Debian 9でFail2banをセットアップする方法

• 前提条件
• ステップ1：システムを更新する
• ステップ2：SSHポートを変更する（オプション）
• 手順3：SSHを保護するためにfail2banをインストールして構成する

Fail2banは、その名前が示すように、選択したオープンポート、特にSSHポートに対するブルートフォース攻撃からLinuxマシンを保護するために設計されたユーティリティです。システムの機能と管理のために、ファイアウォールを使用してこれらのポートを閉じることはできません。この状況では、ファイアウォールへの補足的なセキュリティ対策としてFail2banを使用して、これらのポートでのブルートフォース攻撃トラフィックを制限することをお勧めします。

この記事では、Vultr Debian 9サーバーインスタンスで最も一般的な攻撃対象であるSSHポートを保護するためにFail2banをインストールして構成する方法を示します。

前提条件

• 新しいDebian 9（Stretch）x64サーバーインスタンス。
• としてログインしていrootます。
• 未使用のポートはすべて適切なIPTablesルールでブロックされています。

ステップ1：システムを更新する

apt update && apt upgrade -y
shutdown -r now

システムが起動したら、として再度ログインしますroot。

ステップ2：SSHポートを変更する（オプション）

デフォルトのSSHポート番号22は一般的すぎて無視できないため、これをあまり知られていないポート番号に変更38752することは、賢明な決定と言えます。

sed -i "s/#Port 22/Port 38752/g" /etc/ssh/sshd_config
systemctl restart sshd.service

変更後、IPTablesルールを適宜更新する必要があります。

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j DROP
iptables -A INPUT -p tcp --dport 38752 -j ACCEPT

永続化のために、更新されたIPTablesルールをファイルに保存します。

iptables-save > /etc/iptables.up.rules
touch /etc/network/if-pre-up.d/iptables
chmod +x /etc/network/if-pre-up.d/iptables
echo '#!/bin/sh' >> /etc/network/if-pre-up.d/iptables
echo '/sbin/iptables-restore < /etc/iptables.up.rules' >> /etc/network/if-pre-up.d/iptables

この方法では、IPTablesルールはシステムを再起動した後でも永続的です。これ以降、38752ポートからログインする必要があります。

手順3：SSHを保護するためにfail2banをインストールして構成する

apt現在安定しているFail2banのバージョンをインストールするために使用します0.9.x。

apt install fail2ban -y

インストール後、Fail2banサービスが自動的に開始されます。次のコマンドを使用して、そのステータスを表示できます。

service fail2ban status

Debianでは、デフォルトのFail2banフィルター設定が/etc/fail2ban/jail.confファイルとファイルの両方に保存され/etc/fail2ban/jail.d/defaults-debian.confます。後者のファイルの設定は、前のファイルの対応する設定を上書きすることに注意してください。

詳細を表示するには、次のコマンドを使用します。

cat /etc/fail2ban/jail.conf | less
cat /etc/fail2ban/jail.d/defaults-debian.conf
fail2ban-client status
fail2ban-client status sshd

参考までに、SSHに関するコードの抜粋を以下に示します。

で/etc/fail2ban/jail.conf：

[DEFAULT]

bantime = 600
...
maxentry = 5

[sshd]

port = ssh
logpath = %(sshd_log)s
backend = %(sshd_backend)s

で/etc/fail2ban/jail.d/defaults-debian.conf：

[sshd]
enabled = true

上記の2つの構成ファイルの内容は将来のシステムアップデートで変更される可能性があるため、独自のfail2banフィルタールールを格納するローカル構成ファイルを作成する必要があります。このファイルの設定は、前述の2つのファイルの対応する設定を上書きします。

vi /etc/fail2ban/jail.d/jail-debian.local

次の行を入力します。

[sshd]
port = 38752
maxentry = 3

注：必ず独自のSSHポートを使用してください。除くportと、maxentry上述したように、他のすべての設定はデフォルト値を使用します。

保存して終了：

:wq

新しい構成をロードするためにFail2banサービスを再起動します。

service fail2ban restart

これでセットアップは完了です。今後、いずれかのマシンが不正なSSH認証情報をDebianサーバーのカスタムSSHポート（38752）に3回以上送信すると、この潜在的に悪意のあるマシンのIPは600秒間禁止されます。