Si të konfiguroni Fail2ban në Debian 9

Fail2ban, siç sugjeron emri i tij, është një mjet i krijuar për të ndihmuar në mbrojtjen e makinerive Linux nga sulmet brute-force në porte të zgjedhura të hapura, veçanërisht portin SSH. Për hir të funksionalitetit dhe menaxhimit të sistemit, këto porte nuk mund të mbyllen duke përdorur një mur zjarri. Në këtë rrethanë, është një ide e mirë të përdoret Fail2ban si një masë sigurie shtesë për një mur zjarri për të kufizuar trafikun e sulmeve brutale në këto porte.

Në këtë artikull, unë do t'ju tregoj se si të instaloni dhe konfiguroni Fail2ban për të mbrojtur portën SSH, objektivi më i zakonshëm i sulmit, në një shembull të serverit Vultr Debian 9.

Parakushtet

• Një shembull i ri i serverit Debian 9 (Stretch) x64.
• I identifikuar si root.
• Të gjitha portet e papërdorura janë bllokuar me rregullat e duhura të IPTables.

Hapi 1: Përditësoni sistemin

apt update && apt upgrade -y
shutdown -r now

Pasi sistemi të niset, identifikohuni përsëri si root.

Hapi 2: Ndrysho portën SSH (Opsionale)

Meqenëse numri i parazgjedhur i portit SSH 22është shumë popullor për t'u injoruar, ndryshimi i tij në një numër porti më pak të njohur, të themi se 38752do të ishte një vendim i zgjuar.

sed -i "s/#Port 22/Port 38752/g" /etc/ssh/sshd_config
systemctl restart sshd.service

Pas modifikimit, duhet të përditësoni rregullat e IPTables në përputhje me rrethanat:

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j DROP
iptables -A INPUT -p tcp --dport 38752 -j ACCEPT

Ruani rregullat e përditësuara të IPTables në një skedar për qëllime të qëndrueshme:

iptables-save > /etc/iptables.up.rules
touch /etc/network/if-pre-up.d/iptables
chmod +x /etc/network/if-pre-up.d/iptables
echo '#!/bin/sh' >> /etc/network/if-pre-up.d/iptables
echo '/sbin/iptables-restore < /etc/iptables.up.rules' >> /etc/network/if-pre-up.d/iptables

Në këtë mënyrë, rregullat e IPTables do të jenë të qëndrueshme edhe pas një rindezjeje të sistemit. Që tani e tutje, do t'ju duhet të identifikoheni nga 38752porti.

Hapi 3: Instaloni dhe konfiguroni fail2ban për të mbrojtur SSH

Përdorni aptpër të instaluar versionin e qëndrueshëm të Fail2ban i cili aktualisht është 0.9.x:

apt install fail2ban -y

Pas instalimit, shërbimi Fail2ban do të fillojë automatikisht. Ju mund të përdorni komandën e mëposhtme për të treguar statusin e saj:

service fail2ban status

Në Debian, cilësimet e parazgjedhura të filtrit Fail2ban do të ruhen si në /etc/fail2ban/jail.confskedar ashtu edhe në /etc/fail2ban/jail.d/defaults-debian.confskedar. Mos harroni se cilësimet në skedarin e fundit do të anashkalojnë cilësimet përkatëse në atë të parën.

Përdorni komandat e mëposhtme për të parë më shumë detaje:

cat /etc/fail2ban/jail.conf | less
cat /etc/fail2ban/jail.d/defaults-debian.conf
fail2ban-client status
fail2ban-client status sshd

Për informacionin tuaj, fragmentet e kodit rreth SSH janë renditur më poshtë:

Në /etc/fail2ban/jail.conf:

[DEFAULT]

bantime = 600
...
maxentry = 5

[sshd]

port = ssh
logpath = %(sshd_log)s
backend = %(sshd_backend)s

Në /etc/fail2ban/jail.d/defaults-debian.conf:

[sshd]
enabled = true

Meqenëse përmbajtja në dy skedarët e konfigurimit të mësipërm mund të ndryshojë në përditësimet e ardhshme të sistemit, duhet të krijoni një skedar konfigurimi lokal për të ruajtur rregullat tuaja të filtrit fail2ban. Përsëri, cilësimet në këtë skedar do të anashkalojnë cilësimet përkatëse në dy skedarët e përmendur më lart.

vi /etc/fail2ban/jail.d/jail-debian.local

Futni rreshtat e mëposhtëm:

[sshd]
port = 38752
maxentry = 3

Shënim: Sigurohuni që të përdorni portin tuaj SSH. Përveç portdhe të maxentrypërmendura më lart, të gjitha cilësimet e tjera do të përdorin vlerat e paracaktuara.

Ruani dhe hiqni dorë:

:wq

Rinisni shërbimin Fail2ban në mënyrë që të ngarkoni konfigurimin e ri:

service fail2ban restart

Konfigurimi ynë ka përfunduar. Që tani e tutje, nëse ndonjë makinë dërgon kredenciale të pasakta SSH në portën e personalizuar SSH të serverit Debian ( 38752) më shumë se tre herë, IP-ja e kësaj makinerie potencialisht me qëllim të keq do të ndalohet për 600 sekonda.