准备工作
1, 检查 firewalld 是否启用
- # 如果您已经安装 iptables 建议先关闭
- service iptables stop
- # 查看 Firewalld 状态
- firewall-cmd --state
- # 启动 firewalld
- systemctl start firewalld
- # 设置开机启动
- systemctl enable firewalld.service
启用 firewalld 后会禁止所有端口连接, 因此请务必放行常用的端口, 以免被阻挡在外, 以下是放行 SSH 端口 (22) 示例, 供参考:
- # 放行 22 端口
- firewall-cmd --zone=public --add-port=80/tcp --permanent
- # 重载配置
- firewall-cmd --reload
- # 查看已放行端口
- firewall-cmd --zone=public --list-ports
2, 安装 fail2ban
fail2ban 可以监控系统日志, 并且根据一定规则匹配异常 IP 后使用 firewalld 将其屏蔽, 尤其是针对一些爆破 / 扫描等非常有效.
- #CentOS 内置源并未包含 fail2ban, 需要先安装 epel 源
- yum -y install epel-release
- # 安装 fial2ban
- yum -y install fail2ban
安装成功后 fail2ban 配置文件位于 / etc/fail2ban, 其中 jail.conf 为主配置文件, 相关的匹配规则位于 filter.d 目录, 其它目录 / 文件一般很少用到, 如果需要详细了解可自行搜索.
3, 配置规则
新建 jail.local 来覆盖 fail2ban 的一些默认规则:
- # 新建配置
- vi /etc/fail2ban/jail.local
- # 默认配置
- [DEFAULT]
- ignoreip = 127.0.0.1/8
- bantime = 86400
- findtime = 600
- maxretry = 5
- # 这里 banaction 必须用 firewallcmd-ipset, 这是 fiewalll 支持的关键, 如果是用 Iptables 请不要这样填写
- banaction = firewallcmd-ipset
- action = %(action_mwl)s
参数说明:
ignoreip:IP 白名单, 白名单中的 IP 不会屏蔽, 可填写多个以 (,) 分隔
bantime: 屏蔽时间, 单位为秒(s)
findtime: 时间范围
maxretry: 最大次数
banaction: 屏蔽 IP 所使用的方法, 上面使用 firewalld 屏蔽端口
防止 SSH 爆破
如果您还在使用默认 SSH 端口(22), 可能每天都会被扫描, 我们可以修改端口尽量避免被扫或者可以使用 fail2ban 将恶意 IP 屏蔽.
继续修改 jail.local 这个配置文件, 在后面追加如下内容:
- [sshd]
- enabled = true
- filter = sshd
- port = 22
- action = %(action_mwl)s
- logpath = /var/log/secure
参数说明:
[sshd]: 名称, 可以随便填写
filter: 规则名称, 必须填写位于 filter.d 目录里面的规则, sshd 是 fail2ban 内置规则
port: 对应的端口
action: 采取的行动
logpath: 需要监视的日志路径
到这一步, 我们 jail.local 的规则看起来可能像下面这样子:
- [DEFAULT]
- ignoreip = 127.0.0.1/8
- bantime = 86400
- findtime = 600
- maxretry = 5
- banaction = firewallcmd-ipset
- action = %(action_mwl)s
- [sshd]
- enabled = true
- filter = sshd
- port = 22
- action = %(action_mwl)s
- logpath = /var/log/secure
上面的配置意思是如果同一个 IP, 在 10 分钟内, 如果连续超过 5 次错误, 则使用 Firewalld 将他 IP ban 了. 输入 systemctl start fail2ban 启动 fail2ban 来试试效果.
使用另一台服务器不断尝试连接 SSH, 并且不断的将密码输入错误, 你会发现连续超过 5 次后直接连不上, 说明 IP 被 ban 了, 可以输入: fail2ban-client status sshd 查看被 ban 的 IP
防止 CC 攻击
这里仅以 Nginx 为例, 使用 fail2ban 来监视 nginx 日志, 匹配短时间内频繁请求的 IP, 并使用 firewalld 将其 IP 屏蔽, 达到 CC 防护的作用.
- # 需要先新建一个 nginx 日志匹配规则
- vi /etc/fail2ban/filter.d/nginx-cc.conf
- # 填写如下内容
- [Definition]
- failregex = -.*- .*HTTP/1.* .* .*$
- ignoreregex =
继续修改 jail.local 追加如下内容:
- [nginx-cc]
- enabled = true
- port = http,https
- filter = nginx-cc
- action = %(action_mwl)s
- maxretry = 20
- findtime = 60
- bantime = 3600
- logpath = /usr/local/nginx/logs/access.log
上面的配置意思是如果在 60s 内, 同一 IP 达到 20 次请求, 则将其 IP ban 1 小时, 上面只是为了测试, 请根据自己的实际情况修改. logpath 为 nginx 日志路径.
防止 WordPress 爆破
如果您经常分析日志会发现有大量机器人在扫描 WordPress 登录页面 wp-login.PHP, 虽然对方可能没成功, 但是为了避免万一还是将他 IP 干掉为好.
- # 需要先新建一个 nginx 日志匹配规则
- vi /etc/fail2ban/filter.d/WordPress.conf
- # 填写如下内容
- [Definition]
- failregex = ^ -.*/wp-login.PHP.* HTTP/1\.."
- ignoreregex =
继续修改 jail.local 追加如下内容:
- [WordPress]
- enabled = true
- port = http,https
- filter = WordPress
- action = %(action_mwl)s
- maxretry = 20
- findtime = 60
- bantime = 3600
- logpath = /usr/local/nginx/logs/access.log
当然, 别忘记输入 systemctl restart fail2ban 重启 fail2ban 使其生效.
常用命令
- # 启动
- systemctl start fail2ban
- # 停止
- systemctl stop fail2ban
- # 开机启动
- systemctl enable fail2ban
- # 查看被 ban IP, 其中 sshd 为名称, 比如上面的[WordPress]
- fail2ban-client status sshd
- # 删除被 ban IP
- fail2ban-client set sshd delignoreip 192.168.111.111
- # 查看日志
- tail /var/log/fail2ban.log
总结
fail2ban 已经内置很多匹配规则, 位于 filter.d 目录下, 包含了常见的 SSH,FTP,Nginx,Apache 等日志匹配, 如果都还无法满足您的需求, 您也可以自行新建规则来匹配异常 IP. 使用 fail2ban+Firewalld 来阻止恶意 IP 是行之有效的办法, 可极大提高服务器安全.
来源: http://www.bubuko.com/infodetail-3013014.html