Instalace Fail2banu na Linuxový server, aktualizujte balíčky, nainstalujte balíček fail2ban s balíčkem vaší distribuce manager, povolte a spusťte službu a vytvořte /etc/fail2ban/jail.local pro nastavení bantime, findtime a maxretry. Povolte jail sshd a poté znovu načtěte Fail2ban. Ověřte stav pomocí fail2ban-client. Tím se zablokují IP adresy vynucené hrubou silou přes iptables, nftables nebo firewalld.
Fail2ban je jeden z nejjednodušších a nejúčinnějších nástrojů pro posílení zabezpečení linuxových serverů. Během několika minut můžete automaticky zablokovat IP adresy, které… SSH, Nginx/Apache, Postfix/Holubník, FTPa další služby. V této příručce se dozvíte, jak Instalace Fail2banu na Linuxový server, nakonfigurujte běžné jaily, použijte správný firewall backend a manage nebo řešte problémy se zákazy jako profesionál.
Co je Fail2ban a proč ho potřebujete?
Fail2ban je systém prevence narušení založený na protokolech, který prohledává protokoly služeb a hledá opakované neúspěšné pokusy o ověření a dynamicky blokuje problematické IP adresy na úrovni firewallu. Je nenáročný, snadno konfigurovatelný a vysoce účinný proti útokům hrubou silou, zahlcování přihlašovacími údaji a oportunistickým botům cílícím na veřejné služby.
Výhody, které získáte okamžitě:
- Automatická ochrana hrubou silou pro SSH, pošta, web a FTP
- Funguje s iptables, nftables a firewalld
- Přizpůsobitelná pravidla vězení a doby trvání zákazů
- Nízké režijní náklady a snadná auditovatelnost
- Doplňuje další ovládací prvky, jako jsou firewally, seznamy povolených a MFA.
Předpoklady
- Přístup k vašemu Linuxovému serveru s root oprávněními nebo přes sudo
- OtevřenáSSH nebo nainstalované relevantní služby (Nginx/Apache, Postfix/Dovecot atd.)
- Nakonfigurovaný firewall (iptables, nftables nebo firewalld)
- Systémový čas je správně nastaven (pro přesné časové razítka protokolů)
Instalace Fail2banu na populární linuxové distribuce
Ubuntu a Debian
sudo apt update
sudo apt install -y fail2ban
sudo systemctl enable --now fail2ban
sudo systemctl status fail2banAlmaLinux, Rocky Linux, RHEL (8/9) a CentOS Stream
sudo dnf install -y fail2ban fail2ban-firewalld
sudo systemctl enable --now fail2ban
sudo systemctl status fail2banAmazon Linux 2/2023
# Amazon Linux 2
sudo amazon-linux-extras install epel -y
sudo yum install -y fail2ban
sudo systemctl enable --now fail2ban
# Amazon Linux 2023
sudo dnf install -y fail2ban
sudo systemctl enable --now fail2banopenSUSE Leap/Tumbleweed
sudo zypper refresh
sudo zypper install -y fail2ban
sudo systemctl enable --now fail2banPo spuštění se Fail2ban spustí ve výchozím stavu, ale aktivně nebude chránit služby, dokud nepovolíte konkrétní jaily (např. sshd). Zde přichází na řadu konfigurace.
Konfigurace Fail2ban: Základy
Vytvořte jail.local pro bezpečné přepsání
Nikdy neupravujte soubor /etc/fail2ban/jail.conf přímo; aktualizace jej mohou přepsat. Místo toho vytvořte soubor /etc/fail2ban/jail.local pro globální výchozí nastavení a přepsání jailů. Tím zajistíte, že vaše konfigurace bude zachována i po aktualizacích.
sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
sudo nano /etc/fail2ban/jail.localDoporučená základní hodnota (upravte podle své tolerance rizika):
[DEFAULT]
# Time an IP stays banned (e.g., 1 hour)
bantime = 1h
# Observation window to count failures
findtime = 10m
# Number of failures before a ban
maxretry = 5
# Whitelist your admin IPs to prevent lockouts
ignoreip = 127.0.0.1/8 ::1 10.0.0.0/8 192.168.0.0/16
# Choose the firewall backend
# For iptables: banaction = iptables-multiport
# For nftables: banaction = nftables-multiport
# For firewalld: banaction = firewallcmd-multiport
banaction = auto
# Logging level: INFO is usually enough
loglevel = INFO
# Backend that reads logs; systemd works well on modern distros
backend = systemd
# Enable a basic SSH jail (common baseline)
[sshd]
enabled = true
port = ssh
filter = sshd
logpath = /var/log/auth.log
# On RHEL-based distros, auth log is often:
# logpath = /var/log/secure
maxretry = 5Vyberte si správný firewall backend
- Ubuntu/Debian (iptables nebo nftables): Pokud je nftables výchozí, použijte banaction = auto nebo nftables-multiport.
- AlmaLinux/RHEL/Rocky (firewalld): Použijte banaction = firewallcmd-multiport a ujistěte se, že firewalld běží.
- Starší nastavení iptables: Použijte iptables-multiport.
# Example for firewalld environments (RHEL-based)
sudo systemctl enable --now firewalld
sudo sed -i 's/^banaction = .*/banaction = firewallcmd-multiport/' /etc/fail2ban/jail.local
sudo systemctl restart fail2banPovolit běžné věznice (SSH, Web, Pošta, FTP)
Fail2ban je dodáván s mnoha předpřipravenými filtry v souboru /etc/fail2ban/filter.d. Můžete povolit vězení, nastavit cestu k protokolu a volitelně vyladit porty a prahové hodnoty pro opakování.
SSH (sshd)
[sshd]
enabled = true
port = ssh
filter = sshd
logpath = /var/log/auth.log
# On RHEL-like systems:
# logpath = /var/log/secure
maxretry = 5
findtime = 10m
bantime = 1hNginx or Apache Ověřování
Chraňte základní ověřování HTTP, administrátorské panely nebo přihlášení do CMS sledováním chybových protokolů webového serveru. Upravte cesty pro vaše prostředí.
[nginx-http-auth]
enabled = true
port = http,https
filter = nginx-http-auth
logpath = /var/log/nginx/error.log
maxretry = 5
bantime = 1h
[apache-auth]
enabled = false
port = http,https
filter = apache-auth
logpath = /var/log/apache2/error.log
# RHEL path:
# logpath = /var/log/httpd/error_logPošta (Postfix/Dovecot)
[postfix]
enabled = true
filter = postfix
port = smtp,ssmtp,submission
logpath = /var/log/mail.log
# RHEL:
# logpath = /var/log/maillog
maxretry = 5
[dovecot]
enabled = true
filter = dovecot
port = pop3,pop3s,imap,imaps,submission,465,587,993,995
logpath = /var/log/mail.log
# RHEL:
# logpath = /var/log/maillog
maxretry = 5FTP (vsftpd/ProFTPD)
[vsftpd]
enabled = true
filter = vsftpd
port = ftp,ftp-data,ftps,ftps-data
logpath = /var/log/vsftpd.log
maxretry = 5
[proftpd]
enabled = false
filter = proftpd
port = ftp,ftp-data
logpath = /var/log/proftpd/proftpd.logPo úpravě souboru jail.local znovu načtěte soubor Fail2ban, aby se změny projevily:
sudo systemctl reload fail2ban
# or
sudo fail2ban-client reloadSpuštění, povolení a ověření ochrany
Potvrďte, že Fail2ban načetl vaše jaily a aktivně sleduje logy.
# Overall status
sudo fail2ban-client status
# Inspect a specific jail (e.g., sshd)
sudo fail2ban-client status sshd
# Real-time journal view (systemd-based distros)
sudo journalctl -u fail2ban -fKdyž Fail2ban detekuje opakované chyby, zobrazí se ve stavu jailu uvedená problematická IP adresa spolu s počtem zákazů. Detekci vzorů můžete otestovat pomocí fail2ban-regex.
# Test filters against a log file
sudo fail2ban-regex /var/log/auth.log /etc/fail2ban/filter.d/sshd.confSpráva zákazů jako profesionál
Zrušení zákazu nebo ruční zablokování IP adresy
# Unban an IP from a jail
sudo fail2ban-client set sshd unbanip 203.0.113.10
# Ban an IP immediately
sudo fail2ban-client set sshd banip 203.0.113.10Úprava závažnosti a trvání zákazu
Prodloužit dobu zákazu pro opakované pachatele nebo povolit postupné zákazy pro zvyšování trestů:
[DEFAULT]
bantime = 1h
findtime = 10m
maxretry = 5
# Progressive bantime (if available in your Fail2ban version)
bantime.increment = true
bantime.factor = 1.5
bantime.formula = bantime * (1 + bantime.factor) ** (ban_count - 1)Recidivní vězení pro recidivisty
Opakované vězení zablokuje IP adresy, které byly zablokovány napříč více vězeními během delšího časového období. Je to extrémně účinné proti botnetům.
[recidive]
enabled = true
logpath = /var/log/fail2ban.log
bantime = 1d
findtime = 1d
maxretry = 5
backend = autoNejlepší postupy pro spolehlivou ochranu
- Použijte ignoreip k přidání IP adres vaší kanceláře/VPN na seznam povolených a vyhněte se tak náhodnému zablokování.
- Spárování Fail2ban s klíčem SSH, nestandardní SSH port a MFA pro ovládací panely.
- Udržujte protokoly rotované a dostupné; Fail2ban potřebuje konzistentní cesty k protokolům a oprávnění.
- Vyberte správnou cestu k protokolu pro vaši distribuci (Debian: auth.log, RHEL: secure).
- Povolte pouze věznice, které potřebujete, abyste minimalizovali režijní náklady.
- Před povolením vlastních filtrů je otestujte pomocí příkazu fail2ban-regex.
Odstraňování běžných problémů
- Nezobrazují se žádné zákazy: Zkontrolujte, zda je vězení povoleno a zda je cesta k protokolu pro vaši distribuci správná. Ověřte, zda v protokolech nejsou uvedeny chyby přihlášení.
- Firewall nepoužívá pravidla: Ujistěte se, že je spuštěn firewalld nebo nftables/iptables a že vaše banaction odpovídá aktivnímu firewallu.
- Vlastní formáty protokolů: Možná budete muset upravit nebo vytvořit filtr v souboru /etc/fail2ban/filter.d, aby odpovídal položkám protokolu vaší aplikace.
- Blokovací akce SELinuxu (založené na RHEL): Nastavte příslušnou booleovskou hodnotu SELinuxu nebo zkontrolujte protokoly auditu, pokud Fail2ban nemůže upravovat pravidla firewallu.
- Restartování služby: Po změnách konfigurace vždy znovu načtěte Fail2ban a sledujte chyby příkazem journalctl -u fail2ban.
Příklad z reálného světa: Zajistěte si nový VPS za 10 minut
- Nainstalujte si Fail2ban z vašeho balíčku manager.
- Vytvořte soubor /etc/fail2ban/jail.local s rozumnými výchozími hodnotami (bantime 1h, maxretry 5, findtime 10m, ignoreip vaši administrátorskou IP adresu).
- Povolit věznice sshd a nginx-http-auth.
- Nastavte banaction na firewallcmd-multiport na serverech založených na RHEL nebo nftables-multiport na novějších Debianech/Ubuntu.
- Znovu načtěte Fail2ban, otestujte ho pomocí fail2ban-regex a ověřte pomocí fail2ban-client status.
Mírné doporučení: Spravovaná pomoc od YouStable
Pokud dáváte přednost managenastavení d nebo potřebujete posílení zabezpečení na podnikové úrovni, YouStableJe managed VPS a dedikované servery můžete předkonfigurovat Fail2ban se správným firewallem backendu a vyladit jaily pro váš stack (SSH, Nginx/Apache, Postfix/Dovecot), monitorování a pravidelné audity. Náš tým zajišťuje, aby váš server blokoval útočníky, aniž by váš tým byl zablokován.
FAQs
Je Fail2ban dostatečný k zabezpečení? SSH?
Fail2ban je silnou vrstvou proti útokům hrubou silou, ale není to zázračné řešení. Zkombinujte ho s SSH ověřování klíče, zakázané přihlášení heslem, nestandardní SSH port a firewall na hostiteli. U systémů s vysokou hodnotou přidejte seznamy povolených MFA a IP adres.
Jaký je rozdíl mezi bantime, findtime a maxretry?
Parametr findtime definuje pozorovací okno; maxretry je povolený počet selhání v tomto okně; bantime udává, jak dlouho je IP adresa blokována po překročení maxretry. Například pět selhání během 10 minut (findtime) může spustit hodinový zákaz (bantime).
Mám použít iptables, nftables nebo firewalld?
Použijte firewall, který odpovídá vaší distribuci a nástrojům. RHEL/AlmaLinux/Rocky standardně používají firewalld; moderní Debian/Ubuntu často používají nftables. Pro spolehlivé blokování nastavte odpovídající akci (firewallcmd-multiport, nftables-multiport nebo iptables-multiport).
Jak se mám přestat zamykat?
Vždy přidávejte statické IP adresy kanceláře/VPN do souboru ignoreip v souboru jail.local. Mějte připravený přístup z konzole nebo mimo pásmo. Otestujte pravidla se sekundárním účtem a během počátečního nastavení zvažte kratší dobu zákazu, dokud si nebudete konfigurací jisti.
Může Fail2ban chránit přihlášení k WordPressu?
Nepřímo ano. Fail2ban dokáže analyzovat logy webového serveru a vyhledávat neúspěšná HTTP ověření nebo podezřelé požadavky (nginx-http-auth nebo vlastní filtry). Nejlepších výsledků dosáhnete v kombinaci se zabezpečením na úrovni aplikací, jako jsou silná hesla, omezení rychlosti a firewall webových aplikací.
Kde jsou uloženy zákazy a jak si je můžu zobrazit?
Fail2ban sleduje zákazy v paměti a aplikuje je na firewallu. Aktivní zákazy si můžete prohlédnout pomocí parametru fail2ban-client status jailname. Historické akce se zaznamenávají v souboru /var/log/fail2ban.log, který můžete sledovat nebo vyhledávat a auditovat tak chování v průběhu času.
Ovlivňuje Fail2ban výkon?
Fail2ban je nenáročný. Sleduje protokoly a vkládá cílená pravidla firewallu pouze v případě potřeby. Na vytížených poštovních nebo webových serverech omezte povolené jaily na nezbytné služby a udržujte filtry efektivní. Spotřeba zdrojů je na moderních VPS a dedikovaných serverech obvykle zanedbatelná.
Závěr: Nainstalujte si Fail2ban na svůj Linuxový server ještě dnes
Instalace Fail2banu na Linuxový server trvá jen pár minut a okamžitě se vyplatí blokováním pokusů o hrubou silu napříč... SSH, pošta a webové služby. S robustním jail.local, správným firewallem a několika osvědčenými postupy dramaticky snížíte šum z útoků a ochráníte svou infrastrukturu s minimálními režijními náklady. Pokud chcete, aby ji nastavili a udržovali odborníci, YouStable je připravena pomoci.
