用fail2ban給centos系統做防御

系統為centos 6.4 64位

fail2ban http://www.fail2ban.org/wiki/index.php/Main_Page 

Fail2Ban is able to reduce the rate of incorrect authentications attempts however it cannot eliminate the risk that weak authentication presents. Configure services to use only two factor or public/private authentication mechanisms if you really want to protect services.

http://www.onerussian.com/tmp/fail2ban-pycon2014.pdf 這個是pdf的說明文檔，不過較簡單

fail2ban可以監視你的系統日志，然后匹配日志的錯誤信息（正則式匹配）執行相應的屏蔽動作（一般情況下是調用防火墻屏蔽），如:當有人在試探你的SSH、SMTP、FTP密碼，只要達到你預設的次數，fail2ban就會調用防火墻屏蔽這個IP，而且可以發送e-mail通知系統管理員

我們需要對ssh的非法登陸有一定的機制，fail2ban就可以做到

下載：https://codeload.github.com/fail2ban/fail2ban/tar.gz/0.8.13 

安裝：

tar -xzf fail2ban-0.8.13.tar.gz
cd fail2ban-0.8.13
python setup.py install 
cd files/
cp ./redhat-initd /etc/init.d/fail2ban
chkconfig --add fail2ban

配置目錄：/etc/fail2ban

/etc/fail2ban/action.d #firewall、iptables、mail、sendmail等配置文件

/etc/fail2ban/filter.d   #apache、nagios、nginx-http-auth、php-url-fopen、selinux-ssh等防護策略

/etc/fail2ban/jail.conf #主要配置文件

編輯配置文件:

vim /etc/fail2ban/jail.conf  #在#[ssh-iptables]  #enabled = true 兩行的下面添加

[ssh-iptables]
enabled = true
filter = sshd
action  = iptables[name=SSH, port=ssh, protocol=tcp]
       sendmail-whois[name=SSH,dest=your_mail@163.com,sender=root@localhost,sendername="Fail2Ban"]
logpath  = /var/log/secure   #提供分析的日志，centos默認是這個路徑
axretry = 5               #嘗試次數
bantime = 172800          #拒絕時間/秒
  
  
[DEFAULT]                 #以下是約束下面的全局配置，不要添加
ignoreip = 127.0.0.1/8    #忽略的ip
bantime  = 600            #屏蔽時間
findtime  = 600           #在這個時間段內
maxretry = 3              #錯誤次數
backend = auto
usedns = warn

如果修改上面的[ssh-iptables]選項，那么將下面的[ssh-iptables]選項注釋或刪除，要不兩個相同的選項設置，服務會不起作用

下面還有好多選項，enabled  = false 改為enabled  = true 就會生效

相應的配置文件路徑：  /etc/fail2ban/filter.d/  也需要修改一下

啟動服務：

service fail2ban restart

fail2ban的進程

/usr/bin/python /usr/bin/fail2ban-server -b -s /var/run/fail2ban/fail2ban.sock -p /var/run/fail2ban/fail2ban.pid -x

查看狀態：

fail2ban-client status

查看被阻止的ip

iptables -L

REJECT     all  --  192.168.22.236       anywhere            reject-with icmp-port-unreachable

如果重起iptables 記的一定還要重起fail2ban，不然不能生效，fail2ban的過濾表是在iptables 啟動后在加入的

如果有這個錯誤提示，把[ssh-iptables]前面的空格去掉

Starting fail2ban: ERROR  Failed during configuration: File contains no section headers.

file: /etc/fail2ban/jail.conf, line: 17

' [ssh-iptables]\n'