fail2ban

最新推荐文章于 2024-09-03 10:18:23 发布

「已注销」

最新推荐文章于 2024-09-03 10:18:23 发布

阅读量1.2k

点赞数 1

分类专栏：运维文章标签： linux

运维专栏收录该内容

1 篇文章 0 订阅

订阅专栏

fail2ban
是 Linux 上的一个著名的入侵保护的开源框架，它会监控多个系统的日志文件（例如： /var/log/secure ）并根据检测到的任何可疑的行为自动触发不同的防御动作。事实上，fail2ban 在防御对SSH服务器的暴力密码破解上非常有用。
一、环境检查
本环境为centos6.8 final
1.Python版本必须大于2.4.3
2.防火墙iptables必须开启
二、安装Fail2ban

yum install -y fail2ban

chkconfig fail2ban 35 on

三、配置Fail2ban
1.配置jail.conf

vi /etc/fail2ban/jail.conf

在配置文件尾部追加以下内容：
[ssh-iptables]
enabled = true
filter = sshd
action = iptables[name=SSH, port=ssh, protocol=tcp]

系统日志目录

logpath = /var/log/secure##忽略指定IP

ignoreip = 192.168.99.1##用于指定哪些地址可以忽略 fail2ban 防御

ignoreip = 192.168.99.0/24#

ssh客户端允许失败的次数

maxretry = 10##主机被禁止的时长（秒）
bantime = 604800

2.修改iptables的规则

vi /etc/fail2ban/action.d/iptables-multiport.conf

修改：blocktype = REJECT –reject-with icmp-port-unreachable (可以注释掉)
blocktype = DROP
3.修改fail2ban日志循环
修改日志记录，增大保存时间

vi /etc/logrotate.d/fail2ban

默认为1天对日志文件进行刷新一次：
/usr/bin/fail2ban-client flushlogs 1>/dev/null || true
更改为7天刷新一次：
/usr/bin/fail2ban-client flushlogs 7>/dev/null || true
4.重启fail2ban：

/etc/init.d/fail2ban restart

根据上述配置，fail2ban会自动禁止在最近10分钟内有超过10次访问尝试失败的任意IP地址。一旦被禁，这个IP地址将会在一周内一直被禁止访问 SSH 服务。
四、检查fail2ban状态&解禁IP地址
1.检查fail2ban状态
使用参数’ping’来运行fail2ban-client 命令。如果fail2ban服务正常运行，可以看到“Server replied：pong”作为响应。

fail2ban-client ping

Server replied: pong

fail2ban-client status

Status
|- Number of jail: 1
`- Jail list: ssh-iptables

fail2ban-client status ssh-iptables

2.解锁IP地址
1).解锁特定的IP地址

fail2ban-client set ssh-iptables unbanip 176.49.76.47

2).解锁所有的IP地址
第一种方法：停止Fail2ban 服务
停止Fail2ban 服务，那么所有的IP地址都会被解锁。当你重启 Fail2ban，它会从/var/log/secure中找到异常的IP地址列表，如果这些异常地址的发生时间仍然在禁止时间内，那么Fail2ban会重新将这些IP地址禁止。
第二种方法：日志滚动