fail2ban用法 ssh

Fail2Ban 是一款用于监控系统日志并阻止恶意活动的入侵防御工具。它可以自动检测到多次尝试失败登录的行为，并通过更新防火墙规则来临时或永久封禁攻击者的 IP 地址，从而保护 SSH 服务等应用程序的安全。 ### 配置 Fail2Ban 保护 SSH 服务的基本步骤如下： #### 1. 安装 Fail2Ban 在大多数 Linux 发行版中，可以通过包管理器安装 Fail2Ban。例如，在基于 Debian 的系统上使用以下命令安装： ```bash sudo apt update sudo apt install fail2ban ``` 安装完成后，Fail2Ban 会自动启动，并设置为开机自启 [^1]。 #### 2. 配置 Jail 文件 Fail2Ban 的主要配置文件位于 `/etc/fail2ban/jail.conf`，但建议创建一个本地副本（如 `jail.local`）进行修改，以避免升级时被覆盖。 编辑 `/etc/fail2ban/jail.local` 文件，并确保包含以下内容来启用对 SSH 的防护： ```ini [sshd] enabled = true port = ssh logpath = %(sshd_log)s backend = auto maxretry = 5 bantime = 3600 findtime = 600 ``` - `enabled = true`：启用该模块。 - `port = ssh`：指定要监控的端口，默认为 `ssh`（即 22）。 - `logpath`：定义日志文件路径，通常为 `/var/log/auth.log` 或 `/var/log/secure`。 - `maxretry`：允许的最大失败尝试次数。 - `bantime`：IP 被封锁的时间（单位：秒），这里设置为 1 小时。 - `findtime`：在指定时间内发生的失败尝试次数上限 [^2]。 #### 3. 使用默认过滤规则 Fail2Ban 提供了针对 SSH 的默认过滤规则 `/etc/fail2ban/filter.d/sshd.conf`，它定义了如何解析日志中的失败登录尝试。一般无需更改此文件，除非有特殊需求。 #### 4. 重启 Fail2Ban 服务 完成配置后，需要重新加载或重启 Fail2Ban 服务以应用更改： ```bash sudo systemctl restart fail2ban ``` 可以使用以下命令检查当前状态和已封禁的 IP 地址： ```bash sudo fail2ban-client status sudo fail2ban-client status sshd ``` #### 5. 自定义通知与白名单 如果希望在发生封禁操作时收到通知，可以在配置中添加邮件通知功能。此外，还可以通过 `ignoreip` 指令将可信 IP 地址加入白名单，防止误封： ```ini ignoreip = 192.168.1.0/24 10.0.0.1 action = %(default_action)s mail-whois[name=SSH, [email protected]] ``` 这样，当有 IP 被封禁时，系统会发送一封包含相关信息的邮件通知给指定收件人 [^3]。 #### 6. 查看日志和调试信息 Fail2Ban 的运行日志通常位于 `/var/log/fail2ban.log` 中。可以通过查看该文件了解最新的封禁事件以及潜在的问题排查信息： ```bash tail -f /var/log/fail2ban.log ``` ---