防火牆強化套件fail2ban之安裝與設定

IT_man

5 [5 |8 E9 x# R: l
2 O4 w# O8 J7 Q+ i5 X我的環境:
) Q! r7 t: t0 n! iCentOS 6.7    這是RedHat系列的發行版本，與Fedora同系。（發行版本的資料會記錄在 /etc/redhat-release）
1.用yum安裝fail2ban
0 E9 n& O% w5 d: r% q& Zyum -y install fail2ban   (yum安裝的歷程會記錄在 /var/log/yum 中。如有需要確認已安裝的套件，可以回頭查詢這個記錄檔。)
! c0 ]! I) T) g" g3 x  @& j
如果上述步驟不能安裝fail2ban,那麼yum會顯示找不到該套件的時候，你需要進入這個步驟。

, J, r* H3 u5 Z1 W: i: T6 Vyum會掃描套件庫來決定要如何安裝套件。然而由於fail2ban並不在預設的套件庫中，所以我們必須手動加入含有fail2ban的套件庫atrpms。
! K/ a/ }+ X; N" F
請編輯 /etc/yum.repos.d/CentOS-Base.repo ：
1 V' a, p5 ]: p3 p0 h+ x& p
vi /etc/yum.repos.d/CentOS-Base.repo
0 R6 i5 Q4 }; ~# p在最後加入以下設定：
2 }' O# H4 T$ p  m
[atrpms]
name=Red Hat Enterprise Linux $releasever - $basearch - ATrpms
7 O8 ]* i0 V& `" S# B' D" Fbaseurl=http://dl.atrpms.net/el$releasever-$basearch/atrpms/stable
3 C: k' ^, e/ |7 i3 Igpgkey=http://ATrpms.net/RPM-GPG-KEY.atrpms
gpgcheck=1
enabled=1

. m8 ^. z5 N" T( e- E+ @2. 設定fail2ban
主要有兩個設定檔：/etc/fail2ban/fail2ban.conf 跟 /etc/fail2ban/jail.conf
6 R8 z! u0 |6 D8 f' }vi /etc/fail2ban/fail2ban.conf
9 c) ^0 O, ~& M$ o# e5 @修改 logtarget 的參數:

1. #預設的參數
   
2. #logtarget = SYSLOG
   
3. #調整後的參數
   
4. logtarget = /var/log/fail2ban.log

複製代碼

vi /etc/fail2ban/jail.conf (fail2ban主要的設定檔)

1. #預設的參數
   : T, R/ Q" l4 k" G
2. #backend = auto
   
3. #調整後的參數
   8 z$ O" c% _8 m& \; D" E0 e
4. backend = gamin

複製代碼

gamin是Linux的套件之一。如果缺少你可以用yum來安裝它

1. [ssh-iptables]
   
2. #是否啟用
   
3. enabled  = true
   
4. #過濾名稱，使用預設的即可
   
5. filter   = sshd
   
6. #iptables設定
   
7. action   = iptables[name=SSH, port=22022, protocol=tcp]
   ' ~% f  r; o* U; e) s
8.            #發生阻擋時的寄信設定
   
9.            sendmail-whois[name=SSH, [email protected], [email protected]]
   + h/ l& A" B- I* t; E* F
10. 
    ( \* n4 K1 A: s; B: F  ]
11. #需要掃描的記錄檔
    
12. logpath  = /var/log/secure
    
13. #最高嘗試錯誤次數
    # E$ C3 _2 Z4 P- v! _6 ]
14. maxretry = 2
    9 e; L) j0 ^$ K4 a9 h7 d
15. #阻擋的時間，-1表示永久阻擋
    ; |& K2 @) Q; b0 ~6 D# L
16. bantime  = -1

複製代碼

讓fail2ban重新啟動時不會重設阻擋IP規則
; Z1 x$ F& D; r0 T' u  V在預設的設定中，fail2ban每次重新啟動時都會遺忘被阻擋的IP設定。舉例來說，如果我的電腦因為登入失敗被fail2ban擋掉，那麼只要fail2ban重新啟動，那麼我的電腦又可以繼續嘗試登入server。
如果要讓fail2ban重新啟動時，不會重設阻擋的IP規則，則修改 /etc/init.d/fail2ban 的內容。
vi /etc/init.d/fail2ban
找到start()的區塊，加入以下有#註解的設定：

1. start() {
   
2.     echo -n [        DISCUZ_CODE_3        ]quot;Starting fail2ban: "
   ' U( D- k) k+ h/ k: E5 w
3.     getpid
   3 x$ C; H9 J9 Y# F) r7 r
4.     if [ -z "$pid" ]; then
   
5.         rm -rf /var/run/fail2ban/fail2ban.sock # unclean in case of restart fal2ban
   
6.         $FAIL2BAN -x start > /dev/null
   
7.         RETVAL=$?
   
8.     fi
   
9.     if [ $RETVAL -eq 0 ]; then
   : z6 Q, V% e) n" o
10.         touch /var/lock/subsys/fail2ban
    5 v# [9 E" ~, E3 I- J# q+ Q
11.         echo_success
    " b- N+ ]8 h6 Y5 U
12.         /sbin/service iptables restart # reloads previously banned ip's
    
13.     else
    
14.         echo_failure
    & x% m" |! z7 i6 W( R
15.     fi
    ' b# e" f4 M" P& D5 a4 W! @
16. 
    
17.     echo
    
18.     return $RETVAL
    - ?3 i; |, q( A- \: y
19. }

複製代碼

再找到stop()區塊，加入以下有#註解的設定：

1. stop() {
   % }+ a0 ^2 C: _$ I3 q
2.     echo -n [        DISCUZ_CODE_4        ]quot;Stopping fail2ban: "
   1 v; s- A- e. I! k; I' b: e/ ]% e
3.     getpid
   ( ?  i7 _) w' Z+ }6 s
4.     RETVAL=$?
   
5.     if [ -n "$pid" ]; then
   ; J3 g6 ?( N- l0 ^8 A6 l  V
6.        /sbin/service iptables save # saves banned ip's
   
7.         $FAIL2BAN stop > /dev/null
   1 z0 T* i. y' d
8.     sleep 1
   / R2 v% I3 N' H2 ~
9.     getpid
   - }: I/ X  u. t4 D
10.     if [ -z "$pid" ]; then
    + [+ k* x" ^- F- l' h
11.         rm -f /var/lock/subsys/fail2ban
    
12.         echo_success
    / Q; a# c) b! {- T  J1 j/ R$ l
13.     else
    * h7 {/ F9 y2 M) R2 v% J
14.         echo_failure
    
15.     fi
    
16.     else
    
17.         echo_failure
    6 o5 F) F* {9 X- c: {( _
18.     fi
    
19.     echo
    
20.     return $RETVAL

複製代碼

3. 設定fail2ban開機順序

chkconfig --add fail2ban
1 D; h- O& p/ V, g" w6 l) W9 f$ ^
: ?7 L) p) e  v" V# P9 F
0 o6 v" U* f# J, H, Dp.s
7 x& n* E5 `' T% R6 p以上參考 :
1 _, ^; X5 _6 n4 fhttp://blog.pulipuli.info/2011/07/centosfail2ban.html  
http://www.vixual.net/blog/archives/252