CentOS 7安装fail2ban+Firewalld防止SSH爆破与CC攻击 – 喵斯基部落

CentOS 7安装fail2ban+Firewalld防止SSH爆破与CC攻击 – 喵斯基部落

nginx-fail2ban-security.jpg

说明:差不多很多博主都会遇到被 CC 攻击和 SSH 爆破的情况,这个时候就需要做下防御措施了,这里针对 CentOS 7 再分享个简单防 CC 攻击和 SSH 爆破的方法。

前言

fail2ban 可以监视你的系统日志,然后匹配日志的错误信息执行相应的屏蔽动作。网上大部分教程都是关于 fail2ban+iptables 组合,考虑到 CentOS 7 已经自带 Firewalld,所以这里我们也可以利用 fail2ban+Firewalld 来防 CC 攻击和 SSH 爆破。

本教程编辑文件使用 vi 命令,如果不会用的,可以使用比较简单的 nano,或者编辑好使用 FTP 工具,如 WinSCP 登录 VPS 操作。

准备工作

1、检查 Firewalld 是否启用

  • #如果您已经安装iptables建议先关闭

  • service iptables stop

  • #查看Firewalld状态

  • firewall-cmd --state

  • #启动firewalld

  • systemctl start firewalld

  • #设置开机启动

  • systemctl enable firewalld.service

启用 Firewalld 后会禁止所有端口连接,因此请务必放行常用的端口,以免被阻挡在外,以下是放行 SSH 端口(22)示例,供参考:

  • #放行22端口

  • firewall-cmd --zone=public --add-port=80/tcp --permanent

  • #重载配置

  • firewall-cmd --reload

  • #查看已放行端口

  • firewall-cmd --zone=public --list-ports

2、安装 fail2ban

fail2ban 可以监控系统日志,并且根据一定规则匹配异常 IP 后使用 Firewalld 将其屏蔽,尤其是针对一些爆破 / 扫描等非常有效。

  • #CentOS内置源并未包含fail2ban,需要先安装epel源

  • yum -y install epel-release

  • #安装fial2ban

  • yum -y install fail2ban

安装成功后 fail2ban 配置文件位于 /etc/fail2ban,其中 jail.conf 为主配置文件,相关的匹配规则位于 filter.d 目录,其它目录 / 文件一般很少用到,如果需要详细了解可自行搜索。

3、配置规则

新建 jail.local 来覆盖 fail2ban 的一些默认规则:

  • #新建配置

  • vi /etc/fail2ban/jail.local

  • #默认配置

  • [DEFAULT]

  • ignoreip = 127.0.0.1/8

  • bantime = 86400

  • findtime = 600

  • maxretry = 5

  • #这里banaction必须用firewallcmd-ipset,这是fiewalll支持的关键,如果是用Iptables请不要这样填写

  • banaction = firewallcmd-ipset

  • action = %(action_mwl)s

参数说明:

  • ignoreip:IP白名单,白名单中的IP不会屏蔽,可填写多个以(,)分隔

  • bantime:屏蔽时间,单位为秒(s)

  • findtime:时间范围

  • maxretry:最大次数

  • banaction:屏蔽IP所使用的方法,上面使用firewalld屏蔽端口

防止 SSH 爆破

如果您还在使用默认 SSH 端口(22),可能每天都会被扫描,我们可以修改端口尽量避免被扫。直接输入命令:vi /etc/ssh/sshd_config 编辑配置文件,然找到#Port22 这一行,将#号去掉,并将 22 修改为您想设置的其它端口号,最后保存退出,CentOS7 最后再输入命令 systemctl restart sshd.service 重启 sshd 即可。当然你也可以使用 fail2ban 将恶意 IP 屏蔽。

继续修改 jail.local 这个配置文件,在后面追加如下内容:

  • [sshd]

  • enabled = true

  • filter = sshd

  • port = 22

  • action = %(action_mwl)s

  • logpath = /var/log/secure

参数说明:

  • [sshd]:名称,可以随便填写

  • filter:规则名称,必须填写位于filter.d目录里面的规则,sshd是fail2ban内置规则

  • port:对应的端口

  • action:采取的行动

  • logpath:需要监视的日志路径

到这一步,我们 jail.local 的规则看起来可能像下面这样子:

  • [DEFAULT]

  • ignoreip = 127.0.0.1/8

  • bantime = 86400

  • findtime = 600

  • maxretry = 5

  • banaction = firewallcmd-ipset

  • action = %(action_mwl)s

  • [sshd]

  • enabled = true

  • filter = sshd

  • port = 22

  • action = %(action_mwl)s

  • logpath = /var/log/secure

上面的配置意思是如果同一个 IP,在 10 分钟内,如果连续超过 5 次错误,则使用 Firewalld 将他 IP ban 了。输入 systemctl start fail2ban 启动 fail2ban 来试试效果。

使用另一台服务器不断尝试连接 SSH,并且不断的将密码输入错误,你会发现连续超过 5 次后直接连不上,说明 IPban 了,可以输入:fail2ban-client status sshd 查看被 banIP,如下截图。

fail2ban_ssh.png

防止 CC 攻击

这里仅以 Nginx 为例,使用 fail2ban 来监视 nginx 日志,匹配短时间内频繁请求的 IP,并使用 firewalld 将其 IP 屏蔽,达到 CC 防护的作用。

  • #需要先新建一个nginx日志匹配规则

  • vi /etc/fail2ban/filter.d/nginx-cc.conf

  • #填写如下内容

  • [Definition]

  • failregex = <HOST> -.*- .*HTTP/1.* .* .*$

  • ignoreregex =

继续修改 jail.local 追加如下内容:

  • [nginx-cc]

  • enabled = true

  • port = http,https

  • filter = nginx-cc

  • action = %(action_mwl)s

  • maxretry = 20

  • findtime = 60

  • bantime = 3600

  • logpath = /usr/local/nginx/logs/access.log

上面的配置意思是如果在 60s 内,同一 IP 达到 20 次请求,则将其 IP ban 1 小时,上面只是为了测试,请根据自己的实际情况修改。logpathnginx 日志路径。

防止 WordPress 爆破

如果您经常分析日志会发现有大量机器人在扫描 wordpress 登录页面 wp-login.php,虽然对方可能没成功,但是为了避免万一还是将他 IP 干掉为好。

  • #需要先新建一个nginx日志匹配规则

  • vi /etc/fail2ban/filter.d/wordpress.conf

  • #填写如下内容

  • [Definition]

  • failregex = ^ -.* /wp-login.php.* HTTP/1\.."

  • ignoreregex =

继续修改 jail.local 追加如下内容:

  • [wordpress]

  • enabled = true

  • port = http,https

  • filter = wordpress

  • action = %(action_mwl)s

  • maxretry = 20

  • findtime = 60

  • bantime = 3600

  • logpath = /usr/local/nginx/logs/access.log

当然,别忘记输入 systemctl restart fail2ban 重启 fail2ban 使其生效。

常用命令

  • #启动

  • systemctl start fail2ban

  • #停止

  • systemctl stop fail2ban

  • #开机启动

  • systemctl enable fail2ban

  • #查看被ban IP,其中sshd为名称,比如上面的[wordpress]

  • fail2ban-client status sshd

  • #删除被ban IP

  • fail2ban-client set sshd delignoreip 192.168.111.111

  • #查看日志

  • tail /var/log/fail2ban.log

总结

fail2ban 已经内置很多匹配规则,位于 filter.d 目录下,包含了常见的 SSH/FTP/Nginx/Apache 等日志匹配,如果都还无法满足您的需求,您也可以自行新建规则来匹配异常 IP。使用 fail2ban+Firewalld 来阻止恶意 IP 是行之有效的办法,可极大提高服务器安全。

本文标题 CentOS 7 安装 fail2ban+Firewalld 防止 SSH 爆破与 CC 攻击
若文章需要更新或相关链接出现 404 – 请联系 MoeWah
本站采用 “知识共享署名 – 非商业性使用 – 相同方式共享 4.0 中国大陆许可协议” 进行许可,转载请注明出处!