使用 Fail2Ban 防止恶意登录尝试

一、Fail2Ban 核心原理

Fail2Ban 通过以下机制实现防护：

1. 日志分析：实时扫描系统日志（如/var/log/auth.log）
2. 正则匹配：使用预定义规则识别失败登录模式
3. 动态封禁：通过iptables/nftables/firewalld执行封锁
4. 时间窗口：支持自定义封禁时长和解封条件

二、安装与基础配置

1. 安装步骤（以Ubuntu为例）

sudo apt update
sudo apt install fail2ban -y
sudo systemctl enable --now fail2ban

2. 核心配置文件

• /etc/fail2ban/jail.conf – 主配置文件（建议不直接修改）
• /etc/fail2ban/jail.local – 用户自定义配置
• /etc/fail2ban/filter.d/ – 过滤器规则目录

3. 基础防护配置

[sshd]
enabled = true
port = ssh
filter = sshd
logpath = /var/log/auth.log
maxretry = 3
bantime = 1h
findtime = 300

三、高级防护策略

1. 多服务防护

[nginx-http-auth]
enabled = true
port = http,https
filter = nginx-http-auth
logpath = /var/log/nginx/error.log

2. 智能封禁策略

[recidive]
enabled = true
banaction = %(banaction_allports)s
bantime = 1w
findtime = 1d
maxretry = 3

3. 邮件告警配置

[DEFAULT]
destemail = admin@yourdomain
sender = fail2ban-alert@yourdomain
action = %(action_mwl)s

四、实战调试技巧

1. 测试过滤器规则

fail2ban-regex /var/log/auth.log /etc/fail2ban/filter.d/sshd.conf

2. 实时状态监控

fail2ban-client status
fail2ban-client status sshd

3. 手动管理封禁列表

 解封特定IP
sudo fail2ban-client set sshd unbanip 192.168.1.100

 查看当前封禁IP
sudo iptables -L -n

五、性能优化建议

• 调整dbpurgeage参数清理过期记录
• 对高流量服务使用ignoreip设置白名单
• 启用systemd日志后端提升处理效率
• 定期检查fail2ban.log优化正则表达式

通过合理配置Fail2Ban，可将SSH暴力破解等攻击的成功率降低90%以上。建议配合防火墙规则和密钥认证实现纵深防御。