail start

如果遇到“ 没有目录/ var / run / fail2ban包含套接字文件/var/run/fail2ban/fail2ban.sock ”的错误，请手动创建目录：

mkdir /var/run/fail2ban

配置邮件：

vi jail.conf
sendmail-whois[name=SSH, dest=you@example.com, sender=fail2ban@example.com, sendername="Fail2Ban"] ## 邮件通知参数
                          ## 收件人地址           ## 发件人地址