CentOS 7安装Fail2ban + Firewalld防止爆破与CC攻击

5,899次阅读
没有评论

CentOS 7 安装 Fail2ban + Firewalld 防止爆破与 CC 攻击

Fail2ban 是 Linux 上的一个著名的入侵保护的开源框架,它会监控多个系统的日志文件(例如:/var/log/auth.log 或者 /var/log/secure)并根据检测到的任何可疑的行为自动触发不同的防御动作。事实上,Fail2ban 在防御对 SSH 服务器的暴力密码破解上非常有用。
Fail2ban 可以监视你的系统日志,然后匹配日志的错误信息执行相应的屏蔽动作。网上大部分教程都是关于 fail2ban+iptables 组合,考虑到 CentOS 7 已经自带 Firewalld,所以这里我们也可以利用 Fail2ban+Firewalld 来防 CC 攻击和 SSH 爆破。

准备工作

1、检查 Firewalld 是否启用

# 如果您已经安装 iptables 建议先关闭
service iptables stop
#查看 Firewalld 状态
firewall-cmd --state
#启动 Firewalld
systemctl start firewalld
#设置开机启动
systemctl enable firewalld.service

启用 Firewalld 后会禁止所有端口连接,因此请务必放行常用的端口,以免被阻挡在外,以下是放行 SSH 端口(22)示例,供参考:

# 放行 22 端口
firewall-cmd --zone=public --add-port=80/tcp --permanent
#重载配置
firewall-cmd --reload
#查看已放行端口
firewall-cmd --zone=public --list-ports

2、安装 Fail2ban
Fail2ban可以监控系统日志,并且根据一定规则匹配异常 IP 后使用 Firewalld 将其屏蔽,尤其是针对一些爆破 / 扫描等非常有效。

#CentOS 内置源并未包含 Fail2ban,需要先安装 epel 源
yum -y install epel-release
#安装 fial2ban
yum -y install fail2ban

安装成功后 Fail2ban 配置文件位于 /etc/fail2ban,其中jail.conf 为主配置文件,相关的匹配规则位于 filter.d 目录,其它目录 / 文件一般很少用到,如果需要详细了解可自行搜索。

3、配置规则
新建 jail.local 来覆盖 Fail2ban 的一些默认规则:

# 新建配置
vi /etc/fail2ban/jail.local
#默认配置
[DEFAULT]
ignoreip = 127.0.0.1/8
bantime  = 86400
findtime = 600
maxretry = 5
#这里 banaction 必须用 firewallcmd-ipset, 这是 fiewalll 支持的关键,如果是用 Iptables 请不要这样填写
banaction = firewallcmd-ipset
action = %(action_mwl)s

参数说明:

ignoreip:IP 白名单,白名单中的 IP 不会屏蔽,可填写多个以(,)分隔
bantime:屏蔽时间,单位为秒(s)findtime:时间范围
maxretry:最大次数
banaction:屏蔽 IP 所使用的方法,上面使用 firewalld 屏蔽端口

防止 SSH 爆破

如果您还在使用默认 SSH 端口(22),可能每天都会被扫描,我们可以修改端口尽量避免被扫,Linux VPS 服务器 SSH 端口一键修改脚本,或者可以使用 fail2ban 将恶意 IP 屏蔽。

继续修改 jail.local 这个配置文件,在后面追加如下内容:

[sshd]
enabled = true
filter  = sshd
port    = 22
action = %(action_mwl)s
logpath = /var/log/secure

参数说明:

[sshd]:名称,可以随便填写
filter:规则名称,必须填写位于 filter.d 目录里面的规则,sshd 是 Fail2ban 内置规则
port:对应的端口
action:采取的行动
logpath:需要监视的日志路径

到这一步,我们 jail.local 的规则看起来可能像下面这样子:

[DEFAULT]
ignoreip = 127.0.0.1/8
bantime  = 86400
findtime = 600
maxretry = 5
banaction = firewallcmd-ipset
action = %(action_mwl)s
[sshd]
enabled = true
filter  = sshd
port    = 22
action = %(action_mwl)s
logpath = /var/log/secure

上面的配置意思是如果同一个 IP,在10 分钟内,如果连续超过 5 次错误,则使用 Firewalld 将他 IP ban 了。输入 systemctl start fail2ban 启动 Fail2ban 来试试效果。

使用另一台服务器不断尝试连接 SSH,并且不断的将密码输入错误,你会发现连续超过5 次后直接连不上,说明 IPban了,可以输入:fail2ban-client status sshd查看被 banIP,如下截图。

CentOS 7 安装 Fail2ban + Firewalld 防止爆破与 CC 攻击

防止 CC 攻击

这里仅以 Nginx 为例,使用 fail2ban 来监视 nginx 日志,匹配短时间内频繁请求的 IP,并使用firewalld 将其 IP 屏蔽,达到 CC 防护的作用。

# 需要先新建一个 nginx 日志匹配规则
vi /etc/fail2ban/filter.d/nginx-cc.conf
#填写如下内容
[Definition]
failregex =  -.*- .*HTTP/1.* .* .*$
ignoreregex =

继续修改 jail.local 追加如下内容:

[nginx-cc]
enabled = true
port = http,https
filter = nginx-cc
action = %(action_mwl)s
maxretry = 20
findtime = 60
bantime = 3600
logpath = /usr/local/nginx/logs/access.log

上面的配置意思是如果在 60s 内,同一 IP 达到 20 次请求,则将其 IP ban 1 小时,上面只是为了测试,请根据自己的实际情况修改。logpathnginx 日志路径。

防止 Wordpress 爆破

如果您经常分析日志会发现有大量机器人在扫描 wordpress 登录页面 wp-login.php,虽然对方可能没成功,但是为了避免万一还是将他IP 干掉为好。

# 需要先新建一个 nginx 日志匹配规则
vi /etc/fail2ban/filter.d/wordpress.conf
#填写如下内容
[Definition]
failregex = ^ -.* /wp-login.php.* HTTP/1\.."
ignoreregex =

继续修改 jail.local 追加如下内容:

[wordpress]
enabled = true
port = http,https
filter = wordpress
action = %(action_mwl)s
maxretry = 20
findtime = 60
bantime = 3600
logpath = /usr/local/nginx/logs/access.log

当然,别忘记输入 systemctl restart fail2ban 重启 fail2ban 使其生效。

常用命令

# 启动
systemctl start fail2ban
#停止
systemctl stop fail2ban
#开机启动
systemctl enable fail2ban
#查看被 ban IP,其中 sshd 为名称,比如上面的[wordpress]
fail2ban-client status sshd
#删除被 ban IP
fail2ban-client set sshd delignoreip 192.168.111.111
#查看日志
tail /var/log/fail2ban.log

Centos 系统下一键安装命令:

wget -qO- vpswe.com/down/scripts/f2b.sh | bash

小提示:安装完后配置文件在 /etc/fail2ban/ 文件夹下,而 SSH 的配置文件为jail.local,一键安装命令使用的是:Fail2ban+iptables

总结

Fail2ban已经内置很多匹配规则,位于 filter.d 目录下,包含了常见的 SSH/FTP/Nginx/Apache 等日志匹配,如果都还无法满足您的需求,您也可以自行新建规则来匹配异常 IP。使用Fail2ban+Firewalld 来阻止恶意 IP 是行之有效的办法,可极大提高服务器安全。

正文完
 
VPSWe
版权声明:本站原创文章,由 VPSWe 2018-08-20发表,共计3422字。
转载说明:除特殊说明外本站文章皆由CC-4.0协议发布,转载请注明出处。
评论(没有评论)
验证码