CentOS 7安装fail2ban防止SSH爆破与CC攻击
说明:很多站长会遇到网站被CC
攻击和SSH
爆破的情况,这个时候就需要做下防御措施了,这里针对CentOS 7
再分享个简单防CC
攻击和SSH
爆破的方法。
前言
fail2ban
可以监视你的系统日志,然后匹配日志的错误信息执行相应的屏蔽动作。网上大部分教程都是关于fail2ban+iptables
组合,考虑到CentOS 7
已经自带Firewalld
,所以这里我们也可以利用fail2ban+Firewalld
来防CC
攻击和SSH
爆破。
本教程编辑文件使用vim
命令,如果不会用的,可以使用比较简单的nano
,或者编辑好使用 FTP工具,如Xshell
登录VPS
操作。
准备工作
1,发现攻击:
如果你使用lastb命令,发现 类似下面日志
root ssh:notty 60.173.9.108
而且一堆一堆的,那么恭喜你,你被列为攻击对象了
2、安装 fail2ban
fail2ban
可以监控系统日志,并且根据一定规则匹配异常IP
后使用iptables
将其屏蔽,尤其是针对一些爆破/
扫描等非常有效。
#CentOS内置源并未包含fail2ban,需要先安装epel源
yum -y install epel-release
#安装fial2ban
yum -y install fail2ban
安装成功后fail2ban
配置文件位于/etc/fail2ban
,其中jail.conf
为主配置文件,相关的匹配规则位于filter.d
目录,其它目录/
文件一般很少用到,如果需要详细了解可自行搜索。
3、配置规则
"新建jail.local
来覆盖fail2ban
的一些默认规则:"
#新建配置
vi /etc/fail2ban/jail.conf
#默认配置
[DEFAULT]
ignoreip = 127.0.0.1/8
bantime = 86400
findtime = 600
maxretry = 5
# centos 需要修改为 systemd, 其他不用设置这个, 默认是 auto
backend = systemd
#这里banaction必须用firewallcmd-ipset,这是firewall支持的关键,如果是用Iptables请不要这样填写
banaction = firewallcmd-ipset
action = %(action_mwl)s
ignoreip:IP白名单,白名单中的IP不会屏蔽,可填写多个以(,)分隔
bantime:屏蔽时间,单位为秒(s)
findtime:时间范围
maxretry:最大次数
banaction:屏蔽IP所使用的方法,上面使用firewalld屏蔽端口
防止SSH爆破
如果您还在使用默认SSH
端口(22
),可能每天都会被扫描,我们可以修改端口尽量避免被扫。直接输入命令:vi /etc/ssh/sshd_config
编辑配置文件,然找到#Port22
这一行,将#
号去掉,并将22
修改为您想设置的其它端口号,最后保存退出,CentOS7
最后再输入命令systemctl restart sshd.service
重启sshd
即可。当然你也可以使用fail2ban
将恶意IP
屏蔽。
{"继续修改 jail.local 这个配置文件,在后面追加如下内容"}
[sshd]
enabled = true
filter = sshd
#action = %(action_mwl)s
# 如果上面的action,不能生效。就用下面这个action
action = iptables[name=SSH,port=22,protocol=tcp]
logpath = /var/log/secure
#这三个代表的是 将1分钟内频繁访问失败3次的IP屏蔽300秒
maxretry = 3
findtime = 60
bantime = 300
[sshd]:名称,可以随便填写
filter:规则名称,必须填写位于filter.d目录里面的规则,sshd是fail2ban内置规则
port:对应的端口
action:采取的行动
logpath:需要监视的日志路径
到这一步,我们 jail.local 的规则看起来可能像下面这样子:
[DEFAULT]
ignoreip = 127.0.0.1/8
bantime = 86400
findtime = 600
maxretry = 5
#banaction = firewallcmd-ipset
action = %(action_mwl)s
[sshd]
enabled = true
filter = sshd
action = iptables[name=SSH,port=22,protocol=tcp]
logpath = /var/log/secure
maxretry = 3
findtime = 60
bantime = 300
上面的配置意思是如果同一个IP
,在10
分钟内,如果连续超过5
次错误,则使用Firewalld
将他IP ban
了。输入systemctl start fail2ban
启动fail2ban
来试试效果。
测试远程登录(客户端)
这里测试登录失败次数超过三次后会提示什么
[root@node1 ~]# ssh 192.168.196.166
root@192.168.196.166's password: Permission denied, please try again.
root@192.168.196.166's password: Permission denied, please try again.
root@192.168.196.166's password: Permission denied (publickey,gssapi-keyex,gssapi-with-mic,password).
[root@node1 ~]# ssh 192.168.196.166 ssh: connect to host 192.168.196.166 port 22: Connection refused
[root@node1 ~]#
[root@node1 ~]# ssh 192.168.196.166 ssh: connect to host 192.168.196.166 port 22: Connection refused [root@node1 ~]# ssh 192.168.196.166 ssh: connect to host 192.168.196.166 port 22: Connection refused
测试过后显示连接失败,以上配置是已经成功了
查看有哪些IP被拉入黑名单(服务端)
1 [root@localhost fail2ban]# iptables -L -n | tail
2 Chain IN_public_log (1 references)
3 target prot opt source destination
4
5 Chain OUTPUT_direct (1 references)
6 target prot opt source destination
7
8 Chain f2b-SSH (1 references)
9 target prot opt source destination
REJECT all -- 192.168.196.23 0.0.0.0/0 reject-with icmp-portunreachable
10
11 RETURN all -- 0.0.0.0/0 0.0.0.0/0
12
13 [root@localhost fail2ban]# fail2ban-client status
14 Status
|- Number of jail: 1 15
`- Jail list: ssh-iptables 16
17 [root@localhost fail2ban]# fail2ban-client status ssh-iptables
18 Status for the jail: ssh-iptables
19 |- Filter
20 | |- Currently failed: 0
| |- Total failed: 6 21
| `- File list: /var/log/secure 22
23 `- Actions
24 |- Currently banned: 1
|- Total banned: 2 25
`- Banned IP list: 192.168.196.23
如果不慎是其他认识的人登录失败了,可以使用以下方式将他移除黑名单
[root@localhost fail2ban]# fail2ban-client set ssh-iptables unbanip 192.168.196.23
防止CC攻击
这里仅以Nginx
为例,使用fail2ban
来监视nginx
日志,匹配短时间内频繁请求的IP
,并使用firewalld
将其IP
屏蔽,达到CC
防护的作用。 {"新建一个nginx日志匹配规则"}
vi /etc/fail2ban/filter.d/nginx-cc.conf
#填写如下内容
[Definition]
failregex = -.*- .*HTTP/1.* .* .*$
ignoreregex =
{"继续修改 jail.local 追加如下内容"}
[nginx-cc]
enabled = true
port = http,https
filter = nginx-cc
action = %(action_mwl)s
maxretry = 20
findtime = 60
bantime = 3600
logpath = /usr/local/nginx/logs/access.log
{/tabs-pane}
上面的配置意思是如果在60s
内,同一IP
达到20
次请求,则将其IP ban 1
小时,上面只是为了测试,请根据自己的实际情况修改。logpath
为nginx
日志路径。
防止Wordpress爆破
如果您经常分析日志会发现有大量机器人在扫描wordpress
登录页面wp-login.php
,虽然对方可能没成功,但是为了避免万一还是将他IP
干掉为好。 {"新建一个nginx日志匹配规则"}
vi /etc/fail2ban/filter.d/wordpress.conf
#填写如下内容
[Definition]
failregex = ^ -.* /wp-login.php.* HTTP/1\.."
ignoreregex =
{"继续修改 jail.local 追加如下内容"}
[wordpress]
enabled = true
port = http,https
filter = wordpress
action = %(action_mwl)s
maxretry = 20
findtime = 60
bantime = 3600
logpath = /usr/local/nginx/logs/access.log
当然,别忘记输入systemctl restart fail2ban
重启fail2ban
使其生效。
常用命令
#启动
systemctl start fail2ban
#停止
systemctl stop fail2ban
#开机启动
systemctl enable fail2ban
#查看被ban IP,其中sshd为名称,比如上面的[wordpress]
fail2ban-client status sshd
#手动封锁banip,例如封锁8.8.8.8,sshd为监狱名
fail2ban-client set sshd banip 8.8.8.8
#删除被ban IP,例如解封8.8.8.8,sshd为监狱名
fail2ban-client set sshd unbanip 8.8.8.8
#查看日志
tail /var/log/fail2ban.log
总结
fail2ban
已经内置很多匹配规则,位于filter.d
目录下,包含了常见的SSH/FTP/Nginx/Apache
等日志匹配,如果都还无法满足您的需求,您也可以自行新建规则来匹配异常IP
。使用fail2ban+Firewalld
来阻止恶意IP
是行之有效的办法,可极大提高服务器安全。