Блокировка попыток перебора паролей ssh с помощью fail2ban — различия между версиями

Версия 12:09, 28 июля 2023

Fail2ban - это утилита для защиты серверов от атак, основанная на системе блокировки адресов IP. Она используется для автоматической блокировки IP-адресов, с которых были замечены атаки на ваш сервер.

Fail2ban анализирует логи, такие как /var/log/auth.log, и ищет подозрительную активность, такую как попытки входа в систему с неправильным паролем или превышение порога безуспешных попыток доступа. Когда Fail2ban обнаруживает такую активность, он использует IPTables, чтобы добавить блокировку в firewall, которая препятствует дальнейшим попыткам доступа с этого адреса.

Эта утилита может уменьшить количество попыток взлома и увеличить безопасность вашего сервера. Fail2ban является обязательным инструментом для всех администраторов, которые заботятся о безопасности своих серверов.

Для установки утилиты необходимо выполнить следующую команду:

sudo yum install fail2ban

Fail2ban хранит свои конфигурационные файлы в папке:

/etc/fail2ban

В ней вы можете найти файл jail.conf который содержит настройки по умолчанию. Обращаем внимание, что данный файл может перезаписываться при обновлении пакетов. Поэтому для хранения ваших собственных настроен надо создать файл jail.local .

Для этого выполните команду:

sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

Также вы можете создавать файлы с индивидуальными настройками в папке /etc/fail2ban/jail.d/ . В ходе работы Fail2ban настройки из этих файлов будут заменять указанные в jail.conf.

Настройки из файлов применяются в следующем порядке:

1. /etc/fail2ban/jail.conf

2. /etc/fail2ban/jail.d/*.conf, - любые файлы с расширением conf. Применяются в алфавитном порядке.

3. /etc/fail2ban/jail.local

4. /etc/fail2ban/jail.d/*.local, - любые файлы с расширением local. Применяются в алфавитном порядке.

Отредактируйте /etc/fail2ban/jail.local, чтобы настроить правила, подходящие для вашего сервера. Некоторые наиболее важные параметры, которые необходимо настроить, приведены ниже:

* `ignoreip` - список IP-адресов, которые не будут заблокированы при нарушении правил fail2ban
* `bantime` - период блокировки IP-адреса в секундах
* `maxretry` - максимальное количество неудачных попыток доступа, после которых IP-адрес будет заблокирован

Запустите fail2ban и настройте автозапуск

sudo systemctl start fail2ban
sudo systemctl enable fail2ban