防火牆強化套件fail2ban之安裝與設定

IT_man

我的環境:
CentOS 6.7    這是RedHat系列的發行版本，與Fedora同系。（發行版本的資料會記錄在 /etc/redhat-release）
1.用yum安裝fail2ban
) y. W# Y2 g. Jyum -y install fail2ban   (yum安裝的歷程會記錄在 /var/log/yum 中。如有需要確認已安裝的套件，可以回頭查詢這個記錄檔。)
/ {& E2 c6 \/ C: _' q
如果上述步驟不能安裝fail2ban,那麼yum會顯示找不到該套件的時候，你需要進入這個步驟。
/ ~: X3 `0 I1 }! A
yum會掃描套件庫來決定要如何安裝套件。然而由於fail2ban並不在預設的套件庫中，所以我們必須手動加入含有fail2ban的套件庫atrpms。

請編輯 /etc/yum.repos.d/CentOS-Base.repo ：
( Z8 j; h$ F* _+ t( ]
& J4 I2 K8 X6 W5 G8 Fvi /etc/yum.repos.d/CentOS-Base.repo
在最後加入以下設定：
: r, W% ~0 q: K3 S0 v" g/ l2 g# C
% `) H/ l$ n* K4 i/ u[atrpms]
name=Red Hat Enterprise Linux $releasever - $basearch - ATrpms
1 X0 j' h! r. dbaseurl=http://dl.atrpms.net/el$releasever-$basearch/atrpms/stable
+ T+ b* b- [9 ygpgkey=http://ATrpms.net/RPM-GPG-KEY.atrpms
gpgcheck=1
enabled=1

2. 設定fail2ban
主要有兩個設定檔：/etc/fail2ban/fail2ban.conf 跟 /etc/fail2ban/jail.conf
vi /etc/fail2ban/fail2ban.conf
修改 logtarget 的參數:
  Q( |+ |0 N0 j: ~" Q* I

1. #預設的參數
   ) d& @3 |8 H9 }% P+ C* R' g* m7 V/ L
2. #logtarget = SYSLOG
   % j$ {% T, x$ ?. L3 r' U0 K- Z: E
3. #調整後的參數
   
4. logtarget = /var/log/fail2ban.log

複製代碼

vi /etc/fail2ban/jail.conf (fail2ban主要的設定檔)

1. #預設的參數
   
2. #backend = auto
   ; q1 k( @1 t* P2 e' W+ w# u, U0 \, B
3. #調整後的參數
   
4. backend = gamin

複製代碼

gamin是Linux的套件之一。如果缺少你可以用yum來安裝它

1. [ssh-iptables]
   6 a9 V- r8 ?- w& h' i3 S
2. #是否啟用
   
3. enabled  = true
   
4. #過濾名稱，使用預設的即可
   1 w7 p3 v1 v" L& [
5. filter   = sshd
   4 C; z* U4 R* h  _4 x! T. {
6. #iptables設定
   2 X0 ~' n; S' [, A8 T
7. action   = iptables[name=SSH, port=22022, protocol=tcp]
   
8.            #發生阻擋時的寄信設定
   1 K0 F7 F0 `6 x& V
9.            sendmail-whois[name=SSH, dest=xxxx@gmail.com, sender=root@xxxx.com]
     F5 ^! [$ @3 j
10. 
    / b4 F  ]7 Z# h* _' h3 U
11. #需要掃描的記錄檔
    " ]# L# w& C9 s: ?
12. logpath  = /var/log/secure
    
13. #最高嘗試錯誤次數
    
14. maxretry = 2
    " G* q+ n9 n: K
15. #阻擋的時間，-1表示永久阻擋
    ; ^7 L- \& I* s0 r
16. bantime  = -1

複製代碼

讓fail2ban重新啟動時不會重設阻擋IP規則
在預設的設定中，fail2ban每次重新啟動時都會遺忘被阻擋的IP設定。舉例來說，如果我的電腦因為登入失敗被fail2ban擋掉，那麼只要fail2ban重新啟動，那麼我的電腦又可以繼續嘗試登入server。
如果要讓fail2ban重新啟動時，不會重設阻擋的IP規則，則修改 /etc/init.d/fail2ban 的內容。
" M& p0 ]0 g4 s vi /etc/init.d/fail2ban
找到start()的區塊，加入以下有#註解的設定：
* x- O0 o' q1 U* |8 {; \

1. start() {
   / C: u8 A# i. B+ x: I7 v
2.     echo -n [        DISCUZ_CODE_3        ]quot;Starting fail2ban: "
   
3.     getpid
   
4.     if [ -z "$pid" ]; then
   
5.         rm -rf /var/run/fail2ban/fail2ban.sock # unclean in case of restart fal2ban
   
6.         $FAIL2BAN -x start > /dev/null
   : @7 Y. A0 O/ {; R
7.         RETVAL=$?
   2 J8 x, y( X/ U$ a
8.     fi
   6 S# I  i) o: `& P/ w4 w% G# M
9.     if [ $RETVAL -eq 0 ]; then
   ; ]$ U5 i9 g# {3 @& \; e5 w
10.         touch /var/lock/subsys/fail2ban
    
11.         echo_success
    % W7 ~- E' r; Q& @2 g& n
12.         /sbin/service iptables restart # reloads previously banned ip's
    : N6 V4 Y; K% |' q
13.     else
    
14.         echo_failure
    ' P9 u1 {) l6 x
15.     fi
    9 ~+ v; {0 l; t# n) q
16. 
    
17.     echo
    
18.     return $RETVAL
    
19. }

複製代碼

再找到stop()區塊，加入以下有#註解的設定：

1. stop() {
   
2.     echo -n [        DISCUZ_CODE_4        ]quot;Stopping fail2ban: "
   ( E( {1 J9 X, A: k  S! v
3.     getpid
   : B, M% r( U  |
4.     RETVAL=$?
   
5.     if [ -n "$pid" ]; then
   
6.        /sbin/service iptables save # saves banned ip's
   ! [0 t5 E: Y" e) U
7.         $FAIL2BAN stop > /dev/null
   2 b  y: ^8 [2 [* N. t
8.     sleep 1
   , U) a$ Q, p( a/ i
9.     getpid
   1 @0 ^7 X( U2 Z1 T" j: F$ _
10.     if [ -z "$pid" ]; then
    ; @( k% I& ^( f8 q0 A$ ~
11.         rm -f /var/lock/subsys/fail2ban
    3 V9 v4 n; {/ t2 N9 b+ C
12.         echo_success
    2 z! f) a4 N7 D# F, Y7 i
13.     else
    6 s" p! l" T/ P4 {: p
14.         echo_failure
    # m$ E1 E. P6 A4 y6 r2 ~" H
15.     fi
    " u; k7 c0 V' ^; Y4 m2 k/ X
16.     else
    0 M9 D  v0 X* K5 h5 |' y5 k+ T
17.         echo_failure
    
18.     fi
    
19.     echo
    
20.     return $RETVAL

複製代碼

3. 設定fail2ban開機順序
' X# Q  h: o  T, ]* H
, R1 I7 C( ?0 u$ vchkconfig --add fail2ban
4 S- P5 O+ H9 x

5 d1 s8 h% F: V% o, ~p.s
以上參考 :
http://blog.pulipuli.info/2011/07/centosfail2ban.html  
9 F4 a# m1 w; O: e; `5 Chttp://www.vixual.net/blog/archives/252