Linux 管理員的一個(gè)重要任務(wù)是保護(hù)服務(wù)器免受非法攻擊或訪問(wèn)。 默認(rèn)情況下，Linux 系統(tǒng)帶有配置良好的防火墻，比如iptables、Uncomplicated Firewall（UFW），ConfigServer Security Firewall（CSF）等，可以防止多種攻擊。
任何連接到互聯(lián)網(wǎng)的機(jī)器都是惡意攻擊的潛在目標(biāo)。 有一個(gè)名為 Fail2Ban 的工具可用來(lái)緩解服務(wù)器上的非法訪問(wèn)。
什么是 Fail2Ban？
Fail2Ban 是一款入侵防御軟件，可以保護(hù)服務(wù)器免受暴力攻擊。 它是用 Python 編程語(yǔ)言編寫(xiě)的。 Fail2Ban 基于auth 日志文件工作，默認(rèn)情況下它會(huì)掃描所有 auth 日志文件，如 /var/log/auth.log、/var/log/apache/access.log 等，并禁止帶有惡意標(biāo)志的IP，比如密碼失敗太多，尋找漏洞等等標(biāo)志。
通常，F(xiàn)ail2Ban 用于更新防火墻規(guī)則，用于在指定的時(shí)間內(nèi)拒絕 IP 地址。 它也會(huì)發(fā)送郵件通知。 Fail2Ban 為各種服務(wù)提供了許多過(guò)濾器，如 ssh、apache、nginx、squid、named、mysql、nagios 等。
Fail2Ban 能夠降低錯(cuò)誤認(rèn)證嘗試的速度，但是它不能消除弱認(rèn)證帶來(lái)的風(fēng)險(xiǎn)。 這只是服務(wù)器防止暴力攻擊的安全手段之一。
如何在 Linux 中安裝 Fail2Ban
Fail2Ban 已經(jīng)與大部分 Linux 發(fā)行版打包在一起了，所以只需使用你的發(fā)行包版的包管理器來(lái)安裝它。
對(duì)于 Debian / Ubuntu，使用 APT-GET 命令或 APT 命令安裝。
$ sudo apt install fail2ban
對(duì)于 Fedora，使用 DNF 命令安裝。
$ sudo dnf install fail2ban
對(duì)于 CentOS/RHEL，啟用 EPEL 庫(kù)或 RPMForge 庫(kù)，使用 YUM 命令安裝。
$ sudo yum install fail2ban
對(duì)于 Arch Linux，使用 Pacman 命令安裝。
$ sudo pacman -S fail2ban
對(duì)于 openSUSE , 使用 Zypper命令安裝。
$ sudo zypper in fail2ban
如何配置 Fail2Ban
默認(rèn)情況下，F(xiàn)ail2Ban 將所有配置文件保存在 /etc/fail2ban/ 目錄中。 主配置文件是 jail.conf，它包含一組預(yù)定義的過(guò)濾器。 所以，不要編輯該文件，這是不可取的，因?yàn)橹灰行碌母拢渲镁蜁?huì)重置為默認(rèn)值。
只需在同一目錄下創(chuàng)建一個(gè)名為 jail.local 的新配置文件，并根據(jù)您的意愿進(jìn)行修改。
# cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
默認(rèn)情況下，大多數(shù)選項(xiàng)都已經(jīng)配置的很完美了，如果要啟用對(duì)任何特定 IP 的訪問(wèn)，則可以將 IP 地址添加到 ignoreip 區(qū)域，對(duì)于多個(gè) IP 的情況，用空格隔開(kāi) IP 地址。
配置文件中的 DEFAULT 部分包含 Fail2Ban 遵循的基本規(guī)則集，您可以根據(jù)自己的意愿調(diào)整任何參數(shù)。
# nano /etc/fail2ban/jail.local

[DEFAULT]
ignoreip = 127.0.0.1/8 192.168.1.100/24
bantime = 600
findtime = 600
maxretry = 3
destemail = 2daygeek@gmail.com
ignoreip：本部分允許我們列出 IP 地址列表，F(xiàn)ail2Ban 不會(huì)禁止與列表中的地址匹配的主機(jī)
bantime：主機(jī)被禁止的秒數(shù)
findtime：如果在最近 findtime 秒期間已經(jīng)發(fā)生了 maxretry 次重試，則主機(jī)會(huì)被禁止
maxretry：是主機(jī)被禁止之前的失敗次數(shù)
如何配置服務(wù)
Fail2Ban 帶有一組預(yù)定義的過(guò)濾器，用于各種服務(wù)，如 ssh、apache、nginx、squid、named、mysql、nagios 等。 我們不希望對(duì)配置文件進(jìn)行任何更改，只需在服務(wù)區(qū)域中添加 enabled = true 這一行就可以啟用任何服務(wù)。 禁用服務(wù)時(shí)將 true 改為 false 即可。
# SSH servers
[sshd]
enabled = true
port = ssh
logpath = %(sshd_log)s
backend = %(sshd_backend)s
enabled： 確定服務(wù)是打開(kāi)還是關(guān)閉。
port：指明特定的服務(wù)。 如果使用默認(rèn)端口，則服務(wù)名稱可以放在這里。 如果使用非傳統(tǒng)端口，則應(yīng)該是端口號(hào)。
logpath：提供服務(wù)日志的位置
backend：指定用于獲取文件修改的后端。
重啟 Fail2Ban
進(jìn)行更改后，重新啟動(dòng) Fail2Ban 才能生效。
[For SysVinit Systems]
# service fail2ban restart

[For systemd Systems]
# systemctl restart fail2ban.service
驗(yàn)證 Fail2Ban iptables 規(guī)則
你可以使用下面的命令來(lái)確認(rèn)是否在防火墻中成功添加了Fail2Ban iptables 規(guī)則。
# iptables -L
Chain INPUT (policy ACCEPT)
target prot opt source destination
f2b-apache-auth tcp -- anywhere anywhere multiport dports http,https
f2b-sshd tcp -- anywhere anywhere multiport dports 1234
ACCEPT tcp -- anywhere anywhere tcp dpt:1234

Chain FORWARD (policy ACCEPT)
target prot opt source destination

Chain OUTPUT (policy ACCEPT)
target prot opt source destination

Chain f2b-apache-auth (1 references)
target prot opt source destination
RETURN all -- anywhere anywhere

Chain f2b-sshd (1 references)
target prot opt source destination
RETURN all -- anywhere anywhere
如何測(cè)試 Fail2Ban
我做了一些失敗的嘗試來(lái)測(cè)試這個(gè)。 為了證實(shí)這一點(diǎn)，我要驗(yàn)證 /var/log/fail2ban.log 文件。
2017-11-05 14:43:22,901 fail2ban.server [7141]: INFO Changed logging target to /var/log/fail2ban.log for Fail2ban v0.9.6
2017-11-05 14:43:22,987 fail2ban.database [7141]: INFO Connected to fail2ban persistent database '/var/lib/fail2ban/fail2ban.sqlite3'
2017-11-05 14:43:22,996 fail2ban.database [7141]: WARNING New database created. Version '2'
2017-11-05 14:43:22,998 fail2ban.jail [7141]: INFO Creating new jail 'sshd'
2017-11-05 14:43:23,002 fail2ban.jail [7141]: INFO Jail 'sshd' uses poller {}
2017-11-05 14:43:23,019 fail2ban.jail [7141]: INFO Initiated 'polling' backend
2017-11-05 14:43:23,019 fail2ban.filter [7141]: INFO Set maxRetry = 5
2017-11-05 14:43:23,020 fail2ban.filter [7141]: INFO Set jail log file encoding to UTF-8
2017-11-05 14:43:23,020 fail2ban.filter [7141]: INFO Added logfile = /var/log/auth.log
2017-11-05 14:43:23,021 fail2ban.actions [7141]: INFO Set banTime = 600
2017-11-05 14:43:23,021 fail2ban.filter [7141]: INFO Set findtime = 600
2017-11-05 14:43:23,022 fail2ban.filter [7141]: INFO Set maxlines = 10
2017-11-05 14:43:23,070 fail2ban.server [7141]: INFO Jail sshd is not a JournalFilter instance
2017-11-05 14:43:23,081 fail2ban.jail [7141]: INFO Jail 'sshd' started
2017-11-05 14:43:23,763 fail2ban.filter [7141]: INFO [sshd] Found 103.5.134.167
2017-11-05 14:43:23,763 fail2ban.filter [7141]: INFO [sshd] Found 103.5.134.167
2017-11-05 14:43:23,764 fail2ban.filter [7141]: INFO [sshd] Found 181.129.54.170
2017-11-05 14:43:23,764 fail2ban.filter [7141]: INFO [sshd] Found 181.129.54.170
2017-11-05 14:43:23,765 fail2ban.filter [7141]: INFO [sshd] Found 181.129.54.170
2017-11-05 14:43:23,765 fail2ban.filter [7141]: INFO [sshd] Found 181.129.54.170
2017-11-05 15:19:06,192 fail2ban.server [7141]: INFO Stopping all jails
2017-11-05 15:19:06,874 fail2ban.jail [7141]: INFO Jail 'sshd' stopped
2017-11-05 15:19:06,879 fail2ban.server [7141]: INFO Exiting Fail2ban
2017-11-05 15:19:07,123 fail2ban.server [8528]: INFO Changed logging target to /var/log/fail2ban.log for Fail2ban v0.9.6
2017-11-05 15:19:07,123 fail2ban.database [8528]: INFO Connected to fail2ban persistent database '/var/lib/fail2ban/fail2ban.sqlite3'
2017-11-05 15:19:07,126 fail2ban.jail [8528]: INFO Creating new jail 'sshd'
2017-11-05 15:19:07,129 fail2ban.jail [8528]: INFO Jail 'sshd' uses poller {}
2017-11-05 15:19:07,141 fail2ban.jail [8528]: INFO Initiated 'polling' backend
2017-11-05 15:19:07,142 fail2ban.actions [8528]: INFO Set banTime = 60
2017-11-05 15:19:07,142 fail2ban.filter [8528]: INFO Set findtime = 60
2017-11-05 15:19:07,142 fail2ban.filter [8528]: INFO Set jail log file encoding to UTF-8
2017-11-05 15:19:07,143 fail2ban.filter [8528]: INFO Set maxRetry = 3
2017-11-05 15:19:07,144 fail2ban.filter [8528]: INFO Added logfile = /var/log/auth.log
2017-11-05 15:19:07,144 fail2ban.filter [8528]: INFO Set maxlines = 10
2017-11-05 15:19:07,189 fail2ban.server [8528]: INFO Jail sshd is not a JournalFilter instance
2017-11-05 15:19:07,195 fail2ban.jail [8528]: INFO Jail 'sshd' started
2017-11-05 15:20:03,263 fail2ban.filter [8528]: INFO [sshd] Found 103.5.134.167
2017-11-05 15:20:05,267 fail2ban.filter [8528]: INFO [sshd] Found 103.5.134.167
2017-11-05 15:20:12,276 fail2ban.filter [8528]: INFO [sshd] Found 103.5.134.167
2017-11-05 15:20:12,380 fail2ban.actions [8528]: NOTICE [sshd] Ban 103.5.134.167
2017-11-05 15:21:12,659 fail2ban.actions [8528]: NOTICE [sshd] Unban 103.5.134.167
要查看啟用的監(jiān)獄列表，請(qǐng)運(yùn)行以下命令。
# fail2ban-client status
Status
|- Number of jail:  2
`- Jail list:   apache-auth, sshd
通過(guò)運(yùn)行以下命令來(lái)獲取禁止的 IP 地址。
# fail2ban-client status ssh
Status for the jail: ssh
|- filter
| |- File list: /var/log/auth.log
| |- Currently failed: 1
| `- Total failed: 3
`- action
|- Currently banned: 1
| `- IP list: 192.168.1.115
`- Total banned: 1
要從 Fail2Ban 中刪除禁止的 IP 地址，請(qǐng)運(yùn)行以下命令。
# fail2ban-client set ssh unbanip 192.168.1.115