防火牆強化套件fail2ban之安裝與設定

IT_man

8 f; I7 O" D+ {+ n4 e$ k
我的環境:
3 Y: n$ M* j) N4 n8 ACentOS 6.7    這是RedHat系列的發行版本，與Fedora同系。（發行版本的資料會記錄在 /etc/redhat-release）
1.用yum安裝fail2ban
0 ~: Q5 R% k3 j0 g+ v, w7 yyum -y install fail2ban   (yum安裝的歷程會記錄在 /var/log/yum 中。如有需要確認已安裝的套件，可以回頭查詢這個記錄檔。)

如果上述步驟不能安裝fail2ban,那麼yum會顯示找不到該套件的時候，你需要進入這個步驟。
" s1 w& @8 S) i5 g0 ~# n
# E7 u8 r( |* I0 ?  M+ Oyum會掃描套件庫來決定要如何安裝套件。然而由於fail2ban並不在預設的套件庫中，所以我們必須手動加入含有fail2ban的套件庫atrpms。
8 ^  m7 o$ ?3 j1 G; b
請編輯 /etc/yum.repos.d/CentOS-Base.repo ：
* r$ l- H. z, i9 w; m
! W2 |) ^8 Q# ^vi /etc/yum.repos.d/CentOS-Base.repo
  ^/ C) {* l8 g在最後加入以下設定：
& w- ~# S; d+ G* d3 ^& R$ L: A
& z5 v0 w6 o! m[atrpms]
name=Red Hat Enterprise Linux $releasever - $basearch - ATrpms
baseurl=http://dl.atrpms.net/el$releasever-$basearch/atrpms/stable
$ z  [9 t% t( U2 _& B  X- bgpgkey=http://ATrpms.net/RPM-GPG-KEY.atrpms
gpgcheck=1
+ k6 y' H8 ^1 ^8 O+ i0 X1 Denabled=1
4 i) ~! z( _/ }+ y2 |* a4 x% J, e
2. 設定fail2ban
$ o  y. g3 s1 N. _7 ]1 O; {主要有兩個設定檔：/etc/fail2ban/fail2ban.conf 跟 /etc/fail2ban/jail.conf
vi /etc/fail2ban/fail2ban.conf
修改 logtarget 的參數:

1. #預設的參數
   # Q) p! y; x/ X5 w
2. #logtarget = SYSLOG
   
3. #調整後的參數
   
4. logtarget = /var/log/fail2ban.log

複製代碼

vi /etc/fail2ban/jail.conf (fail2ban主要的設定檔)
; L! ?) v: x. [6 y4 C' @

1. #預設的參數
   
2. #backend = auto
   
3. #調整後的參數
   
4. backend = gamin

複製代碼

gamin是Linux的套件之一。如果缺少你可以用yum來安裝它
- e2 r. o  G5 E1 x" e

1. [ssh-iptables]
   ( W( H; {* U9 M; Q1 h" F9 ]
2. #是否啟用
   
3. enabled  = true
   + L1 g. U% \- R0 P, J: q
4. #過濾名稱，使用預設的即可
   ! v) ?4 V( A+ P
5. filter   = sshd
   
6. #iptables設定
   ( I0 u; O5 M* ~. {$ M1 H
7. action   = iptables[name=SSH, port=22022, protocol=tcp]
   
8.            #發生阻擋時的寄信設定
   7 k: z( I& _) _
9.            sendmail-whois[name=SSH, [email protected], [email protected]]
   3 j7 f, ]9 T% Q% }/ p+ H
10. 
      l8 d* R) a5 s' o- @
11. #需要掃描的記錄檔
    
12. logpath  = /var/log/secure
    " V5 J" l6 L, A9 I# Z- H  J2 Y
13. #最高嘗試錯誤次數
    ; M1 f7 I8 I! k" Z: h& p
14. maxretry = 2
    
15. #阻擋的時間，-1表示永久阻擋
    
16. bantime  = -1

複製代碼

讓fail2ban重新啟動時不會重設阻擋IP規則
在預設的設定中，fail2ban每次重新啟動時都會遺忘被阻擋的IP設定。舉例來說，如果我的電腦因為登入失敗被fail2ban擋掉，那麼只要fail2ban重新啟動，那麼我的電腦又可以繼續嘗試登入server。
如果要讓fail2ban重新啟動時，不會重設阻擋的IP規則，則修改 /etc/init.d/fail2ban 的內容。
2 b$ q7 ?% r8 K% F vi /etc/init.d/fail2ban
找到start()的區塊，加入以下有#註解的設定：

1. start() {
   7 S( c7 o; e' R% q
2.     echo -n [        DISCUZ_CODE_3        ]quot;Starting fail2ban: "
   
3.     getpid
   - Q" q3 U8 H" P) f
4.     if [ -z "$pid" ]; then
   # F, y8 y! h7 o0 Q
5.         rm -rf /var/run/fail2ban/fail2ban.sock # unclean in case of restart fal2ban
   
6.         $FAIL2BAN -x start > /dev/null
   
7.         RETVAL=$?
   8 A, k9 G4 {" e
8.     fi
   9 |( h" B6 l9 [5 S( i# t% r
9.     if [ $RETVAL -eq 0 ]; then
   & h. l$ Y6 \' w, E4 ~" ?
10.         touch /var/lock/subsys/fail2ban
    
11.         echo_success
    
12.         /sbin/service iptables restart # reloads previously banned ip's
    
13.     else
    
14.         echo_failure
    % t) v/ b& K% n4 L
15.     fi
    
16. 
    2 r. r& L, ?- d( |# |
17.     echo
    
18.     return $RETVAL
    
19. }

複製代碼

再找到stop()區塊，加入以下有#註解的設定：
3 C7 \/ _% ~/ m6 l6 t

1. stop() {
   ) y/ D" v& r8 e% [1 n" h8 [" J
2.     echo -n [        DISCUZ_CODE_4        ]quot;Stopping fail2ban: "
   
3.     getpid
   5 `% R" B) w' Z: F
4.     RETVAL=$?
   2 N& b' c/ o0 C( ~6 ~
5.     if [ -n "$pid" ]; then
   
6.        /sbin/service iptables save # saves banned ip's
   
7.         $FAIL2BAN stop > /dev/null
   , U" \: M! }$ r) m# P: Q" o
8.     sleep 1
   
9.     getpid
   3 s* A  C( ?3 \6 F, H
10.     if [ -z "$pid" ]; then
    - q" j  K% P/ [& l& O, c2 K; W
11.         rm -f /var/lock/subsys/fail2ban
    
12.         echo_success
    
13.     else
    9 N) }# _0 @# N" |  z- [9 r
14.         echo_failure
    
15.     fi
    " U: Q/ a& k9 T% {
16.     else
    
17.         echo_failure
    7 C- l) k" {# f9 E; X
18.     fi
    
19.     echo
    
20.     return $RETVAL

複製代碼

3. 設定fail2ban開機順序

chkconfig --add fail2ban
6 `! N8 w# Z3 w! p1 J

p.s
% Z4 b  r0 f! O; F+ J以上參考 :
9 ^: w$ R+ g8 C' D9 vhttp://blog.pulipuli.info/2011/07/centosfail2ban.html  
8 |. G0 V# [( ?: ~5 yhttp://www.vixual.net/blog/archives/252
% C9 l4 _3 G4 l4 q. q# H