Hoe Fail2ban op Debian in te stellen 9

• Vereisten
• Stap 1: werk het systeem bij
• Stap 2: Wijzig de SSH-poort (optioneel)
• Stap 3: Installeer en configureer fail2ban om SSH te beschermen

Fail2ban, zoals de naam al doet vermoeden, is een hulpprogramma dat is ontworpen om Linux-machines te helpen beschermen tegen brute-force-aanvallen op geselecteerde open poorten, met name de SSH-poort. Omwille van systeemfunctionaliteit en beheer kunnen deze poorten niet worden afgesloten met een firewall. Onder deze omstandigheden is het een goed idee om Fail2ban te gebruiken als aanvullende beveiligingsmaatregel voor een firewall om brute-force-aanvalsverkeer op deze poorten te beperken.

In dit artikel zal ik je laten zien hoe je Fail2ban installeert en configureert om de SSH-poort, het meest voorkomende aanvalsdoel, op een Vultr Debian 9-serverinstantie te beschermen.

Vereisten

• Een nieuwe Debian 9 (Stretch) x64-serverinstantie.
• Ingelogd als root.
• Alle ongebruikte poorten zijn geblokkeerd met de juiste IPTables-regels.

Stap 1: werk het systeem bij

apt update && apt upgrade -y
shutdown -r now

Nadat het systeem is opgestart, meldt u zich opnieuw aan als root.

Stap 2: Wijzig de SSH-poort (optioneel)

Aangezien het standaard SSH-poortnummer 22te populair is om te negeren, 38752zou het een slimme beslissing zijn om het te wijzigen in een minder bekend poortnummer .

sed -i "s/#Port 22/Port 38752/g" /etc/ssh/sshd_config
systemctl restart sshd.service

Na de wijziging moet u de IPTables-regels dienovereenkomstig bijwerken:

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j DROP
iptables -A INPUT -p tcp --dport 38752 -j ACCEPT

Sla de bijgewerkte IPTables-regels op in een bestand voor persistentiedoeleinden:

iptables-save > /etc/iptables.up.rules
touch /etc/network/if-pre-up.d/iptables
chmod +x /etc/network/if-pre-up.d/iptables
echo '#!/bin/sh' >> /etc/network/if-pre-up.d/iptables
echo '/sbin/iptables-restore < /etc/iptables.up.rules' >> /etc/network/if-pre-up.d/iptables

Op deze manier blijven IPTables-regels bestaan, zelfs nadat het systeem opnieuw is opgestart. Voortaan moet je inloggen vanuit de 38752haven.

Stap 3: Installeer en configureer fail2ban om SSH te beschermen

Gebruiken aptom de stabiele versie van Fail2ban te installeren die momenteel is 0.9.x:

apt install fail2ban -y

Na de installatie start de Fail2ban-service automatisch. U kunt de volgende opdracht gebruiken om de status ervan weer te geven:

service fail2ban status

Op Debian worden de standaard Fail2ban-filterinstellingen opgeslagen in zowel het /etc/fail2ban/jail.confbestand als het /etc/fail2ban/jail.d/defaults-debian.confbestand. Onthoud dat instellingen in het laatste bestand de overeenkomstige instellingen in het vorige overschrijven.

Gebruik de volgende opdrachten om meer details te bekijken:

cat /etc/fail2ban/jail.conf | less
cat /etc/fail2ban/jail.d/defaults-debian.conf
fail2ban-client status
fail2ban-client status sshd

Ter informatie vindt u hieronder codefragmenten over SSH:

In /etc/fail2ban/jail.conf:

[DEFAULT]

bantime = 600
...
maxentry = 5

[sshd]

port = ssh
logpath = %(sshd_log)s
backend = %(sshd_backend)s

In /etc/fail2ban/jail.d/defaults-debian.conf:

[sshd]
enabled = true

Aangezien de inhoud van de twee bovenstaande configuratiebestanden in toekomstige systeemupdates kan veranderen, moet u een lokaal configuratiebestand maken om uw eigen fail2ban-filterregels op te slaan. Nogmaals, de instellingen in dit bestand overschrijven de overeenkomstige instellingen in de twee hierboven genoemde bestanden.

vi /etc/fail2ban/jail.d/jail-debian.local

Voer de volgende regels in:

[sshd]
port = 38752
maxentry = 3

Opmerking: zorg ervoor dat u uw eigen SSH-poort gebruikt. Behalve porten maxentryhierboven vermeld, zullen alle andere instellingen de standaardwaarden gebruiken.

Opslaan en afsluiten:

:wq

Start de Fail2ban-service opnieuw op om de nieuwe configuratie te laden:

service fail2ban restart

Onze setup is compleet. Als vanaf nu een machine 38752meer dan driemaal onjuiste SSH-inloggegevens naar de aangepaste SSH-poort ( ) van de Debian-server stuurt , wordt het IP-adres van deze potentieel schadelijke machine gedurende 600 seconden geblokkeerd.