Linux服务器安全之 fail2ban的安装与配置

近日在查看Nginx的访问日志中，发现了大量404请求，仔细研究一番发现有人正在试图爆破网站。

我刚上线你就企图攻击我？？？？？？ 这怎么能忍。。

于是乎 --- 查资料后得知有一个神奇的工具 fail2ban 可以配合 iptables 自动封IP

iptables 是Centos6 的一种防火墙策略，在Centos7 中已被 Firewall所取代

本次实验系统为Centos6

不说了开干

1. 下载并安装fail2ban

 　　cd /usr/loca/src
 　　wget https://github.com/fail2ban/fail2ban/archive/0.9.4.tar.gz
 　　tar -zxf 0.9..tar.gz
 　　mv 0.9. fail2ban-
 　　cd fail2ban-
 　　./setup.py

2. 目录结构

 /etc/fail2ban                    # fail2ban 服务配置目录
 /etc/fail2ban/action.d           # iptables 、mail 等动作文件目录
 /etc/fail2ban/filter.d           # 条件匹配文件目录，过滤日志关键内容
 /etc/fail2ban/jail.conf          # fail2ban 防护配置文件
 /etc/fail2ban/fail2ban.conf      # fail2ban 配置文件，定义日志级别、日志、sock 文件位置等

 cd /etc/fail2ban                 # 进入配置文件所在的目录
 cp jail.conf jail.local          # 备份配置文件

3. 配置防护
首先编写封禁访问nginx 404状态码的ip地址的配置规则

 vim /etc/fail2ban/filter.d/nginx.conf

 [Definition]
 failregex = <HOST> -.*- .*HTTP/.*  .*$
 ignoreregex =

保存后测试配置文件相对于日志是否正确

 fail2ban-regex /home/wwwlogs/access.log /etc/fail2ban/filter.d/nginx.conf 

然后将封禁规则加入配置文件

 vim /etc/fail2ban/jail.conf   # 文件尾部写入

 [nginx]
 enabled = true
 port = http,https
 filter = nginx                          # 规则文件的名字
 action = iptables[name=nginx, port=http, protocol=tcp]
         # sendmail-whois[name=tomcat, dest=abc@mail.com] 发送邮件功能
 logpath = /home/wwwlogs/access.log     # 日志路径
 bantime =                            # 封禁的时间
 findtime =                           # 在几秒内
 maxretry =                            # 有几次

4. 启动

 /etc/init.d/iptables start
 /etc/init.d/fail2ban start 或 fail2ban-client start

5. 查看状态等命令

 fail2ban-client start # 启动
 fail2ban-client reload # 重载
 fail2ban-client stop # 停止
 fail2ban-client status # 查看状态
 fail2ban-client set nginx addignoreip 180.158.35.30 # 将ip加入nginx监狱的白名单
 fail2ban-client set nginx delignoreip 180.158.35.30 # 将ip移除nginx监狱的白名单
 fail2ban-client set nginx banip IP地址 # 手工ban
 fail2ban-client set nginx unbanip IP地址 # 手工解

6. 查看fail2ban的日志

fail2ban的日志默认在 /var/log/fail2ban.log

日志中记录着Ban IP的记录和UnBan IP的记录

也有修改配置文件重载后的记录

cat /var/log/fail2ban

7. 小结

fail2ban 还有许多强大的功能待研究，在 /etc/fail2ban/filter.d 中，有许多模板可以学习并使用

虽说把非法请求封禁一段时间看似安全些，但只要有对外的端口就不能保证服务器的绝对安全。多了解不同工具的组合使用，才会使服务器更加安全。