Читая неко­то­рые ста­тьи в интер­не­те, может сло­жить­ся непра­виль­ное мне­ние, что Fail2ban нужен толь­ко для защи­ты от брут-форс атак (пере­бор паро­лей). На самом деле, дан­ный про­грамм­ный про­дукт — систе­ма реа­ги­ро­ва­ния на подо­зри­тель­ные действия.

Установка и запуск

CentOS 7 / Red Hat:

CentOS 6:

Добав­ля­ем репозиторий:

Уста­нав­ли­ва­ем пакет:

Для запус­ка служ­бы вво­дим сле­ду­ю­щие команды:

* Для ста­рых систем без systemd это будут коман­ды chkconfig fail2ban on / update-rc.d fail2ban defaults и service fail2ban start.

 

Базовая настройка

Про­цесс настрой­ки fail2ban не зави­сит от дис­три­бу­ти­ва Linux. Основ­ной кон­фи­гу­ра­ци­он­ный файл нахо­дит­ся по пути /etc/fail2ban/jail.conf. Одна­ко, его не реко­мен­ду­ет­ся менять и для настрой­ки исполь­зу­ют под­клю­ча­е­мые фай­лы из ката­ло­га /etc/fail2ban/jail.d.

Для нача­ла созда­ем пер­вый файл, в кото­ром будут хра­нить­ся настрой­ки по умолчанию:

При­ве­дем его к виду:

* где:

• maxretry — коли­че­ство дей­ствий, кото­рые раз­ре­ше­но совер­шить до бана.
• findtime — вре­мя в секун­дах, в тече­ние кото­ро­го учи­ты­ва­ет­ся maxretry;
• bantime — вре­мя, на кото­рое будет бло­ки­ро­вать­ся IP-адрес;
• action — дей­ствия, кото­рое будет выпол­нять­ся, если Fail2ban обна­ру­жит актив­ность, соот­вет­ству­ю­щую кри­те­ри­ям поиска;
• ignoreip — игно­ри­ро­вать защи­ту, если запро­сы при­хо­дят с пере­чис­лен­ных адресов.

* В дан­ном при­ме­ре, если в тече­ние 8 минут (480) будет най­де­но 5 строк (maxretry = 4), содер­жа­щих кри­те­рий филь­тра, Fail2ban забло­ки­ру­ет IP-адрес, с кото­ро­го идет под­клю­че­ние на 12 минут (720);
* В сек­ции [DEFAULT] хра­нят­ся общие настрой­ки для всех пра­вил. Каж­дую из настро­ек мож­но пере­опре­де­лить при кон­фи­гу­ри­ро­ва­нии само­го правила.

Настройка правил

Для ново­го пра­ви­ла необ­хо­ди­мо создать кон­фи­гу­ра­ци­он­ный файл в ката­ло­ге /etc/fail2ban/jail.d, напри­мер:

* где:

• ssh — назва­ние для правила;
• enabled поз­во­ля­ет быст­ро вклю­чать (true) или отклю­чать (false) правило;
• port — порт целе­во­го сер­ви­са. При­ни­ма­ет­ся бук­вен­ное или цифир­ное обозначение;
• filter — фильтр (кри­те­рий поис­ка), кото­рый будет исполь­зо­вать­ся для поис­ка подо­зри­тель­ных дей­ствий. По сути, это имя фай­ла из ката­ло­га /etc/fail2ban/filter.d без .conf на конце;
• action — дей­ствие, совер­ша­е­мое в слу­чае сра­ба­ты­ва­ния пра­ви­ла. В квад­рат­ных скоб­ках ука­за­ны назва­ние для пра­ви­ла, сете­вой порт и про­то­кол для блокирования;
• logpath — рас­по­ло­же­ние лог-фай­ла, в кото­ром фильтр будет искать подо­зри­тель­ную актив­ность на осно­ве опи­сан­ных критериев.

* обра­ти­те вни­ма­ние, что мы пере­опре­де­ли­ли пара­мет­ры по умол­ча­нию maxretry, findtime и action.

Что­бы изме­не­ния всту­пи­ли в силу, пере­за­пус­ка­ем сервис:

* в ста­рых вер­си­ях service fail2ban restart.

 

Действия и фильтры

Действия

Фай­лы с настрой­кой дей­ствий нахо­дят­ся в ката­ло­ге /etc/fail2ban/action.d. Что­бы бло­ки­ро­вать адрес, Fail2ban созда­ет пра­ви­ло в бранд­мау­э­ре netfilter. Для это­го, чаще все­го, исполь­зу­ют­ся ути­ли­ты iptables или firewall-cmd. Послед­няя при­ме­ня­ет­ся в послед­них вер­си­ях CentOS / Red Hat / Fedora. iptables более уни­вер­саль­ная и может исполь­зо­вать­ся, почти, во всех систе­мах Linux.

Оста­но­вим­ся на опи­са­нии самых исполь­зу­е­мых действий:

• iptables — созда­ние про­сто­го пра­ви­ла в netfilter с помо­щью одно­имен­ной утилиты;
• iptables-multiport — исполь­зо­ва­ние моду­ля multiports, поз­во­ля­ю­щий добав­лять диа­па­зо­ны пор­тов для блокировки;
• iptables-ipset — исполь­зо­ва­ние ipset для при­да­ния более лако­нич­но­го вида правилам;
• iptables-allports — бло­ки­ру­ет для адре­са все порты;
• firewallcmd-new — созда­ние про­сто­го пра­ви­ла в netfilter с помо­щью firewall-cmd;
• firewallcmd-ipset — добав­ля­ет пра­ви­ла с помо­щью ути­ли­ты firewall-cmd, исполь­зуя ipset;
• firewallcmd-rich-rules — созда­ет rich-rules при помо­щи firewall-cmd.

Подроб­нее, как созда­ют­ся пра­ви­ла в netfilter при помо­щи iptables и firewalld.

Фильтры

Филь­тры, в основ­ном, пред­став­ля­ют набор регу­ляр­ных выра­же­ний для поис­ка клю­че­вых слов в log-фай­лах. Они нахо­дят­ся в ката­ло­ге /etc/fail2ban/filter.d.

Для созда­ния и настрой­ки сво­их филь­тров, мож­но исполь­зо­вать име­ю­щи­е­ся фай­лы в каче­стве шпаргалки.

 

Примеры правил

В дан­ных при­ме­рах бло­ки­ров­ка IP-адре­са будет про­ис­хо­дить на 12 минут после 4-х попы­ток вво­да паро­ля в тече­ние 8 минут. Эти пара­мет­ры берут­ся из настро­ек [DEFAULT]. Если их нуж­но пере­опре­де­лить, про­сто добав­ля­ем их при опи­са­нии правила.

SSH

CentOS

Asterisk

NGINX

NGINX DDoS (req limit)

Дан­ное пра­ви­ло помо­жет защи­тить веб-сер­вер nginx от DDoS-атак. В неко­то­рых сбор­ках, для дан­но­го пра­ви­ло может не ока­зать­ся гото­во­го филь­тра, поэто­му в дан­ном при­ме­ре, мы его созда­дим вручную.

Созда­ем фильтр:

 

Созда­ем пра­ви­ло в Fail2ban:

 

После настрой­ки не забы­ва­ем пере­за­пу­стить fail2ban:

Работа со списком заблокированных адресов

Просмотр

Полу­чить ста­ти­сти­ку забло­ки­ро­ван­ных адре­сов мож­но сле­ду­ю­щей командой:

Полу­чить спи­сок пра­вил мож­но командой:

При нали­чие забло­ки­ро­ван­ных IP-адре­сов мы уви­дим, при­мер­но, следующее:

 

С помо­щью iptables:

С помо­щью firewall-cmd:

Удаление

Сред­ства­ми fail2ban:

Для уда­ле­ние адре­са из спис­ка вводим:

напри­мер:

С помо­щью iptables:

напри­мер:

 

С помо­щью firewall-cmd:

напри­мер:

После необ­хо­ди­мо пере­чи­тать правила: