使用Fail2ban保护服务器SSH

前言#

在查看CDN服务器的日志过程中，突然想去看ssh的日志，结果一看，总有很多服务器暴力破解，为此想给服务器加上Fail2ban保护SSH的想法（加上后发现也没多大用，如有问题请指出。）

环境#

服务器系统：Debian 12

教程#

更新：2024年7月9日

更新及下载安装Fail2ban#

分别执行以下指令

1
apt update
2
apt install fail2ban -y

备份Fail2ban配置文件#

首先进入Fail2ban的目录

1
cd /etc/fail2ban/

现在我们可以看到目前目录下是这样的

然后执行下方指令复制一遍配置文件，这样则会优先使用jail.local的配置

1
cp jail.conf jail.local

配置sshd#

然后就是编辑文件，这里我使用的是vi

1
vi jail.local

我们往下面找到JAILS区[sshd]部分(大约在第275行)

修改为以下配置

1
[sshd]
2
ignoreip = 127.0.0.1/8               # 白名单
3
enabled = true                       # 规则启用
4
filter = sshd                        # 过滤规则(一般不变)
5
port = 22                            # 端口
6
maxretry = 2                         # 最大尝试次数
7
findtime = 300                       # 发现周期 单位s
8
bantime = 600                        # 封禁时间，单位s。-1为永久封禁
9
banaction = iptables-multiport       # 禁用方式
10
#logpath = /var/log/auth.log          # SSH 登陆日志位置
11
backend = systemd                    # 获取 SSH 文件修改的后端(设置了这个那么 logpath 将会无效)

然后键盘上输入保存并退出

设置启用Fail2ban和启动Fail2ban#

执行以下指令，分别启用和启动

1
systemctl enable fail2ban
2
systemctl start fail2ban

检查Fail2ban运行状态#

执行以下指令检查Fail2ban是否正常运行

1
systemctl status fail2ban

在Active后显示active (running)，则代表Fail2ban正常运行

1
root@u:/etc/fail2ban# systemctl status fail2ban
2
● fail2ban.service - Fail2Ban Service
3
 Loaded: loaded (/lib/systemd/system/fail2ban.service; enabled; vendor preset: enabled)
4
 Active: active (running) since Wed 2023-01-04  10:14:58 CST; 7h ago
5
 Docs: man:fail2ban(1)
6
 Process: 451 ExecStartPre=/bin/mkdir -p /run/fail2ban (code=exited, status=0/SUCCESS)
7
 Main PID: 460 (fail2ban-server)
8
 Tasks: 5 (limit: 1150)
9
 Memory: 18.4M
10
 CPU: 19.749s
11
 CGroup: /system.slice/fail2ban.service
12
 └─460 /usr/bin/python3 /usr/bin/fail2ban-server -xf start
13
Jan 04  10:14:58 u systemd[1]: Starting Fail2Ban Service...
14
Jan 04  10:14:58 u systemd[1]: Started Fail2Ban Service.
15
Jan 04  10:15:00 u fail2ban-server[460]: Server ready

执行以下指令检查Fail2ban的sshd规则是否正常运行

1
fail2ban-client status sshd

出现以下信息则为正常运行

1
root@u:/etc/fail2ban# fail2ban-client status sshd
2
Status for the jail: sshd
3
|- Filter
4
|  |- Currently failed: 2
5
|  |- Total failed: 5
6
|  `- File list:    /var/log/auth.log
7
`- Actions
8
 |- Currently banned: 0
9
 |- Total banned: 1
10
 `- Banned IP list:

上面的Banned IP list为当前被封禁的IP列表

Debian12 安装F2B后无法正常启动问题#

这个是因为不再使用/var/log/auth.log记录日志，可以通过

1
apt install rsyslog

或配置backend = systemd来解决，上方配置已经使用第二种方法。

最后感谢您的阅读，如有问题请指出，谢谢。

前言#

环境#

教程#