CentOS7安装配置fail2ban实现防暴力破解与邮件预警

fail2ban 是一款用于保护你的服务器免于暴力攻击的入侵保护软件。fail2ban 用 Python 写成，并广泛用于很多服务器上。fail2ban 可以扫描日志文件和 IP 黑名单来显示恶意软件、过多的密码失败尝试、web 服务器利用、wordpress 插件攻击和其他漏洞。通过匹配日志的错误信息（正则式匹配）执行相应的屏蔽动作（一般情况下是防火墙），而且可以发送e-mail通知系统管理员！

fail2ban工作的原理是通过分析一定时间内的相关服务日志，将满足动作的相关IP利用iptables加入到dorp（丢弃）列表一定时间。

fail2ban 官方网址：http://www.fail2ban.org

fail2ban 源码地址：https://github.com/fail2ban/fail2ban

一、安装fail2ban

安装需要的环境：

Python2 >= 2.6 or Python >= 3.2 or PyPy

Linux >= 2.6.13

检查本机环境：

[root@ecs fail2ban]# python -V

Python 2.7.5

[root@ecs fail2ban]# uname -r

3.10.0-693.11.1.el7.x86_64

第一种方式---yum安装：

yum -y install epel-release

yum -y install fail2ban

第二种方式---源码安装：

1、下载安装包并解压

cd /tmp

wget https://github.com/fail2ban/fail2ban/archive/0.10.4.tar.gz

tar -xvzf 0.10.4.tar.gz

2、安装

cd /tmp/fail2ban-0.10.4/

python setup.py install

3、生成服务启动脚本并开机自启

cp /tmp/fail2ban-0.10.4/files/redhat-initd /etc/init.d/fail2ban

#设置fail2ban服务为自启动服务

systemctl enable fail2ban

#启动fail2ban服务

systemctl start fail2ban

安装完成后，

fail2ban的配置文件路径：/etc/fail2ban

自带的监狱配置文件：/etc/fail2ban/jail.conf(主配置文件，一般不做修改)

自定义的监狱配置文件：/etc/fail2ban/jail.local(在jail.local文件里配置的内容会覆盖jail.conf内容里相同的值。)

fail2ban的日志文件：/var/log/fail2ban.log

达到阈值之后的执行的动作的配置文件： action.d/

包含所有的过滤规则：filter.d/

二、配置fail2ban实现防暴力破解

1、编辑配置文件 jail.local

vim /etc/fail2ban/jail.local

文件内容：

#defalut这里是设定全局设置，若下面的监控没有设置就以全局设置的值设置

[DEFAULT]

# 以空格分隔的列表，可以是 IP 地址、CIDR 前缀或者 DNS 主机名

# 用于指定哪些地址可以忽略 fail2ban 防御

ignoreip = 127.0.0.1 192.168.1.0/24

# 客户端主机被禁止的时长（秒）

bantime = 86400

# 客户端主机被禁止前允许失败的次数

maxretry = 5

# 查找失败次数的时长（秒）

findtime = 600

# 配置用于发送警报邮件的邮件服务

mta = mail

[ssh-iptables]

# 是否开启

enabled = true

# 采用的过滤器

filter = sshd

# 采取的动作

action = iptables[name=SSH, port=ssh, protocol=tcp]

action = mail[name=SSH, dest=cherishpf@163.com]

# 针对的日志文件的路径

logpath = /var/log/secure

# ssh 服务的最大尝试次数

maxretry = 3

在这里需要注意一点就是：我们上面的action设置的时候，port=ssh，如果我们更改了sshd服务的端口号，需要在这里设置对应的端口号，否则配置不生效。

上面的配置意思是如果同一个IP，在10分钟内，如果连续超过3次错误，则使用Firewalld将他的IP ban了。

2、防暴力破解测试

在上面配置好了之后，我们需要让配置生效：

fail2ban-client reload

测试：使用另一台服务器不断尝试连接SSH，并故意连续输入错误密码3次，再进行登录时，会拒绝登录

可以输入：fail2ban-client status ssh-iptables查看被ban的IP，如下：

[root@ecs]# fail2ban-client status ssh-iptables

Status for the jail: ssh-iptables

|-filter

| |- File list: /var/log/secure #日志文件路径

| |- Currently failed:0 #当前失败次数

| `- Total failed:3 #总失败次数

`-action

|- Currently banned:1 #当前禁止的ip数量

| `- IP list:122.112.133.252 #当前禁止的ip

`- Total banned:1 #禁止的ip总数

常用命令：

#启动

systemctl start fail2ban

#停止

systemctl stop fail2ban

#查看被ban IP，其中sshd为名称，比如上面的[ssh-iptables]

fail2ban-client status sshd

#删除被ban IP

fail2ban-client set sshd delignoreip 192.168.111.111

#如果上述命令出错，可尝试执行

fail2ban-client set sshd unbanip 192.168.111.111

#查看日志

tail -f /var/log/fail2ban.log

调试过滤器

运行以下命令查看fail2ban过滤器是否适用于特定日志文件:

fail2ban-regex /var/log/example.error.log /etc/fail2ban/filter.d/sshd.conf

输出将包含以下内容：

Results

=======

Failregex: 623 total

.........

Lines: 1733 lines, 345 ignored, 278 matched, 1110 missed

如果是零匹配，那么过滤器的正规表达式可能有问题。

总结

fail2ban已经内置很多匹配规则，位于filter.d目录下，包含了常见的SSH/FTP/Nginx/Apache等日志匹配，如果都还无法满足您的需求，您也可以自行新建规则来匹配异常IP。使用fail2ban + Firewalld来阻止恶意IP是行之有效的办法，可极大提高服务器安全。

参考：

https://www.cnblogs.com/operationhome/p/9184580.html

https://www.xiaoz.me/archives/9831