防火牆強化套件fail2ban之安裝與設定

IT_man

tid=34794&
- o6 E' A: g! Y% G: i) U- \6 _' \
& z' e. F4 t+ t5 k7 H" n我的環境:
CentOS 6.7    這是RedHat系列的發行版本，與Fedora同系。（發行版本的資料會記錄在 /etc/redhat-release）
1.用yum安裝fail2ban
7 I( y0 D$ C( f5 G  x- |yum -y install fail2ban   (yum安裝的歷程會記錄在 /var/log/yum 中。如有需要確認已安裝的套件，可以回頭查詢這個記錄檔。)
$ S  E, i9 w2 W* _0 E# m+ h
如果上述步驟不能安裝fail2ban,那麼yum會顯示找不到該套件的時候，你需要進入這個步驟。
4 O# Q0 b3 U- E( g0 O3 Y
! M; j; `4 N: K% D1 [: Jyum會掃描套件庫來決定要如何安裝套件。然而由於fail2ban並不在預設的套件庫中，所以我們必須手動加入含有fail2ban的套件庫atrpms。
8 t* \. r4 i5 A
請編輯 /etc/yum.repos.d/CentOS-Base.repo ：
# c. l6 J' f) W* c
& {: k! x. @! |1 ~vi /etc/yum.repos.d/CentOS-Base.repo
+ {6 ^% I. c; a. u. P4 ~在最後加入以下設定：
- E$ ]; Z) W5 W8 [
- S& {0 `$ ?( K' E. n2 u[atrpms]
/ l( h! Z3 |3 h7 }. Oname=Red Hat Enterprise Linux $releasever - $basearch - ATrpms
baseurl=http://dl.atrpms.net/el$releasever-$basearch/atrpms/stable
0 s  S* z+ a* X4 D" d. n2 ?7 @+ n8 hgpgkey=http://ATrpms.net/RPM-GPG-KEY.atrpms
gpgcheck=1
1 ?. k# k% V1 M. Z, e4 B7 lenabled=1
& S* E$ x  @8 v/ c* }9 Z
0 W3 i2 g" q8 |+ U0 k" H" I# i  x2. 設定fail2ban
& r9 r, y: `1 f+ E$ {主要有兩個設定檔：/etc/fail2ban/fail2ban.conf 跟 /etc/fail2ban/jail.conf
# i: D4 r' Z* q6 b- X$ B! Zvi /etc/fail2ban/fail2ban.conf
5 k5 j# {. |8 x9 D" p修改 logtarget 的參數:
- j- W6 _+ |6 c" x

1. #預設的參數
   . x3 e: @. Y$ G
2. #logtarget = SYSLOG
   8 g! N% o7 p* v5 I  `/ X+ H
3. #調整後的參數
   
4. logtarget = /var/log/fail2ban.log

複製代碼

vi /etc/fail2ban/jail.conf (fail2ban主要的設定檔)
) j( o. j9 b( z4 S5 J6 x3 Q' M

1. #預設的參數
   + `2 F0 Q) M) |
2. #backend = auto
   1 d6 @  Z! W) `( F+ \; o* W& W
3. #調整後的參數
   
4. backend = gamin

複製代碼

gamin是Linux的套件之一。如果缺少你可以用yum來安裝它
# i3 ~2 L) p6 t1 K

1. [ssh-iptables]
   
2. #是否啟用
   
3. enabled  = true
   " L+ v6 C  d" V+ n* ]1 i! T
4. #過濾名稱，使用預設的即可
   
5. filter   = sshd
   
6. #iptables設定
   * L% I! F% l$ j
7. action   = iptables[name=SSH, port=22022, protocol=tcp]
   $ a" u, Y# w* Q  D* S
8.            #發生阻擋時的寄信設定
   7 ^( ~2 G3 e: r* h6 c
9.            sendmail-whois[name=SSH, dest=xxxx@gmail.com, sender=root@xxxx.com]
   
10. 
      F5 g0 }: `0 R
11. #需要掃描的記錄檔
    
12. logpath  = /var/log/secure
    , }, `) u, S/ |5 K" j1 b7 k( H
13. #最高嘗試錯誤次數
    & I& Q7 C6 W2 A% s& o( l: ?4 J* i
14. maxretry = 2
    
15. #阻擋的時間，-1表示永久阻擋
    % `+ H5 a5 M! U) q& D+ d) f  ~
16. bantime  = -1

複製代碼

讓fail2ban重新啟動時不會重設阻擋IP規則
9 x$ j1 `' T; D/ h$ P" Y在預設的設定中，fail2ban每次重新啟動時都會遺忘被阻擋的IP設定。舉例來說，如果我的電腦因為登入失敗被fail2ban擋掉，那麼只要fail2ban重新啟動，那麼我的電腦又可以繼續嘗試登入server。
6 d8 j# c/ T8 n( l- X5 v如果要讓fail2ban重新啟動時，不會重設阻擋的IP規則，則修改 /etc/init.d/fail2ban 的內容。
vi /etc/init.d/fail2ban
找到start()的區塊，加入以下有#註解的設定：
: ?( k3 v& P- ]+ d  V0 ^; f0 I

1. start() {
   * B) h$ b0 M& q- U- N, Q) \
2.     echo -n [        DISCUZ_CODE_3        ]quot;Starting fail2ban: "
   ; D& R; g7 j3 _# P+ J4 r
3.     getpid
   8 Z. M0 L' C4 Z) ]$ R
4.     if [ -z "$pid" ]; then
   
5.         rm -rf /var/run/fail2ban/fail2ban.sock # unclean in case of restart fal2ban
   ' `& y0 \$ y, f, o8 u# _
6.         $FAIL2BAN -x start > /dev/null
   5 @$ I5 `- i# Q3 \
7.         RETVAL=$?
     U: l" @5 h% E- P
8.     fi
   2 o$ Q5 Y  I  X3 U7 O; Z9 d' J
9.     if [ $RETVAL -eq 0 ]; then
   
10.         touch /var/lock/subsys/fail2ban
    - L! _# f8 s7 w- k
11.         echo_success
    $ d  r# [3 M$ z+ u/ G( G
12.         /sbin/service iptables restart # reloads previously banned ip's
    
13.     else
    ; L. ]: h" [  {: {
14.         echo_failure
    
15.     fi
    0 c; {+ y! S, \! P0 i. G) ?
16. 
    1 {+ @0 }% {! d; {) p# }
17.     echo
    
18.     return $RETVAL
    
19. }

複製代碼

再找到stop()區塊，加入以下有#註解的設定：

1. stop() {
   
2.     echo -n [        DISCUZ_CODE_4        ]quot;Stopping fail2ban: "
   6 G8 m) T. u+ C& I# d
3.     getpid
   
4.     RETVAL=$?
   
5.     if [ -n "$pid" ]; then
   
6.        /sbin/service iptables save # saves banned ip's
   
7.         $FAIL2BAN stop > /dev/null
   
8.     sleep 1
   : K5 p8 a8 X. o- P. |) K. k
9.     getpid
   9 Q5 L- x) C9 v0 m/ H
10.     if [ -z "$pid" ]; then
    ! B. W) |! `3 V, u7 @9 H
11.         rm -f /var/lock/subsys/fail2ban
    1 K; V' j6 n' W' [7 e+ O8 r
12.         echo_success
    5 m3 t. ?7 N: b$ j
13.     else
    $ r6 k' T' r" B! t7 B
14.         echo_failure
    3 z2 r, G7 {& J
15.     fi
    2 C- U- H1 A+ J- y6 I; u6 ^; |5 v
16.     else
    8 v" E" k9 n( ?. G; q* u
17.         echo_failure
    
18.     fi
    
19.     echo
    
20.     return $RETVAL

複製代碼

3. 設定fail2ban開機順序

- m) ~5 j% c- Z7 x- |, X9 fchkconfig --add fail2ban


p.s
以上參考 :
http://blog.pulipuli.info/2011/07/centosfail2ban.html  
# ]; ~2 f5 H. _% thttp://www.vixual.net/blog/archives/252