CentOS 7安装fail2ban + Firewalld防止爆破与CC攻击

fail2ban可以监视你的系统日志，然后匹配日志的错误信息执行相应的屏蔽动作。网上大部分教程都是关于fail2ban + iptables组合，考虑到CentOS 7已经自带Firewalld，并且使用Firewalld作为网络防火墙更加简单方便，分享下fail2ban + Firewalld使用方法。检查Firewalld是否启用#如果您已经安装iptables建议先关闭service iptables stop#查看Firewalld状态firewall-cmd –state#启动firewalldsystemctl start firewalld#设置开机启动systemctl enable firewalld.service启用Firewalld后会禁止所有端口连接，因此请务必放行常用的端口，以免被阻挡在外，以下是放行SSH端口（22）示例，供参考：#放行22端口firewall-cmd –zone=public –add-port=80/tcp –permanent#重载配置firewall-cmd –reload#查看已放行端口firewall-cmd –zone=public –list-ports安装fail2banfail2ban可以监控系统日志，并且根据一定规则匹配异常IP后使用Firewalld将其屏蔽，尤其是针对一些爆破/扫描等非常有效。#CentOS内置源并未包含fail2ban，需要先安装epel源yum -y install epel-release#安装fial2banyum -y install fail2ban安装成功后fail2ban配置文件位于/etc/fail2ban，其中jail.conf为主配置文件，相关的匹配规则位于filter.d目录，其它目录/文件一般很少用到，如果需要详细了解可自行搜索。配置规则新建jail.local来覆盖fail2ban的一些默认规则：#新建配置vi /etc/fail2ban/jail.local#默认配置[DEFAULT]ignoreip = 127.0.0.1/8bantime = 86400findtime = 600maxretry = 5#这里banaction必须用firewallcmd-ipset,这是fiewalll支持的关键，如果是用Iptables请不要这样填写banaction = firewallcmd-ipsetaction = %(action_mwl)signoreip：IP白名单，白名单中的IP不会屏蔽，可填写多个以（,）分隔bantime：屏蔽时间，单位为秒（s）findtime：时间范围maxretry：最大次数banaction：屏蔽IP所使用的方法，上面使用firewalld屏蔽端口防止SSH爆破如果您还在使用默认SSH端口（22），可能每天都会被扫描，强烈建议先参考《Linux服务器之登录安全》加强服务器防护，或者可以使用fail2ban将恶意IP屏蔽。继续修改jail.local这个配置文件，在后面追加如下内容：[sshd]enabled = truefilter = sshdport = 22action = %(action_mwl)slogpath = /var/log/secure[sshd]：名称，可以随便填写filter：规则名称，必须填写位于filter.d目录里面的规则，sshd是fail2ban内置规则port：对应的端口action：采取的行动logpath：需要监视的日志路径到这一步，我们jail.local的规则看起来可能像下面这样子：[DEFAULT]ignoreip = 127.0.0.1/8bantime = 86400findtime = 600maxretry = 5banaction = firewallcmd-ipsetaction = %(action_mwl)s[sshd]enabled = truefilter = sshdport = 22action = %(action_mwl)slogpath = /var/log/secure上面的配置意思是如果同一个IP，在10分钟内，如果连续超过5次错误，则使用Firewalld将他IP ban了。输入systemctl start fail2ban启动fail2ban来试试效果。使用另一台服务器不断尝试连接SSH，并且不断的将密码输入错误，你会发现连续超过5次后直接连不上，说明IP被ban了，可以输入：fail2ban-client status sshd查看被ban的IP，如下截图。防止CC攻击这里仅以Nginx为例，使用fail2ban来监视nginx日志，匹配短时间内频繁请求的IP，并使用firewalld将其IP屏蔽，达到CC防护的作用。#需要先新建一个nginx日志匹配规则vi /etc/fail2ban/filter.d/nginx-cc.conf#填写如下内容[Definition]failregex = <HOST> -.*- .*HTTP/1.* .* .*$ignoreregex =继续修改vi /etc/fail2ban/jail.local追加如下内容：[nginx-cc]enabled = trueport = http,httpsfilter = nginx-ccaction = %(action_mwl)smaxretry = 20findtime = 60bantime = 3600logpath = /usr/local/nginx/logs/access.log上面的配置意思是如果在60s内，同一IP达到20次请求，则将其IP ban 1小时，上面只是为了测试，请根据自己的实际情况修改。logpath为nginx日志路径。防止Wordpress爆破如果您经常分析日志会发现有大量机器人在扫描wordpress登录页面wp-login.php，虽然对方可能没成功，但是为了避免万一还是将他IP干掉为好。#需要先新建一个nginx日志匹配规则vi /etc/fail2ban/filter.d/wordpress.conf#填写如下内容[Definition]failregex = ^<HOST> -.* /wp-login.php.* HTTP/1\..”ignoreregex =继续修改jail.local追加如下内容：[wordpress]enabled = trueport = http,httpsfilter = wordpressaction = %(action_mwl)smaxretry = 20findtime = 60bantime = 3600logpath = /usr/local/nginx/logs/access.log当然，别忘记输入systemctl restart fail2ban重启fail2ban使其生效。常用命令#启动systemctl start fail2ban#停止systemctl stop fail2ban#开机启动systemctl enable fail2ban#查看被ban IP，其中sshd为名称，比如上面的[wordpress]fail2ban-client status sshd#删除被ban IPfail2ban-client set sshd delignoreip 192.168.111.111#查看日志tail /var/log/fail2ban.log总结fail2ban已经内置很多匹配规则，位于filter.d目录下，包含了常见的SSH/FTP/Nginx/Apache等日志匹配，如果都还无法满足您的需求，您也可以自行新建规则来匹配异常IP。使用fail2ban + Firewalld来阻止恶意IP是行之有效的办法，可极大提高服务器安全。