Fail2ban: automatyczne blokowanie ataków na SSH

Fail2ban obserwuje zapisy logowań i tymczasowo blokuje w firewallu adres IP, który raz za razem wpisuje złe hasło. Zainstalujesz go, ustawisz rozsądne reguły łącznie z surowszą karą dla powracających atakujących i nauczysz się odblokować adres, jeśli przytrafi się to Tobie.

Co robi fail2ban#

Fail2ban pracuje z jailami. Każdy jail obserwuje jedną usługę i ma trzy części:

Gdy adres zrobi maxretry nieudanych prób w ciągu findtime, fail2ban blokuje go na bantime. Po upływie czasu odblokowuje go sam.

Instalacja#

Dotyczy zarówno Ubuntu 24.04, jak i Debiana 13.

1. Zaktualizuj listę pakietów i zainstaluj fail2ban:

   apt update
   apt install fail2ban

   • fail2ban – sam program. Jako zależność instaluje się też python3-systemd, który pozwala mu czytać dziennik systemowy.

2. Sprawdź, czy dostępne jest narzędzie nft, którego fail2ban używa do blokowania:

   command -v nft || apt install nftables

   • command -v nft – wypisuje ścieżkę do programu nft, jeśli istnieje.
   • || – następne polecenie uruchamia się tylko wtedy, gdy poprzednie się nie powiodło, czyli gdy brakuje nft.
   • apt install nftables – instaluje narzędzie. Instalacja nie włącza żadnych reguł ani nie zmienia UFW.

3. Sprawdź, czy usługa działa:

   systemctl status fail2ban

   Szukaj linii Active: active (running). Wyjście zamknij klawiszem q.

Zaraz po instalacji fail2ban chroni już SSH z domyślnymi ustawieniami dystrybucji: jail sshd jest włączony, czyta zapisy z dziennika systemowego i blokuje przez nftables. Domyślna blokada trwa jednak tylko 10 minut, więc dostosuj ustawienia.

Dlaczego jail.local, a nie jail.conf#

Ustawienia domyślne są w /etc/fail2ban/jail.conf i w /etc/fail2ban/jail.d/defaults-debian.conf. Tych plików nie edytuj; aktualizacja pakietu mogłaby je nadpisać. Własne ustawienia trafiają do /etc/fail2ban/jail.local. Fail2ban czyta pliki w kolejności jail.conf › jail.d/*.conf › jail.local › jail.d/*.local, a późniejsza wartość zawsze nadpisuje wcześniejszą.

Konfiguracja linia po linii#

1. Utwórz plik:

   nano /etc/fail2ban/jail.local

2. Wpisz do niego:

   [DEFAULT]
   # Adresy, które nigdy nie są blokowane (oddzielone spacjami)
   ignoreip = 127.0.0.1/8 ::1
   # Długość pierwszej blokady
   bantime = 1h
   # Okno, w którym liczone są nieudane próby
   findtime = 10m
   # Liczba nieudanych prób wywołująca blokadę
   maxretry = 5
   # Powracających blokuj na dłużej
   bantime.increment = true
   bantime.factor = 1
   bantime.maxtime = 1w
   
   [sshd]
   enabled = true
   port = ssh
   backend = systemd
   
   [recidive]
   enabled = true
   backend = auto
   logpath = /var/log/fail2ban.log
   banaction = %(banaction_allports)s
   bantime = 1w
   findtime = 1d
   maxretry = 5

3. Zapisz (Ctrl+O, Enter) i zamknij edytor (Ctrl+X).

Sekcje w nawiasach kwadratowych: [DEFAULT] dotyczy wszystkich jaili; [sshd] i [recidive] dotyczą tylko danego jaila i mają pierwszeństwo przed [DEFAULT].

Recidive: surowsza kara dla powracających#

Jail recidive czyta własne zapisy fail2ban (/var/log/fail2ban.log). Gdy ten sam adres dostanie co najmniej maxretry (5) blokad w dowolnym jailu w ciągu findtime (1 dzień), recidive blokuje go na bantime (1 tydzień) i na wszystkich portach. Atakujący, który wciąż wraca, traci w ten sposób dostęp do VPS całkowicie.

Dlatego recidive czyta plik (backend = auto), a nie dziennik: fail2ban zapisuje swoje zapisy do pliku /var/log/fail2ban.log, nie do dziennika.

Aby fail2ban pamiętał historię blokad wystarczająco długo (dla bantime.increment i dla przywracania tygodniowych blokad po restarcie), wydłuż czas jej przechowywania w bazie:

nano /etc/fail2ban/fail2ban.local

[Definition]
dbpurgeage = 8d

Uruchomienie i kontrola#

1. Sprawdź konfigurację:

   fail2ban-client -t

   • -t – test konfiguracji. Przy powodzeniu wypisuje OK: configuration test is successful. Przy błędzie podaje plik i problem.

2. Zrestartuj fail2ban, aby wczytał nowe ustawienia:

   systemctl restart fail2ban

3. Wypisz aktywne jaile:

   fail2ban-client status

   Status
   |- Number of jail:	2
   `- Jail list:	recidive, sshd

4. Pokaż status jaila sshd:

   fail2ban-client status sshd

   Status for the jail: sshd
   |- Filter
   |  |- Currently failed:	2
   |  |- Total failed:	57
   |  `- Journal matches:	_SYSTEMD_UNIT=ssh.service + _COMM=sshd
   `- Actions
      |- Currently banned:	3
      |- Total banned:	12
      `- Banned IP list:	198.51.100.25 198.51.100.40 198.51.100.77

Odblokowanie adresu IP#

Jeśli zablokowano Ciebie, zaloguj się przez konsolę w przeglądarce (albo z innej sieci, na przykład przez dane mobilne) i użyj jednego z tych poleceń:

Zamień 198.51.100.25 na swój publiczny adres IP. Jeśli go nie znasz, znajdź go w Banned IP list po czasie (zapisy blokad: grep "Ban " /var/log/fail2ban.log | tail) albo otwórz na komputerze, z którego się łączysz, dowolną stronę typu „jaki jest mój adres IP”.

Swój adres znajdziesz też, gdy jesteś zalogowany przez SSH: echo $SSH_CLIENT wypisuje jako pierwszą wartość adres, z którego się łączysz.

Jak poznać, że zablokowano Ciebie#

• SSH nagle zgłasza Connection refused lub Connection timed out, choć przed chwilą działało.
• Z innej sieci (dane mobilne) łączysz się bez problemu.
• Jeśli zablokował Cię recidive, nie działają dla Ciebie także inne usługi na VPS (strona, serwer gier), podczas gdy u innych działają.
• W konsoli widzisz swój adres w wyjściu fail2ban-client status sshd.

SSH na innym porcie#

Jeśli przeniesiono SSH (na przykład na 2222), zaktualizuj linię w sekcji [sshd] w jail.local:

[sshd]
enabled = true
port = 2222
backend = systemd

• port = 2222 – fail2ban blokuje atakującemu ten port. Przy złym porcie blokada nie miałaby efektu. Więcej portów oddziel przecinkiem: port = 22,2222.

Potem uruchom fail2ban-client -t i systemctl restart fail2ban.

Więcej jaili: Nginx#

Jeśli na VPS działa strona WWW z Nginx, możesz obserwować także ją. Dodaj do jail.local:

[nginx-http-auth]
enabled = true
backend = auto

[nginx-botsearch]
enabled = true
backend = auto

• backend = auto – Nginx pisze do pliku /var/log/nginx/error.log, nie do dziennika. Bez tej linii na Ubuntu jail czytałby dziennik i niczego by nie znalazł.

Fail2ban a firewall#

Fail2ban blokuje przez nftables we własnej tabeli f2b-table. Działa więc obok UFW i firewalla w strefie klienta i żadnego z nich nie nadpisuje. Zablokowane adresy zobaczysz przez:

nft list table inet f2b-table

• nft list table inet f2b-table – wypisuje tabelę fail2ban łącznie ze zbiorami (addr-set-sshd …) z zablokowanymi adresami.

Jeśli chcesz widzieć zablokowane adresy bezpośrednio w ufw status, ustaw linię banaction = ufw w [DEFAULT] (UFW musi być włączony). Potem ustaw banaction = ufw także dla jaila recidive. Domyślny nftables jest jednak szybszy i go zalecamy.

Fail2ban chroni tylko to, co działa wewnątrz VPS. Nie steruje firewallem w strefie klienta.

Weryfikacja#

1. Spróbuj ręcznie zablokować testowy adres:

   fail2ban-client set sshd banip 198.51.100.25

2. Sprawdź, czy jest w firewallu: nft list table inet f2b-table musi zawierać adres 198.51.100.25.

3. Odblokuj go: fail2ban-client set sshd unbanip 198.51.100.25.

4. Po godzinie lub dwóch sprawdź fail2ban-client status sshd. Na publicznym VPS Total failed i Total banned zwykle szybko są niezerowe.

Rozwiązywanie problemów#

fail2ban-client -t zgłasza błąd#

Wyjście podaje plik i sekcję. Najczęściej to literówka w nazwie ustawienia, brak = albo wartość bez jednostki. Popraw plik i uruchom test ponownie.

Have not found any log file for sshd jail#

Jail sshd próbuje czytać plik /var/log/auth.log, który na Debianie 13 nie istnieje. Sekcja [sshd] musi zawierać backend = systemd.

No module named 'asynchat' (Ubuntu 24.04)#

Pierwotna wersja fail2ban w Ubuntu 24.04 nie działała z Pythonem 3.12. Poprawka jest w aktualizacjach dystrybucji: uruchom apt update && apt full-upgrade, a potem systemctl restart fail2ban.

Fail2ban zgłasza adresy jako zablokowane, ale atakujący dalej próbuje haseł#

• Poszukaj błędów akcji w /var/log/fail2ban.log (na przykład nft: not found). Zainstaluj wtedy pakiet nftables.
• Sprawdź, czy port w jailu zgadza się z rzeczywistym portem SSH.

Gdzie szukać szczegółów#

tail -n 50 /var/log/fail2ban.log
journalctl -u fail2ban -n 50

• tail -n 50 /var/log/fail2ban.log – ostatnie 50 linii logu fail2ban (blokady Ban, odblokowania Unban, błędy).
• journalctl -u fail2ban -n 50 – ostatnie 50 wpisów usługi; przydatne, gdy fail2ban w ogóle nie startuje.

Dalsza lektura#

• Fail2ban: repozytorium i dokumentacja (otwiera się w nowym oknie)
• Fail2ban: domyślny jail.conf z komentarzami (otwiera się w nowym oknie)
• Strona podręcznika fail2ban-client (otwiera się w nowym oknie)