Centos下fail2ban安装与配置使用

/ 0评 / 0

1.fail2ban简介

fail2ban可以监视你的系统日志,然后匹配日志的错误信息(正则式匹配)执行相应的屏蔽动作(一般情况下是防火墙),而且可以发送e-mail通知系统管理员

2.fail2ban的功能和特性

1、支持大量服务。如sshd,apache,qmail,proftpd,sasl等等
2、支持多种动作。如iptables,tcp-wrapper,shorewall(iptables第三方工具),mail notifications(邮件通知)等等。
3、在logpath选项中支持通配符
4、需要Gamin支持(注:Gamin是用于监视文件和目录是否更改的服务工具)
5、需要安装python,iptables,tcp-wrapper,shorewall,Gamin。如果想要发邮件,那必需安装postfix/sendmail

3.fail2ban安装说明

从源网站下载安装:https://github.com/fail2ban/fail2ban

tar zxvf  fail2ban.0.11.2.tar.gz
cd fail2ban-0.11.2
python setup.py install

安装成功后fail2ban配置文件位于/etc/fail2ban,其中jail.conf为主配置文件

/etc/fail2ban/action.d            #动作文件夹,内含默认文件。iptables以及mail等动作配置

/etc/fail2ban/fail2ban.conf        #定义了fai2ban日志级别、日志位置及sock文件位置

/etc/fail2ban/filter.d            #条件文件夹,内含默认文件。过滤日志关键内容设置

/etc/fail2ban/jail.conf            #主要配置文件,模块化。主要设置启用ban动作的服务及动作阀值

/etc/rc.d/init.d/fail2ban          #启动脚本文件

4.修改配置文件

vi /etc/fail2ban/fail2ban.conf

[Definition] 

loglevel =3 

logtarget = SYSLOG  #我们需要做的就是把这行改成/var/log/fail2ban.log,方便用来记录日志信息 

socket =/var/run/fail2ban/fail2ban.sock

vi jail.conf

[DEFAULT]
ignoreip = 127.0.0.1/8 #忽略的IP列表,不受设置限制(白名单ip)
bantime  = 86400 #屏蔽时间,单位:秒
findtime = 60 #这个时间段内超过规定次数会被ban掉
maxretry = 5 #最大尝试次数
backend = auto #日志修改检测机制(gamin、polling和auto这三种)

[ssh-iptables]
enabled = true #是否激活此项(true/false)
filter  = sshd #过滤规则filter的名字,对应filter.d目录下的sshd.conf
port    = 22 #端口
action = iptables[name=SSH, port=ssh, protocol=tcp] #动作的相关参数,对应action.d/iptables.conf文件
logpath = /var/log/secure #检测的日志文件path

5.添加启动脚本

cd /usr/local/src/fail2ban-0.11.2

cp files/redhat-initd /etc/init.d/fail2ban
# 启动fail2ban
service fail2ban start
# 启动防火墙
service iptables start

查看状态

fail2ban-client status ssh-iptables  

验证是否正常运行

fail2ban-client ping

解锁特定的IP

fail2ban-client set ssh-iptables unbanip 192.168.1.8

同理,封禁特定的IP

fail2ban-client set sshd banip 192.168.1.8

 

6.下面是利用fail2ban+Firewalld来防CC攻击和SSH爆破。

准备工作

1、检查Firewalld是否启用

#如果您已经安装iptables建议先关闭
service iptables stop
#查看Firewalld状态
firewall-cmd --state
#启动firewalld
systemctl start firewalld
#设置开机启动
systemctl enable firewalld.service

启用Firewalld后会禁止所有端口连接,因此请务必放行常用的端口,以免被阻挡在外,以下是放行SSH端口(22)示例,供参考:

#放行22端口
firewall-cmd --zone=public --add-port=22/tcp --permanent
#重载配置
firewall-cmd --reload
#查看已放行端口
firewall-cmd --zone=public --list-ports

2、安装fail2ban

参考前面安装步骤

3、配置规则

新建jail.local来覆盖fail2ban的一些默认规则:

#新建配置
vi /etc/fail2ban/jail.local
#默认配置
[DEFAULT]
ignoreip = 127.0.0.1/8
bantime  = 86400
findtime = 600
maxretry = 5
#这里banaction必须用firewallcmd-ipset,这是fiewalll支持的关键,如果是用Iptables请不要这样填写
banaction = firewallcmd-ipset
action = %(action_mwl)s

参数说明:

  1. ignoreip:IP白名单,白名单中的IP不会屏蔽,可填写多个以(,)分隔
  2. bantime:屏蔽时间,单位默认为秒(s),可以用h(小时),-1为永久屏蔽
  3. findtime:时间范围
  4. maxretry:最大次数
  5. banaction:屏蔽IP所使用的方法,上面使用firewalld屏蔽端口

继续修改jail.local这个配置文件,在后面追加如下内容:

[sshd]
enabled = true
filter  = sshd
port    = 22
action = %(action_mwl)s
logpath = /var/log/secure

参数说明:

  1. [sshd]:名称,可以随便填写
  2. filter:规则名称,必须填写位于filter.d目录里面的规则,sshd是fail2ban内置规则
  3. port:对应的端口
  4. action:采取的行动
  5. logpath:需要监视的日志路径

到这一步,我们jail.local的规则看起来可能像下面这样子:

[DEFAULT]
ignoreip = 127.0.0.1/8
bantime  = 86400
findtime = 600
maxretry = 5
banaction = firewallcmd-ipset
action = %(action_mwl)s

[sshd]
enabled = true
filter  = sshd
port    = 22
action = %(action_mwl)s
logpath = /var/log/secure

4、防止CC攻击

这里仅以Nginx为例,使用fail2ban来监视nginx日志,匹配短时间内频繁请求的IP,并使用firewalld将其IP屏蔽,达到CC防护的作用。

#需要先新建一个nginx日志匹配规则
vi /etc/fail2ban/filter.d/nginx-cc.conf
#填写如下内容
[Definition]
failregex =  -.*- .*HTTP/1.* .* .*$
ignoreregex =

继续修改jail.local追加如下内容:

[nginx-cc]
enabled = true
port = http,https
filter = nginx-cc
action = %(action_mwl)s
maxretry = 20
findtime = 60
bantime = 3600
logpath = /usr/local/nginx/logs/access.log

上面的配置意思是如果在60s内,同一IP达到20次请求,则将其IP ban 1小时,上面只是为了测试,请根据自己的实际情况修改。logpath为nginx日志路径。

5、防止Wordpress爆破

如果您经常分析日志会发现有大量机器人在扫描wordpress登录页面wp-login.php,虽然对方可能没成功,但是为了避免万一还是将他IP干掉为好。

#需要先新建一个nginx日志匹配规则
vi /etc/fail2ban/filter.d/wordpress.conf
#填写如下内容
[Definition]
failregex = ^ -.* /wp-login.php.* HTTP/1\.."
ignoreregex =

继续修改jail.local追加如下内容:

[wordpress]
enabled = true
port = http,https
filter = wordpress
action = %(action_mwl)s
maxretry = 20
findtime = 60
bantime = 3600
logpath = /usr/local/nginx/logs/access.log

当然,别忘记输入systemctl restart fail2ban重启fail2ban使其生效。

常用命令

#启动
systemctl start fail2ban
#停止
systemctl stop fail2ban
#开机启动
systemctl enable fail2ban
#查看被ban IP,其中sshd为名称,比如上面的[wordpress]
fail2ban-client status sshd
#删除被ban IP
fail2ban-client set sshd delignoreip 192.168.111.111
#查看日志
tail /var/log/fail2ban.log

总结
fail2ban已经内置很多匹配规则,位于filter.d目录下,包含了常见的SSH/FTP/Nginx/Apache等日志匹配,如果都还无法满足您的需求,您也可以自行新建规则来匹配异常IP。使用fail2ban+Firewalld来阻止恶意IP是行之有效的办法,可极大提高服务器安全。

注意:

centos 6配置与centos7不同主要是为banaction 不一致

# centos 6的sshd配置如下:
[root@vm3 fail2ban]# more jail.local 
[DEFAULT]
ignoreip = 127.0.0.1/8
bantime  = 86400
findtime = 60
maxretry = 5

[sshd]
enabled = true
filter  = sshd
port    = 22
banaction = iptables-multiport    #此处不同
logpath = /var/log/secure

同时,对于 iptables 版本为1.4.20之前的(centos6默认为1.4.7),还应用修改/etc/fail2ban/action.d/iptables-common.conf的如下行:

lockingopt = -w
应该将以上行修改为:
lockingopt =

 

发表评论

您的电子邮箱地址不会被公开。 必填项已用*标注