Fail2Ban配置全指南：从入门到精通

一、Fail2Ban简介

Fail2Ban通过监控系统日志文件（如/var/log/auth.log），检测恶意行为模式（如多次失败的SSH登录尝试），并自动更新防火墙规则来阻止这些IP地址。它支持多种服务，包括SSH、Apache、Nginx等。

二、安装Fail2Ban

在大多数Linux发行版上，Fail2Ban都可以通过包管理器轻松安装：

# Ubuntu/Debian
sudo apt update
sudo apt install fail2ban

# CentOS/RHEL
sudo yum install epel-release
sudo yum install fail2ban

# Arch Linux
sudo pacman -S fail2ban

三、基本配置

Fail2Ban的主要配置文件位于/etc/fail2ban/目录下：

1. jail.conf - 主配置文件（不建议直接修改）
2. jail.local - 用户自定义配置（会覆盖jail.conf中的设置）
3. filter.d/ - 包含各种服务的过滤器
4. action.d/ - 包含各种动作脚本

1. 创建自定义配置文件

sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
sudo nano /etc/fail2ban/jail.local

2. 常用配置选项

[DEFAULT]
# 禁止IP地址的时间（秒）
bantime = 86400

# 检测时间段（秒）
findtime = 600

# 最大失败尝试次数
maxretry = 5

# 忽略的IP地址（白名单）
ignoreip = 127.0.0.1/8 192.168.1.0/24

# 使用的防火墙后端（通常为iptables或firewalld）
banaction = iptables-multiport

四、服务特定配置

Fail2Ban可以为不同服务配置独立的规则。以下是常见服务的配置示例：

1. SSH保护配置

[sshd]
enabled = true
port = ssh
filter = sshd
logpath = /var/log/auth.log
maxretry = 3

2. Apache保护配置

[apache]
enabled = true
port = http,https
filter = apache-auth
logpath = /var/log/apache2/error.log
maxretry = 3

3. Nginx保护配置

[nginx-http-auth]
enabled = true
port = http,https
filter = nginx-http-auth
logpath = /var/log/nginx/error.log

五、高级配置技巧

1. 自定义过滤器

在/etc/fail2ban/filter.d/目录下创建自定义过滤器：

[Definition]
failregex = ^ -.*"(GET|POST).*" (404|403|400) .*$
ignoreregex =

2. 邮件通知

配置Fail2Ban发送封禁通知：

[DEFAULT]
destemail = [email protected]
sender = [email protected]
mta = sendmail
action = %(action_mw)s

3. 多阶段封禁

设置渐进式封禁策略：

[recidive]
enabled = true
filter = recidive
logpath = /var/log/fail2ban.log
action = iptables-allports[name=recidive]
           sendmail-whois[name=recidive, [email protected]]
bantime = 604800
findtime = 86400
maxretry = 3

六、测试与维护

1. 测试配置

sudo fail2ban-client -x start
sudo fail2ban-client status
sudo fail2ban-client status sshd

2. 常用命令

# 启动服务
sudo systemctl start fail2ban

# 查看状态
sudo systemctl status fail2ban

# 重新加载配置
sudo fail2ban-client reload

# 查看封禁IP
sudo fail2ban-client status sshd

# 解封IP
sudo fail2ban-client set sshd unbanip 192.168.1.100

3. 日志监控

Fail2Ban日志位于：

/var/log/fail2ban.log