Vollständiger Leitfaden zu Fail2Ban

Installationsanleitung

Fail2Ban ist in den meisten Linux-Distributionen als Standardpaket verfügbar. Sie können es ganz einfach mit dem folgenden Befehl installieren.

Debian/Ubuntu

sudo apt-get update
sudo apt-get install fail2ban

CentOS/RHEL

sudo yum install epel-release
sudo yum install fail2ban

Starten und Aktivieren des Fail2Ban-Dienstes nach der Installation

sudo systemctl start fail2ban
sudo systemctl enable fail2ban

Starten Sie den Dienst nach der Installation und richten Sie ihn so ein, dass er beim Booten automatisch gestartet wird.

Hauptkonfigurationsdateien

Die wichtigsten Einstellungen von Fail2Ban werden in den Dateien `jail.conf` und `jail.local` vorgenommen. Es wird empfohlen, die Originaldatei `jail.conf` nicht zu ändern, sondern die Datei `jail.local` zu erstellen, um die Einstellungen zu überschreiben.

⚙️ Standort der Hauptkonfigurationsdatei

/etc/fail2ban/jail.conf

📝 Benutzerdefinierte Konfigurationsdatei (empfohlen)

/etc/fail2ban/jail.local

Um die Einstellungen in `jail.conf` zu ändern, erstellen Sie diese Datei und fügen Sie nur die gewünschten Einstellungen hinzu. Diese Methode verhindert, dass die Originaldatei bei Updates überschrieben wird.

Beispiele für wichtige Einstellungen in der jail.local-Datei

Die folgenden Einstellungen werden häufig in der Datei `jail.local` hinzugefügt. Mit diesen Einstellungen können Sie das Verhalten von Fail2Ban im Detail steuern.

[sshd]: Beginnt mit den Einstellungen für den sshd-Dienst.
enabled = true: Aktiviert das entsprechende Jail.
port = ssh: Schützt den SSH-Port (Standard 22).
maxretry = 5: Blockiert, wenn die Anzahl der fehlgeschlagenen Anmeldungen in der festgelegten Zeit (findtime) 5 übersteigt.
bantime = 10m: Legt die Dauer der Sperrung (10 Minuten) fest.
findtime = 10m: Legt die Zeitspanne (10 Minuten) fest, innerhalb derer die fehlgeschlagenen Anmeldungen gezählt werden.

Hauptbefehle

Wichtige Befehle, um den Status des Fail2Ban-Dienstes zu überprüfen oder IPs manuell zu sperren/zu entsperren.

Überprüfung des Fail2Ban-Dienststatus

sudo systemctl status fail2ban

Überprüfen Sie, ob der Fail2Ban-Dienst ordnungsgemäß läuft.

Überprüfung der Fail2Ban-Protokolle

sudo journalctl -u fail2ban

Überprüfen Sie die detaillierten Betriebprotokolle, einschließlich der von Fail2Ban gesperrten IP-Adressen.

Manuelles Blockieren einer bestimmten IP

sudo fail2ban-client set sshd banip 1.2.3.4

Blockiert die angegebene IP-Adresse manuell im `sshd` Jail.

Manuelles Entsperren einer bestimmten IP

sudo fail2ban-client set sshd unbanip 1.2.3.4

Entsperrt die zuvor blockierte IP-Adresse manuell im `sshd` Jail.

Anzeigen der aktuell gesperrten IP-Adressen

sudo fail2ban-client status sshd

Überprüfen Sie die Liste der derzeit vom `sshd` Jail gesperrten IP-Adressen.