Hướng dẫn cài đặt Fail2ban trên máy chủ Linux

Cài đặt Fail2ban

Mặc định, Fail2ban không có sẵn trong thư viện hệ thống Linux nên bạn sẽ cài đặt bằng RPMForge repository hoặc EPEL repository.

yum install epel-release
yum install fail2ban -y

Cấu hình mặc định Fail2ban

Sau khi cài đặt thành công, bạn mở file cấu hình mặc định để xem và điều chỉnh một số thông số của Fail2ban.

nano /etc/fail2ban/jail.conf

[DEFAULT]

# "ignoreip" can be an IP address, a CIDR mask or a DNS host. Fail2ban will not
# ban a host which matches an address in this list. Several addresses can be
# defined using space separator.
ignoreip = 127.0.0.1

# "bantime" is the number of seconds that a host is banned.
bantime = 600

# A host is banned if it has generated "maxretry" during the last "findtime"
# seconds.
findtime = 600

# "maxretry" is the number of failures before a host get banned.
maxretry = 3

Trong đó:

• ignoreip: những địa chỉ IP sẽ được ưu tiên không bị chặn bởi Fai2ban, nếu là danh sách nhiều IP, mỗi IP sẽ được phân cách nhau bằng “khoảng trắng”.
• bantime: khoảng thời gian (giây) chặn địa chỉ IP.
• findtime: khoảng thời gian (giây) một địa chỉ IP phải thực hiện đăng nhập thành công.
• maxretry: số lần tối đa mà máy chủ chấp nhận một địa chỉ IP đăng nhập thất bại.

Cấu hình mặc định trên đã được thiết lập tương đối chuẩn. Tuy nhiên, bạn cũng có thể tùy chỉnh theo nhu cầu, sau đó lưu lại file cấu hình để đến bước tiếp theo.

Cấu hình Fail2ban bảo vệ SSH

Tạo mới file cấu hình.

nano /etc/fail2ban/jail.local

[sshd]
enabled  = true
filter   = sshd
action   = iptables[name=SSH, port=ssh, protocol=tcp]
logpath  = /var/log/secure
maxretry = 3
bantime = 900

Trong đó:

• enabled: kích hoạt bảo vệ, nếu muốn tắt bạn hãy chuyển thành false
• filter: giữ mặc định để sử dụng file cấu hình /etc/fail2ban/filter.d/sshd.conf
• action: fail2ban sẽ chặn địa chỉ IP nếu khớp bộ lọc trong /etc/fail2ban/action.d/iptables.conf. Nếu bạn đã thay đổi port SSH, sửa đoạn port=ssh bằng port mới, ví dụ port=2222
• logpath: đường dẫn file log fail2ban sử dụng để theo dõi
• maxretry: số lần tối đa mà máy chủ chấp nhận một địa chỉ IP đăng nhập thất bại.
• bantime: khoảng thời gian (giây) chặn địa chỉ IP.

Khởi động Fai2ban

Sau khi hoàn tất thiết lập các cấu hình, bạn thực hiện khởi động và kích hoạt cho Fail2ban hoạt động ở chế độ nền bằng những lệnh sau:

systemctl enable fail2ban
systemctl start fail2ban

Giám sát hoạt động của Fail2ban

Bạn có thể xem lại lịch sử danh sách những phiên SSH vào máy chủ thất bại bằng lệnh sau:

cat /var/log/secure | grep 'Failed password' | sort | uniq -c

Để xem lại IP đã bị chặn bởi Fail2ban, bạn sử dụng lệnh sau:

fail2ban-client status sshd

Cuối cùng, để có thể xóa địa chỉ IP ra khỏi danh sách bị chặn, bạn sử dụng lệnh sau:

fail2ban-client set sshd unbanip ip-address