一、简介

Fail2Ban是一款入侵防御工具，可以在一定程度上保护服务器免受ssh暴力破解、 ftp/http密码穷举等场景的攻击，它通过使用指定的正则表达式（也称为过滤规则）进行扫描日志文件（/var/log），并根据配置信息来封禁多次访问失败的IP。Fail2Ban封禁IP主要通过向Linux内的防火墙中更新规则来实现

github项目地址： https://github.com/fail2ban/fail2ban

二、安装

RHEL/Rocky/CentOS

# yum install -y fail2ban
# systemctl start fail2ban
# systemctl enable fail2ban

Ubuntu/Debian

# sudo apt install -y fail2ban

三、修改配置

1、Fail2Ban的配置文件默认都在 /etc/fail2ban/目录里：jail.conf与fail2ban.conf，升级Fail2Ban时，文件会被覆盖。如果需要修改配置文件，建议是复制出来一份local文件进行修改或者创建一个新的 jail.local 文件，并且Fail2Ban启动时会自动读取conf和local文件，local文件的优先级更高。

# cd /etc/fail2ban
# cp jail.conf jail.local
# cp fail2ban.conf fail2ban.local

2、jail.local配置详解

[DEFAULT]模块：是Fail2Ban的全局模块， 对所有服务模块生效，当然也可以在具体的服务模块下添加参数，局部变量优先级大于全局变量

[DEFAULT]
#此参数为加白的网段、IP，可以是域名、网段或单个IP，空格隔开。
ignoreip = 127.0.0.1/8
#设置被封锁的时间间隔，如下表示10分钟，可以是秒(s)、分钟(m)、小时(h)、天(d)，不带单位则默认为s，-1表示永久封锁。
bantime  = 10m
#检测的间隔时间，在间隔时间内，当>=maxtretry设置的失败次数，则触发限制，禁止访问。
findtime  = 10m
#findtime时间内的最大失败次数
maxretry = 5
#需要采取的行动，和当前系统使用的防火墙相关
banaction = firewallcmd-ipset

注：填写 banaction时 需要确定当前的系统上安装了什么防火墙或安全软件，linux上通常是 iptables, firewalld, ufw这三个工具， 可以通过查看  /etc/fail2ban/action.d/ 目录下的文件来找到  fail2ban 支持的 banaction 列表。

• iptables：ssh禁止来源IP访问场景通常设置 banaction 为 iptables-ipset 或者直接使用 iptables
• firewalld：ssh禁止来源IP访问场景通常设置 banaction 为 firewallcmd-ipset
• ufw：可以直接设置 banaction 为 ufw

[sshd]模块：启用sshd模块需要在  jail.local 文件中找到 [sshd] 模块，并将 enabled 参数改为true

[sshd]
enabled = true        #启用该模块
port = 22                 #ssh端口
logpath = /var/log/auth.log  #日志路径
backend = %(sshd_backend)s   #后台管理程序，默认由systemd接管，无需修改

注：

1、如果配置文件中无该模块，可以自行手动添加

2、logpath 参数和 linux 发行版本有关：

• RHEL/Rocky/CentOS：logpath = /var/log/secure
• Ubuntu/Debian：logpath = /var/log/auth.log

上面 [DEFAULT] 中使用到的部分参数，也可以用在 [sshd] 模块中， 局部变量优先级大于全局变量，如下

[sshd]
enabled = true
port = 22
logpath = /var/log/secure
backend = %(sshd_backend)s
ignoreip = 127.0.0.1/8 ::1 10.10.0.0/16 172.16.0.0/16
bantime = 1m
findtime = 1m
maxretry = 1
banaction = firewallcmd-ipset

该配置表示，一分钟内如果ssh登陆失败1次，则封锁访问的IP一分钟，同时排除本地回环地址和一些内网网段。（参数含义见 [DEFAULT] 模块处解析，实际请根据业务需求进行配置）

修改完配置文件后重启服务生效

# systemctl restart fail2ban

测试下效果，第一次ssh连接故意输错密码，第二次ssh连接就已经连接不上了，等待一分钟后又能继续连接

四、常用命令汇总

查看日志文件

# less /var/log/fail2ban.log

查看启用的模块列表

# fail2ban-client status

查看 sshd 模块封堵的 IP 列表

# fail2ban-client status sshd

取消 sshd 模块中被封堵的 IP

# fail2ban-client set sshd unbanip 85.209.11.27