Fail2Ban安全配置与应用-高度可定制-支持多种服务

发布于：2024-10-24 编辑：匿名来源：网络

前言fail2ban是一款安全防护工具。触发限制后，会创建防火墙规则封堵IP，如ssh暴力破解、ftp/http密码耗尽等，场景提供强力防护，主要功能总结如下：避免暴力攻击查看验证失败日志自动创建防火墙规则阻止IP 支持多种服务高度可定制 1.安装 1.软件源码安装 Distro安装命令 Arch pacman -Sy failure2ban/yay -Sy failure2banCentOS/Redhatyum install -y failure2ban Debian apt-get install failure2ban 2.源码安装代码语言： shell copy git clone failure2bansudo python setup.py install 这会将fail2ban安装到python的库目录中。

可执行脚本放在/usr/bin中，配置目录在/etc/fail2ban中。二、配置是参数详细说明 1、配置备份以Debian为例。

其他分布大体相同，个别参数的命名可能不同。默认配置文件路径为/etc/fail2ban。

出于安全考虑，最好保留默认配置，以便出现问题时可以回滚并与原始配置进行比较。代码语言：shell copy cd /etc/fail2bancpjail.confjail.localcpfail2ban.conffail2ban.local。

在fail2ban.local之后，我们只需要配置jail.local和fail2ban.local文件，同样有效。 2.jali.local配置详细代码语言：shell copy [DEFAULT] #该参数为白化的网段和IP。

可以是域名、网段或单个IP，以空格分隔。 ignoreip = .0.0.1/8 ::1#设置阻塞时间间隔，如下图，表示10分钟，可以是秒(s)、分钟(m)、小时(h)、天(d)、无单位默认为s，-1表示永久阻塞。

bantime = 10m#检测间隔时间。时间间隔内，当>=maxtretry设置的失败次数时，将触发限制，禁止访问。

findtime = 10m #findtime内最大失败次数 maxretry = 5 3. SSH安全防护 1. 启用sshd模块。返回jali.local配置文件，找到[sshd]模块，添加一行启用该模块：代码语言：shell copy [sshd]enabled = trueport = 22 #ssh port logpath = /var/log/auth. log #日志路径 backend = %(sshd_backend)s #后端管理程序，默认由systemd接管，无需修改enabled = true表示启用该模块。

同时，上面提到的[DEFAULT]配置可以理解为全局选项，对所有服务模块生效。当然，您也可以在特定的服务模块下添加参数。

局部变量的优先级高于全局变量。例如：代码语言： shell copy [sshd ]enabled = trueport = 22logpath = /var/log/auth.logbackend = %(sshd_backend)signoreip = .0.0.1/8 ::1 10.10.0.0/16 .16.0.0 /16bantime = 60mfindtime = 1mmaxretry = 5 次或以上配置表示一分钟内 SSH 登录失败 5 次，将封锁访问 IP，并排除本地环回地址和部分内网网段。

2、启动fail2ban 代码语言：shell copy systemctl restart failure2ban #重启服务，查看fail2ban启用的模块：代码语言：shell copy failure2ban-client statusfail2ban-client status sshd #显示具体模块的详细信息 3、模拟ssh使用Hydra暴力破解模拟ssh耗尽：可以看到fail2ban成功封堵了攻击IP。从iptables的角度来看，fail2ban服务在iptables入口处增加了ssh端口的引入。

有明确的拒绝规则跳转到f2b-sshd链表拒绝攻击者的流量，并回复icmp port unreachable：此时攻击主机使用nping检测，明确收到port unreachable echo： 4.手动解除限制，使用unban解封IP编码语言： shell copyfail2ban-client unban ..1.16fail2ban -client unban --all #全部解锁 4、HTTP登录保护 1、准备模拟环境，通过htpasswd命令对密码进行加密并写入文件：代码语言：shell copy printf "Rokas:$(openssl passwd -1 Rokasyang)\n " >/etc/nginx/htpasswd #用户名Rokas，密码Rokasyangnginx配置文件根路径加一个基本验证，读取htpasswd 文件密码：代码语言：shell 复制位置 / { auth_basic "Rokas auth"; auth_basic_user_file /etc/nginx/htpasswd； try_files $uri $uri/ =;然后重启nginx，通过curl模拟请求。可以看到输入用户名和密码后才能成功登录： 2、在/etc/fail2ban/filter.d目录下配置filterfail2ban的过滤规则，比如前面提到的sshd，这个中的sshd.conf文件默认读取目录。

同样，jail.local配置文件中的nginx-http-auth模块也有一个对应命名的过滤器文件，但里面的匹配规则与我们的实际场景不符。在/etc/fail2ban/filter.d目录下新建nginx-auth.conf文件，写入如下规则：代码语言：shell copy [定义]failregex= -.*- .*HTTP/1.* .*$ignoreregex =修改jail.local,启用nginx-http-auth模块: 代码语言: shell copy [nginx-http-auth]enabled = trueport = 80, filter = nginx-auth #过滤规则参考filter.d目录下新建的nginx-auth.conf文件 logpath = /var/log/nginx/access.log #nginx访问日志路径 bantime = 60mfindtime = 1mmaxretry = 33. 重新加载fail2ban-client代码语言：shell copyfail2ban-client reload4.模拟测试客户端3次登录失败后，第四次连接被拒绝：此时fail2ban已成功封堵客户端IP：5.HTTP访问频率限制1.同样适用于添加新的过滤器，在 /etc/fail2ban/filter.在d目录下添加新的规则文件，如nginx-limit-request.conf：代码语言：shell copy 【定义】failregex = .*-.*-.*$ignoreregex =2。

配置jail.local启用nginx-limit-req：代码语言：shell copy [nginx-limit-req]enabled=trueport=http,httpsfilter=nginx-limit-requestlogpath=/var/log/nginx/access.logbantime=1dfindtime =1mmaxretry=.overloadfail2ban-clientreload可以是特定模块。如果模块未连接，则将重新加载所有已启用的模块：代码语言：shell copyfail2ban-client reload nginx-limit-req4。

模拟测试通过了11次模拟测试，第11次访问被拒绝：果然，fail2ban已经把客户端IP给了BAN：综上所述，通过上面的例子，其他服务的安全防护配置也可以轻松了解到。当然，有些服务本身就有安全保护。

例如nginx的conn_limit模块可以限制访问频率，可以使用它本身的安全保护，不需要使用fail2ban。它带有 PDF 版本：fail2ban 安全配置和应用。

站长声明

标签：

上一篇：从单库单表到分库分表的平滑迁移

下一篇：一步一步教你制作ALU

首次发布 - KK集团完成10亿元E轮融资，华人文化资本领投

8月4日，投资界获悉，国内新零售生态领先企业KK集团近日完成10亿元E轮融资。本轮融资由华人文化资本领投，洪泰基金、卡美特资本、黑蚂蚁资本、渶策资本跟投。此外，经纬中国等一些老股东也持续投资。光源资本担任本轮融资的独家保荐人。成立五年后，KK集团已成为新零售领

06-17
疯狂扩张的背后，“洗脸吧”的经营体验到底是怎样的

洗脸也能成为新的美容生意吗？最近，《FBeauty未来迹》发现“洗脸”生意红火。公开资料显示，2007年创立的洗脸棒领先品牌“洗脸猫”，不到6年时间就开设了第一家门店；另一品牌“洗面熊”14个月签约+门店，门店均突破1000家。此外，洗面棒品牌“洗面医森”于去年6月完成1万

06-17
区块链初创公司Ripple融资2亿美元，估值100亿美元

投资界消息，据外媒报道，区块链初创公司Ripple宣布公司筹集2亿美元C轮融资。本轮融资由 Tetragon 领投，SBI Holdings 和投资公司 Route 66 Ventures 跟投。目前，该公司估值为1亿美元。据悉，本轮融资将用于加速公司人才引进和提升服务。数据显示，该公司全球办事处的员

06-17
电子科技大学孕育天才大军

今年第一个华为天才男孩诞生。投资界从电子科技大学官网获悉，该校计算机（网络安全）学院高材生刘顺程近日成功入选华为“天才青年”计划并获得年薪百万。这也意味着首个华为“天才男孩”已经登场。截至目前，电子科技大学已培养出五名华为“天才男孩”。电子科技大学位于

06-18
国资委督促央企加大在工业主板领域的布局，行业或迎来新一轮发展

科创板日报国资委党委召开扩大会议。会议强调，要引导和推动中央企业加大新一代信息技术部署。、人工智能、集成电路、工业主板等战略性新兴产业，推动传统产业数字化、智能化、绿色化转型升级，引领和带动我国工业体系加速迈向产业链、价值链高端。随着我国产业结构优化

06-06
小鹏正式进军智能机器人领域， “机器马”会成为“最后一公里”的完美解决方案吗？

，波士顿动力公司在YouTube上发布了一段名为“Big Dog”的测试视频，从此名声大噪。 “大狗”奔跑起来很像真狗，被击中后还能保持平衡。 ▲《大狗》，图片来自：Ars Technica 而在 2020 年的这一天，国内造车新势力之一的耀明汽车也迈入了足式机器人厂商的行列，并发布了首款

06-21
中国宏观经济研究院刘国艳：坚持五大发展理念，发挥大众创新能力，弘扬创业精神，实现经济高质量发展

鎵撻?犲ご鏉?10鏈?9鏃ヤ笂鍗堬紝鐮旂┒鍛樺垬鍥借壋涓浗瀹忚缁忔祹鐮旂┒闄㈠湪鈥滅鎶?鍒涙柊涓浗鈥滄柊鏃朵唬浼佷笟瀹剁晠璋堢郴鍒椻?濆紑骞曞紡鏆ㄩ珮宄拌鍧涗富棰樺垎浜腑琛ㄧず锛屽疄鐜扮粡娴庨珮璐ㄩ噺鍙戝睍闇?瑕佸潥鎸佷簲澶彂灞曠悊蹇碉細鐒跺悗鍏呭垎鍙

06-18
贺普药业完成数千万Pre-B轮融资，上海张科领益基金独家投资

投资圈（ID：pedaily）据7月4日消息，上海贺普药业有限公司（以下简称“贺普药业”）贺普药业”）近日成功完成Pre-B轮融资，由上海张科领益基金独家投资。贺普药业累计获得投资超过1亿元人民币。本轮融资的完成，标志着公司进入新的发展阶段。贺普药业长期专注于病毒性肝炎

06-17
百度战略投资人事变动：战略负责人陆原调动、投资负责人蔡翔辞职

百度表示，岗位轮换机制是百度为不断提升组织能力、培养高级人才而建立的长效机制。

06-18
103个美的“盲盒”带领103位测试人员开启美的智能生活

厌倦了枯燥的日常生活？你想来一场“美丽智能生活”的冒险吗？美的美居、爱范儿堂智公测近日联合举办了一场名为“美居生活智慧集锦”的公测活动。本次活动共招募普通用户进行“盲盒”产品试用体验。此次体验者不仅从“盲盒”中收获了各种惊喜和好东西，还打开了美的智能生活

06-21
崇爱国际宣布完成B、B+轮融资，累计金额超亿元

据投资界6月28日消息，据36氪消息，北京崇爱国际动物医疗机构有限公司崇爱国际有限公司（以下简称“崇爱国际”）正式宣布团队已完成B轮和B+轮两轮融资。 B轮由双虎资本领投，弘晖资本跟投。 B+轮融资也于近期完成。具体投资者暂时未透露。两轮累计融资金额已超过1亿。元。

06-18
能源交易所获2000万元Pre-A轮融资，由银河创投领投

据投资界3月11日消息，有消息称，去年12月，数字撬装加油连锁品牌Energy交易所完成1万元Pre-A轮融资，本轮融资由银河创投领投，产业协同跟投。 Energy Exchange成立于2007年，是数字化撬装加油连锁品牌。也是行业内首个利用前端仓以自营模式进军成品油产业链的互联网加油连

06-17