防火牆強化套件fail2ban之安裝與設定

IT_man

* T: z: }& Q! ]
我的環境:
CentOS 6.7    這是RedHat系列的發行版本，與Fedora同系。（發行版本的資料會記錄在 /etc/redhat-release）
1.用yum安裝fail2ban
yum -y install fail2ban   (yum安裝的歷程會記錄在 /var/log/yum 中。如有需要確認已安裝的套件，可以回頭查詢這個記錄檔。)
9 K2 b5 Z7 h% e2 B. c
如果上述步驟不能安裝fail2ban,那麼yum會顯示找不到該套件的時候，你需要進入這個步驟。
; ^. _# o1 A$ n: A0 H6 H
7 k6 d6 c/ ]  K7 X; `0 _3 ^8 Syum會掃描套件庫來決定要如何安裝套件。然而由於fail2ban並不在預設的套件庫中，所以我們必須手動加入含有fail2ban的套件庫atrpms。

請編輯 /etc/yum.repos.d/CentOS-Base.repo ：

vi /etc/yum.repos.d/CentOS-Base.repo
% M4 e; w2 [( F. O在最後加入以下設定：
2 @5 \. x" r3 s$ d5 t/ {  {) `
5 s& d2 E3 B( U3 k% d[atrpms]
8 ?( Q& w/ G5 {7 t9 vname=Red Hat Enterprise Linux $releasever - $basearch - ATrpms
: h  d9 |  z- }% rbaseurl=http://dl.atrpms.net/el$releasever-$basearch/atrpms/stable
* P) H- R1 Z) c% T* xgpgkey=http://ATrpms.net/RPM-GPG-KEY.atrpms
gpgcheck=1
. \0 q1 i7 c9 M3 h9 l7 kenabled=1
( ^! i) ^7 C& _7 T" Y; U& o/ ]
2. 設定fail2ban
' q) k8 Y6 }- R! m主要有兩個設定檔：/etc/fail2ban/fail2ban.conf 跟 /etc/fail2ban/jail.conf
vi /etc/fail2ban/fail2ban.conf
( C9 [9 C3 c0 R! C+ J# W! ~2 ]+ v修改 logtarget 的參數:

1. #預設的參數
   
2. #logtarget = SYSLOG
   
3. #調整後的參數
   
4. logtarget = /var/log/fail2ban.log

複製代碼

vi /etc/fail2ban/jail.conf (fail2ban主要的設定檔)
. h" O+ j5 U6 U6 C& n4 j1 d4 v

1. #預設的參數
   
2. #backend = auto
   
3. #調整後的參數
   8 m# @: V0 D- ]- w* r, U+ u' m
4. backend = gamin

複製代碼

gamin是Linux的套件之一。如果缺少你可以用yum來安裝它

1. [ssh-iptables]
   
2. #是否啟用
   
3. enabled  = true
   
4. #過濾名稱，使用預設的即可
   8 i. c) k: ^  ~9 `. Z
5. filter   = sshd
   
6. #iptables設定
   # i6 q% S. I. ?7 o; B4 J( N9 W6 _
7. action   = iptables[name=SSH, port=22022, protocol=tcp]
   
8.            #發生阻擋時的寄信設定
   " e  h. [) ^( F( _/ t+ w
9.            sendmail-whois[name=SSH, dest=xxxx@gmail.com, sender=root@xxxx.com]
   
10. 
    & F/ s! C8 x0 Z. C! G$ X, u
11. #需要掃描的記錄檔
    . ~/ S4 k& K8 ?9 d
12. logpath  = /var/log/secure
    1 I9 y0 \! Q" S' h
13. #最高嘗試錯誤次數
    
14. maxretry = 2
    $ D# R4 N% L, p( D
15. #阻擋的時間，-1表示永久阻擋
    3 H' P( w' w5 D9 ]+ w+ p
16. bantime  = -1

複製代碼

讓fail2ban重新啟動時不會重設阻擋IP規則
在預設的設定中，fail2ban每次重新啟動時都會遺忘被阻擋的IP設定。舉例來說，如果我的電腦因為登入失敗被fail2ban擋掉，那麼只要fail2ban重新啟動，那麼我的電腦又可以繼續嘗試登入server。
# ?" z3 ]) d, U3 x! w  j- }: F; c如果要讓fail2ban重新啟動時，不會重設阻擋的IP規則，則修改 /etc/init.d/fail2ban 的內容。
vi /etc/init.d/fail2ban
找到start()的區塊，加入以下有#註解的設定：

1. start() {
   5 H- D3 a& P1 T6 _; ^( E* B
2.     echo -n [        DISCUZ_CODE_3        ]quot;Starting fail2ban: "
   5 J+ ?- \' R$ O' k  _( U! o
3.     getpid
   
4.     if [ -z "$pid" ]; then
   
5.         rm -rf /var/run/fail2ban/fail2ban.sock # unclean in case of restart fal2ban
   
6.         $FAIL2BAN -x start > /dev/null
   
7.         RETVAL=$?
   
8.     fi
   
9.     if [ $RETVAL -eq 0 ]; then
   
10.         touch /var/lock/subsys/fail2ban
    # G0 d' \9 n" g( M% }0 f: V1 Y
11.         echo_success
    
12.         /sbin/service iptables restart # reloads previously banned ip's
    9 ]8 Z8 r. C, d) u1 G
13.     else
    0 n6 x, S+ ]  K! D4 E5 h
14.         echo_failure
    
15.     fi
    
16. 
    
17.     echo
    $ w- b5 m( c& s
18.     return $RETVAL
    . n- S, K8 g+ P$ J' }
19. }

複製代碼

再找到stop()區塊，加入以下有#註解的設定：

1. stop() {
   
2.     echo -n [        DISCUZ_CODE_4        ]quot;Stopping fail2ban: "
     Y8 E3 K3 D8 j6 E. R2 G
3.     getpid
   
4.     RETVAL=$?
   " s1 `) S& m0 ~: Z
5.     if [ -n "$pid" ]; then
   1 x- K- f- g  M8 }; J( |5 }
6.        /sbin/service iptables save # saves banned ip's
   
7.         $FAIL2BAN stop > /dev/null
   * S4 p9 g8 o$ \" }% z
8.     sleep 1
   1 ?9 f0 G7 h& A6 J3 f* H9 J" p
9.     getpid
   
10.     if [ -z "$pid" ]; then
    
11.         rm -f /var/lock/subsys/fail2ban
    4 y2 `6 L! n: W3 o
12.         echo_success
    
13.     else
    
14.         echo_failure
    1 \2 k% @2 E. Z) T: X0 `! `( H
15.     fi
    ; a7 b4 |* ]8 o
16.     else
    
17.         echo_failure
    
18.     fi
    
19.     echo
    
20.     return $RETVAL

複製代碼

3. 設定fail2ban開機順序

2 U# C$ h0 S1 Z. Uchkconfig --add fail2ban
" m: S) ?3 v% _9 F2 T. J

& m. H' Y6 O/ d: n* P* {8 Kp.s
以上參考 :
8 S( K6 D2 ]! W" [" x$ Y2 e2 Ihttp://blog.pulipuli.info/2011/07/centosfail2ban.html  
http://www.vixual.net/blog/archives/252