Fail2ban: Angriffe auf SSH automatisch blockieren

Fail2ban beobachtet die Anmeldeaufzeichnungen und sperrt eine IP-Adresse vorübergehend in der Firewall, wenn sie immer wieder ein falsches Passwort eingibt. Sie installieren es, legen sinnvolle Regeln fest, einschließlich einer härteren Strafe für Wiederholungstäter, und lernen, wie Sie eine Adresse entsperren, falls es Sie selbst trifft.

Was fail2ban tut#

Fail2ban arbeitet mit Jails. Jedes Jail überwacht einen Dienst und hat drei Teile:

Wenn eine Adresse innerhalb von findtime maxretry Fehlversuche macht, sperrt fail2ban sie für bantime. Ist die Zeit abgelaufen, entsperrt es sie von selbst.

Installation#

Das gilt für Ubuntu 24.04 und Debian 13.

1. Aktualisieren Sie die Paketliste und installieren Sie fail2ban:

   apt update
   apt install fail2ban

   • fail2ban – das Programm selbst. Als Abhängigkeit wird auch python3-systemd installiert, womit es das Systemjournal lesen kann.

2. Prüfen Sie, dass das Werkzeug nft, das fail2ban zum Sperren verwendet, verfügbar ist:

   command -v nft || apt install nftables

   • command -v nft – gibt den Pfad zum Programm nft aus, falls es existiert.
   • || – der nächste Befehl läuft nur, wenn der vorherige fehlgeschlagen ist, also wenn nft fehlt.
   • apt install nftables – installiert das Werkzeug. Die Installation schaltet keine Regeln ein und ändert UFW nicht.

3. Prüfen Sie, dass der Dienst läuft:

   systemctl status fail2ban

   Suchen Sie die Zeile Active: active (running). Beenden Sie die Ausgabe mit q.

Direkt nach der Installation schützt fail2ban SSH bereits mit den Standardeinstellungen der Distribution: Das Jail sshd ist eingeschaltet, liest Aufzeichnungen aus dem Systemjournal und sperrt über nftables. Die Standardsperre dauert aber nur 10 Minuten, passen Sie die Einstellungen also an.

Warum jail.local und nicht jail.conf#

Die Standardeinstellungen stehen in /etc/fail2ban/jail.conf und in /etc/fail2ban/jail.d/defaults-debian.conf. Bearbeiten Sie diese Dateien nicht; ein Paket-Update könnte sie überschreiben. Ihre eigenen Einstellungen gehören in /etc/fail2ban/jail.local. Fail2ban liest die Dateien in der Reihenfolge jail.conf › jail.d/*.conf › jail.local › jail.d/*.local, und ein späterer Wert überschreibt immer einen früheren.

Konfiguration Zeile für Zeile#

1. Erstellen Sie die Datei:

   nano /etc/fail2ban/jail.local

2. Fügen Sie dies ein:

   [DEFAULT]
   # Adressen, die nie gesperrt werden (durch Leerzeichen getrennt)
   ignoreip = 127.0.0.1/8 ::1
   # Dauer der ersten Sperre
   bantime = 1h
   # Zeitfenster, in dem Fehlversuche gezaehlt werden
   findtime = 10m
   # Anzahl der Fehlversuche, die eine Sperre ausloest
   maxretry = 5
   # Wiederholungstaeter laenger sperren
   bantime.increment = true
   bantime.factor = 1
   bantime.maxtime = 1w
   
   [sshd]
   enabled = true
   port = ssh
   backend = systemd
   
   [recidive]
   enabled = true
   backend = auto
   logpath = /var/log/fail2ban.log
   banaction = %(banaction_allports)s
   bantime = 1w
   findtime = 1d
   maxretry = 5

3. Speichern Sie (Strg+O, Eingabe) und schließen Sie den Editor (Strg+X).

Abschnitte in eckigen Klammern: [DEFAULT] gilt für alle Jails; [sshd] und [recidive] gelten nur für das jeweilige Jail und haben Vorrang vor [DEFAULT].

Recidive: härtere Strafe für Wiederholungstäter#

Das Jail recidive liest die eigenen Aufzeichnungen von fail2ban (/var/log/fail2ban.log). Erhält dieselbe Adresse innerhalb von findtime (1 Tag) mindestens maxretry (5) Sperren in einem beliebigen Jail, sperrt recidive sie für bantime (1 Woche) und auf allen Ports. Ein Angreifer, der immer wiederkommt, verliert so den Zugriff auf den VPS vollständig.

Deshalb liest recidive eine Datei (backend = auto) und nicht das Journal: Fail2ban schreibt seine Aufzeichnungen in die Datei /var/log/fail2ban.log, nicht ins Journal.

Damit fail2ban sich die Sperrhistorie lange genug merkt (für bantime.increment und für die Wiederherstellung wochenlanger Sperren nach einem Neustart), verlängern Sie die Aufbewahrung in der Datenbank:

nano /etc/fail2ban/fail2ban.local

[Definition]
dbpurgeage = 8d

Starten und prüfen#

1. Prüfen Sie die Konfiguration:

   fail2ban-client -t

   • -t – Konfigurationstest. Bei Erfolg gibt er OK: configuration test is successful aus. Bei einem Fehler nennt er Datei und Problem.

2. Starten Sie fail2ban neu, damit es die neuen Einstellungen lädt:

   systemctl restart fail2ban

3. Listen Sie die aktiven Jails auf:

   fail2ban-client status

   Status
   |- Number of jail:	2
   `- Jail list:	recidive, sshd

4. Zeigen Sie den Status des Jails sshd:

   fail2ban-client status sshd

   Status for the jail: sshd
   |- Filter
   |  |- Currently failed:	2
   |  |- Total failed:	57
   |  `- Journal matches:	_SYSTEMD_UNIT=ssh.service + _COMM=sshd
   `- Actions
      |- Currently banned:	3
      |- Total banned:	12
      `- Banned IP list:	198.51.100.25 198.51.100.40 198.51.100.77

IP-Adresse entsperren#

Wenn Sie sich selbst gesperrt haben, melden Sie sich über die Browser-Konsole an (oder aus einem anderen Netz, zum Beispiel über mobile Daten) und verwenden Sie einen dieser Befehle:

Ersetzen Sie 198.51.100.25 durch Ihre öffentliche IP-Adresse. Kennen Sie sie nicht, finden Sie sie in der Banned IP list nach der Uhrzeit (Sperreinträge: grep "Ban " /var/log/fail2ban.log | tail), oder öffnen Sie auf dem Computer, von dem Sie sich verbinden, eine beliebige Seite „Wie ist meine IP-Adresse“.

Ihre Adresse finden Sie auch, während Sie per SSH angemeldet sind: echo $SSH_CLIENT gibt als ersten Wert die Adresse aus, von der Sie sich verbinden.

Woran Sie erkennen, dass Sie selbst gesperrt sind#

• SSH meldet plötzlich Connection refused oder Connection timed out, obwohl es eben noch funktioniert hat.
• Aus einem anderen Netz (mobile Daten) verbinden Sie sich problemlos.
• Hat recidive Sie gesperrt, funktionieren für Sie auch andere Dienste auf dem VPS nicht (Website, Gameserver), während sie bei anderen funktionieren.
• In der Konsole sehen Sie Ihre Adresse in der Ausgabe von fail2ban-client status sshd.

SSH auf einem anderen Port#

Wenn Sie SSH verschoben haben (zum Beispiel auf 2222), aktualisieren Sie die Zeile im Abschnitt [sshd] der jail.local:

[sshd]
enabled = true
port = 2222
backend = systemd

• port = 2222 – fail2ban sperrt diesen Port für den Angreifer. Mit dem falschen Port hätte eine Sperre keine Wirkung. Mehrere Ports trennen Sie mit Komma: port = 22,2222.

Führen Sie dann fail2ban-client -t und systemctl restart fail2ban aus.

Weitere Jails: Nginx#

Wenn Sie auf dem VPS eine Website mit Nginx betreiben, können Sie auch sie überwachen. Fügen Sie in jail.local hinzu:

[nginx-http-auth]
enabled = true
backend = auto

[nginx-botsearch]
enabled = true
backend = auto

• backend = auto – Nginx schreibt in die Datei /var/log/nginx/error.log, nicht ins Journal. Ohne diese Zeile würde das Jail unter Ubuntu das Journal lesen und nichts finden.

Fail2ban und die Firewall#

Fail2ban sperrt über nftables in seiner eigenen Tabelle f2b-table. Es funktioniert daher neben UFW und der Firewall im Kundenbereich und überschreibt keine davon. Die gesperrten Adressen sehen Sie mit:

nft list table inet f2b-table

• nft list table inet f2b-table – gibt die Tabelle von fail2ban aus, einschließlich der Sets (addr-set-sshd …) mit den gesperrten Adressen.

Wenn Sie die gesperrten Adressen direkt in ufw status sehen möchten, setzen Sie in [DEFAULT] die Zeile banaction = ufw (UFW muss eingeschaltet sein). Setzen Sie dann auch für das Jail recidive banaction = ufw. Das standardmäßige nftables ist allerdings schneller, und wir empfehlen es.

Fail2ban schützt nur, was im VPS läuft. Die Firewall im Kundenbereich steuert es nicht.

Überprüfung#

1. Versuchen Sie, eine Testadresse von Hand zu sperren:

   fail2ban-client set sshd banip 198.51.100.25

2. Prüfen Sie, dass sie in der Firewall steht: nft list table inet f2b-table muss die Adresse 198.51.100.25 enthalten.

3. Entsperren Sie sie: fail2ban-client set sshd unbanip 198.51.100.25.

4. Prüfen Sie nach ein bis zwei Stunden fail2ban-client status sshd. Auf einem öffentlichen VPS sind Total failed und Total banned in der Regel bald ungleich null.

Fehlerbehebung#

fail2ban-client -t meldet einen Fehler#

Die Ausgabe nennt Datei und Abschnitt. Meist ist es ein Tippfehler in einem Einstellungsnamen, ein fehlendes = oder ein Wert ohne Einheit. Korrigieren Sie die Datei und führen Sie den Test erneut aus.

Have not found any log file for sshd jail#

Das Jail sshd versucht, die Datei /var/log/auth.log zu lesen, die unter Debian 13 nicht existiert. Der Abschnitt [sshd] muss backend = systemd enthalten.

No module named 'asynchat' (Ubuntu 24.04)#

Die ursprüngliche fail2ban-Version in Ubuntu 24.04 funktionierte nicht mit Python 3.12. Die Korrektur ist in den Distributions-Updates: Führen Sie apt update && apt full-upgrade aus und dann systemctl restart fail2ban.

Fail2ban meldet Adressen als gesperrt, aber der Angreifer probiert weiter Passwörter#

• Suchen Sie in /var/log/fail2ban.log nach Aktionsfehlern (zum Beispiel nft: not found). Installieren Sie dann das Paket nftables.
• Prüfen Sie, dass der port im Jail zum tatsächlichen SSH-Port passt.

Wo Sie Details finden#

tail -n 50 /var/log/fail2ban.log
journalctl -u fail2ban -n 50

• tail -n 50 /var/log/fail2ban.log – die letzten 50 Zeilen des fail2ban-Logs (Sperren Ban, Entsperrungen Unban, Fehler).
• journalctl -u fail2ban -n 50 – die letzten 50 Einträge des Dienstes; nützlich, wenn fail2ban gar nicht startet.

Weiterführende Links#

• Fail2ban: Repository und Dokumentation (öffnet sich in einem neuen Fenster)
• Fail2ban: Standard-jail.conf mit Kommentaren (öffnet sich in einem neuen Fenster)
• Handbuchseite fail2ban-client (öffnet sich in einem neuen Fenster)