使用 fail2ban 防禦伺服器被SSH暴力攻擊

fail2ban 是 linux 上的乙個著名的入侵保護的開源框架，它會監控多個系統的日誌檔案（例如： /var/log/secure ）並根據檢測到的任何可疑的行為自動觸發不同的防禦動作。事實上，fail2ban 在防禦對ssh伺服器的暴力密碼破解上非常有用。

本環境為centos6.8 final

1.python版本必須大於2.4.3

2.防火牆iptables必須開啟

# yum install -y fail2ban # chkconfig fail2ban 35 on

# vi /etc/fail2ban/jail.conf

在配置檔案尾部追加以下內容：

[ssh-iptables] 
enabled = true
filter = sshd
action = iptables[name=ssh, port=ssh, protocol=tcp] 
#系統日誌目錄
logpath = /var/log/secure
##忽略指定ip
#ignoreip = 192.168.99.1
##用於指定哪些位址可以忽略 fail2ban 防禦
ignoreip = 192.168
.99.0/24
##ssh客戶端允許失敗的次數 
maxretry = 10
##主機被禁止的時長（秒）
bantime = 604800

# vi /etc/fail2ban/action.d/iptables-multiport.conf修改：blocktype = reject –reject-with icmp-port-unreachable (可以注釋掉)

blocktype = drop

修改日誌記錄，增大儲存時間

# vi /etc/logrotate.d/fail2ban

預設為1天對日誌檔案進行重新整理一次：

/usr/bin/fail2ban-client flushlogs  1>/dev/
null || true

更改為7天重新整理一次：

/usr/bin/fail2ban-client flushlogs  7>/dev/
null || true

# /etc/init.d/fail2ban restart

根據上述配置，fail2ban會自動禁止在最近10分鐘內有超過10次訪問嘗試失敗的任意ip位址。一旦被禁，這個ip位址將會在一周內一直被禁止訪問 ssh 服務。

使用引數』ping』來執行fail2ban-client 命令。如果fail2ban服務正常執行，可以看到「server replied：pong」作為響應。

1).解鎖特定的ip位址

# fail2ban-client set ssh-iptables unbanip 176.49.76.47

2).解鎖所有的ip位址

第一種方法：停止fail2ban 服務

停止fail2ban 服務，那麼所有的ip位址都會被解鎖。當你重啟 fail2ban，它會從/var/log/secure中找到異常的ip位址列表，如果這些異常位址的發生時間仍然在禁止時間內，那麼fail2ban會重新將這些ip位址禁止。

第二種方法：日誌滾動

# logrotate -f /etc/logrotate.conf

檢視/var/log/secure有無被清理，如果沒有，手動清理

重啟fail2ban

#/etc/init.d/fail2ban restart

重啟iptables

# /etc/init.d/iptables restart

當然fail2ban可以緩解暴力密碼攻擊，但是請注意，這並不能保護ssh伺服器避免來自複雜的分布式暴力破解組織，這些攻擊者通過使用成千上萬個機器控制的ip位址來繞過fail2ban的防禦機制。

使用 fail2ban 防禦伺服器被SSH暴力攻擊

使用 fail2ban 防禦 SSH 暴力破解

通過Fail2ban保護你的雲伺服器

fail2ban防止暴力破解

使用 fail2ban 防禦伺服器被SSH暴力攻擊

使用 fail2ban 防禦 SSH 暴力破解

通過Fail2ban保護你的雲伺服器

fail2ban防止暴力破解

相關推薦