Sådan konfigureres Fail2Ban på CentOS

Introduktion til Fail2Ban

Som standard opretter en klient forbindelse til SSH ved hjælp af port 22. Fordi dette er en velkendt port, er standardkonfigurationen sårbar over for mange brute force-angreb. Fail2Ban er en løsning til automatisk at beskytte en server mod disse angreb. Programmet kører i baggrunden, scanner logfilerne for at opdage, hvilke IP'er der angriber og forbyder dem automatisk at få adgang til SSH.

Installerer Fail2Ban

I denne vejledning installerer vi Fail2Ban på CentOS 6 gennem EPEL-lageret. Kør følgende kommandoer.

yum install epel-release
yum install fail2ban

Forklaring

• yum install epel-release: Installerer EPEL-lageret (ekstra pakker til Enterprise Linux).
• yum install fail2ban: Installerer Fail2Ban fra EPEL-lageret.

Konfiguration af Fail2Ban-indstillingerne

Åbn Fail2Ban-konfigurationsfilen.

nano /etc/fail2ban/jail.conf

I filen vil du se nogle parametre som vist nedenfor. Juster enhver af værdierne til dine behov.

[DEFAULT]

# "ignoreip" can be an IP address, a CIDR mask or a DNS host. Fail2ban will not
# ban a host which matches an address in this list. Several addresses can be
# defined using space separator.
ignoreip = 127.0.0.1

# "bantime" is the number of seconds that a host is banned.
bantime = 600

# A host is banned if it has generated "maxretry" during the last "findtime"
# seconds.
findtime = 600

# "maxretry" is the number of failures before a host get banned.
maxretry = 3

Forklaring

• ignoreip: Forbyd ikke værter, der matcher en adresse på denne liste. Flere adresser kan defineres ved hjælp af space separator. Skriv din personlige IP på denne linje.
• bantime: Antallet af sekunder, som en vært er udelukket.
• findtime: En vært er forbudt, hvis den har genereret i maxretryløbet af den sidste findtime.
• maxretry: Antallet af fejl, før en vært bliver forbudt.

Konfiguration af Fail2Ban til at beskytte SSH

Først skal vi oprette en konfigurationsfil.

nano /etc/fail2ban/jail.local

Kopier linjerne nedenfor og indsæt til filen.

[ssh-iptables]

enabled  = true
filter   = sshd
action   = iptables[name=SSH, port=ssh, protocol=tcp]
#           sendmail-whois[name=SSH, dest=root, sender=fail2ban@example.com]
logpath  = /var/log/secure
maxretry = 5

• enabled: Aktiver beskyttelsen. Hvis du vil slå det fra, skal du ændre værdien til falsk.
• filter: Som standard er den sat til sshd, som refererer til filen /etc/fail2ban/filter.d/sshd.conf.
• action: Fail2Ban vil forbyde den IP, der matcher filteret /etc/fail2ban/action.d/iptables.conf. Hvis du havde ændret SSH-porten før, så skift port=sshtil den nye port, f.eks port=2222. Hvis du bruger port 22, behøver du ikke at ændre værdien.
• logpath: Stien til logfilen brugt af Fail2Ban.
• maxretry: Det maksimale antal mislykkede loginforsøg.

Opstart af Fail2Ban-tjeneste

Kør disse to kommandoer nedenfor for at starte Fail2Ban-tjenesten:

chkconfig --level 23 fail2ban on
service fail2ban start

Til sidst skal du kontrollere, iptablesom den har reglerne tilføjet af Fail2Ban.

iptables -L

Resultatet vil ligne dette output.

Chain INPUT (policy ACCEPT)
target prot opt source destination
f2b-SSH tcp -- anywhere anywhere tcp dpt:EtherNet/IP-1

Chain FORWARD (policy ACCEPT)
target prot opt source destination

Chain OUTPUT (policy ACCEPT)
target prot opt source destination

Chain f2b-SSH (1 references)
target prot opt source destination
RETURN all -- anywhere anywhere

Sådan spores mislykkede loginforsøg

Du kan bruge denne kommando til at kontrollere, om din server har haft mislykkede loginforsøg (mulige angreb).

cat /var/log/secure | grep 'Failed password'

Resultatet vil ligne disse linjer.

Dec  6 22:47:12 vultr sshd[7942]: Failed password for root from 43.229.53.67 port 23021 ssh2
Dec  6 22:47:15 vultr sshd[7944]: Failed password for root from 43.229.53.67 port 40996 ssh2
Dec  6 22:47:16 vultr sshd[7944]: Failed password for root from 43.229.53.67 port 40996 ssh2
Dec  6 22:47:18 vultr sshd[7944]: Failed password for root from 43.229.53.67 port 40996 ssh2
Dec  6 22:47:31 vultr sshd[7948]: Failed password for root from 43.229.53.67 port 29907 ssh2
Dec  6 22:47:34 vultr sshd[7948]: Failed password for root from 43.229.53.67 port 29907 ssh2
Dec  6 22:47:36 vultr sshd[7948]: Failed password for root from 43.229.53.67 port 29907 ssh2
Dec  6 22:47:39 vultr sshd[7950]: Failed password for root from 43.229.53.67 port 48386 ssh2
Dec  6 22:47:41 vultr sshd[7950]: Failed password for root from 43.229.53.67 port 48386 ssh2
Dec  6 22:47:43 vultr sshd[7950]: Failed password for root from 43.229.53.67 port 48386 ssh2
Dec  6 22:47:47 vultr sshd[7952]: Failed password for root from 43.229.53.67 port 62846 ssh2
Dec  6 22:47:49 vultr sshd[7952]: Failed password for root from 43.229.53.67 port 62846 ssh2

Brug følgende kommando for at se, hvilke IP'er der er blevet forbudt.

iptables -L -n

For at slette en IP-adresse fra den forbudte liste skal du køre følgende kommando. Skift banned_iptil den IP, som du vil fjerne ban.

iptables -D f2b-SSH -s banned_ip -j DROP