So installieren Sie Fail2ban auf Ubuntu 24.04 Server

Fail2ban ist eine kostenlose und Open-Source-IPS (Intrusion Prevention Software), die Administratoren hilft, Linux-Server gegen böswillige Anmelde- und Brute-Force-Angriffe abzusichern. Fail2ban ist in Python geschrieben und kommt mit Filtern für verschiedene Dienste wie Apache2, SSH, FTP usw. Fail2ban reduziert böswillige Anmeldeversuche, indem es die IP-Adressen der Angriffsquellen blockiert.

Fail2ban funktioniert, indem es Protokolldateien von Diensten (z.B. /var/log/auth.log) scannt und IP-Adressen sperrt, die böswillige Anmeldeversuche zeigen, wie zu viele falsche Passwörter, das Suchen nach Exploits usw. Fail2ban unterstützt auch mehrere Firewall-Backends wie iptables, ufw und firewalld. Außerdem können Sie eine E-Mail-Benachrichtigung für jeden blockierten Anmeldeversuch einrichten.

In diesem Leitfaden lernen Sie, wie Sie Fail2ban auf einem Ubuntu 24.04-Server installieren. Sie richten das Fail2ban-Gefängnis ein, lernen den grundlegenden Befehl ‘fail2ban-client’ und erfahren dann, wie Sie IP-Adressen mit Fail2ban sperren und entsperren.

Voraussetzungen

Um mit diesem Leitfaden zu beginnen, stellen Sie sicher, dass Sie:

• Einen Ubuntu 24.04-Server
• Einen Nicht-Root-Benutzer mit Administratorrechten

Fail2ban und UFW (Uncomplicated Firewall) installieren

Fail2ban ist eine IPS (Intrusion Prevention Software), die Server gegen Brute-Force-Angriffe schützt. Es ist standardmäßig in den meisten Linux-Repositorys verfügbar und unterstützt mehrere Firewall-Backends. In diesem Abschnitt installieren Sie Fail2ban und richten dann UFW (Uncomplicated Firewall) ein, die als Firewall-Backend für Fail2ban verwendet wird.

Zuerst führen Sie den folgenden Befehl aus, um Ihr Ubuntu-Paket-Index zu aktualisieren.

sudo apt update

Jetzt installieren Sie die Pakete ‘ fail2ban ‘ und ‘ ufw ‘ mit dem folgenden ‘ apt ‘ Befehl. Geben Sie ‘ Y ‘ ein, um die Installation zu bestätigen.

sudo apt install fail2ban ufw

Nachdem die Installation abgeschlossen ist, führen Sie den folgenden Befehl aus, um den Port für SSH zu öffnen und UFW zu aktivieren. Geben Sie ‘Y’ ein, um zu bestätigen, zu starten und UFW zu aktivieren.

sudo ufw allow OpenSSH  
sudo ufw enable

Sobald UFW aktiviert ist, sehen Sie eine Ausgabe ‘ Firewall ist aktiv und beim Systemstart aktiviert ‘.

Führen Sie als Nächstes den folgenden Befehl aus, um den UFW-Status zu überprüfen. Sie werden sehen, dass UFW ‘ aktiv ‘ mit dem aktivierten ‘ OpenSSH ‘ ist.

sudo ufw status

Zuletzt führen Sie den ‘systemctl’-Befehl unten aus, um den ‘ fail2ban ‘ Dienst zu starten, zu aktivieren und zu überprüfen.

sudo systemctl enable --now fail2ban  
sudo systemctl status fail2ban

Sie können unten sehen, dass der ‘ fail2ban ‘ aktiv (laufend) und aktiviert ist.

Fail2ban konfigurieren

Nach der Installation von fail2ban müssen Sie es konfigurieren, bevor Fail2ban Maßnahmen ergreift (prüfen und blockieren). In diesem Abschnitt ändern Sie die Fail2ban-Konfiguration ‘/etc/fail2ban/jail.local’, richten die globale Konfiguration für ‘ bantime ‘, ‘ maxretry ‘ und ‘ findtime ‘ ein, richten die Standardaktion und das UFW-Firewall-Backend ein und aktivieren dann das ‘ sshd ‘ Gefängnis, um den SSH-Dienst vor Brute-Force-Angriffen zu schützen.

Um zu beginnen, kopieren Sie die Standard-Fail2ban-Konfiguration nach ‘ /etc/fail2ban/jail.local ‘ mit folgendem:

sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

Öffnen Sie die Datei ‘ /etc/fail2ban/jail.local ‘ mit dem folgenden ‘ nano ‘ Editor-Befehl.

sudo nano /etc/fail2ban/jail.local

Fügen Sie Ihr lokales Netzwerk zur Option ‘ ignoreip ‘ hinzu. Jedes Subnetz innerhalb dieser Option wird von fail2ban nicht blockiert.

ignoreip = 127.0.0.1/8 ::1 192.168.1.0/24 192.168.10.20

Passen Sie die Standardkonfiguration für ‘ bantime ‘ (die Zeit, in der die IP-Adresse gesperrt wird), ‘ findtime ‘ (die Dauer zwischen der Anzahl der Fehler vor der Sperraktion) und ‘ maxretry ‘ (die Anzahl der Fehler, damit IP-Adressen gesperrt werden). In diesem Beispiel setzen Sie ‘ bantime ‘ auf ‘ 1 Stunde ‘, ‘ findtime ‘ auf ‘ 10 Minuten ‘ und ‘ maxretry ‘ auf ‘ 5 Mal ‘.

bantime = 1h  
findtime = 10m  
maxretry = 5

Optional können Sie die Standard- ‘ action ‘ auf ‘ %(action_mw)s ‘ ändern, um IP-Adressen zu sperren und eine Benachrichtigung an den Administrator per E-Mail zu senden. Stellen Sie auch sicher, dass Sie die Optionen ‘destmail’ und ‘sender’ ändern.

action = %(action_mw)s  
destemail = [email protected]  
sender = [email protected]

Ändern Sie die Standard- ‘ banaction ‘ auf ‘ ufw ‘. Damit werden IP-Adressen von fail2ban über UFW gesperrt.

banaction = ufw

Ändern Sie nun das Standardgefängnis für ‘ sshd ‘ mit der folgenden Konfiguration. In diesem Beispiel hat das ‘ sshd ‘ Gefängnis benutzerdefinierte Einstellungen für ‘ bantime ‘, ‘ maxretry ‘ und ‘ findtime ‘.

[sshd]  
enabled = true  
maxretry = 3  
findtime = 15m  
bantime = 3h  
  
port = ssh  
logpath = %(sshd_log)s  
backend = %(sshd_backend)s

Speichern Sie die Datei und beenden Sie sie, wenn Sie fertig sind.

Zuletzt führen Sie den ‘systemctl’-Befehl unten aus, um den ‘ fail2ban ‘ Dienst neu zu starten und Ihre Änderungen anzuwenden.

sudo systemctl restart fail2ban

Überprüfen der Fail2ban-Regeln mit fail2ban-client

An diesem Punkt ist der Fail2ban-Dienst aktiv und das ‘sshd’ Gefängnis ist aktiviert. Jetzt lernen Sie den grundlegenden Befehl von ‘fail2ban-client’ zur Überprüfung und Verwaltung der Fail2ban-Installation.

Um sicherzustellen, dass fail2ban läuft, führen Sie den ‘ fail2ban-client ‘ Befehl unten aus.

sudo fail2ban-client ping

Wenn fail2ban läuft, sehen Sie eine Ausgabe ‘ PONG ‘.

Überprüfen Sie jetzt den Status des ‘ sshd ‘ Gefängnisses mit dem folgenden Befehl. Dies zeigt Ihnen die Liste der erkannten und gesperrten IP-Adressen für das ‘ sshd ‘ Gefängnis.

sudo fail2ban-client status sshd

Führen Sie als Nächstes den ‘ fail2ban-client get ‘ Befehl unten aus, um die spezifischen Regeln Ihres fail2ban Gefängnisses zu überprüfen. In diesem Abschnitt überprüfen Sie ‘ bantime ‘, ‘ maxretry ‘, ‘ actions ‘, ‘ findtime ‘ und ‘ ignoreip ‘ aus dem ‘ sshd ‘ Gefängnis.

sudo fail2ban-client get sshd bantime  
sudo fail2ban-client get sshd maxretry  
sudo fail2ban-client get sshd actions  
sudo fail2ban-client get sshd findtime  
sudo fail2ban-client get sshd ignoreip

So sperren und entsperren Sie IP-Adressen mit fail2ban-client

Es ist wichtig zu wissen, wie man IP-Adressen manuell mit ‘fail2ban-client’ sperrt oder entsperrt. Damit können Sie Ihre IP-Adresse leicht von der Sperrliste entfernen. Sie verwenden den ‘fail2ban-client’ Befehl, um IP-Adressen in Fail2ban zu sperren und zu entsperren.

Um IP-Adressen manuell über fail2ban zu sperren, führen Sie den ‘ fail2ban-client ‘ Befehl unten aus. In diesem Fall geht die gesperrte IP-Adresse in das ‘ sshd ‘ Gefängnis.

sudo fail2ban-client set sshd banip IP-ADDRESS

Führen Sie jetzt den folgenden Befehl aus, um die IP-Adresse aus dem fail2ban ‘ sshd ‘ Gefängnis zu entsperren.

Sudo fail2ban-client set sshd unbanip IP-ADDRESS

Zuletzt können Sie den Status des ‘ sshd ‘ Gefängnisses mit dem folgenden Befehl überprüfen. Sie werden sehen, dass die IP-Adresse entfernt wurde.

sudo fail2ban-client status sshd

Fazit

Herzlichen Glückwunsch! Sie haben die Installation von fail2ban auf dem Ubuntu 24.04-Server abgeschlossen. Sie haben auch die grundlegende Konfiguration für die Konfiguration von Fail2ban gelernt, einschließlich der Einrichtung der globalen Konfiguration und des Gefängnisses. Schließlich haben Sie auch die grundlegende Verwendung des ‘fail2ban-client’ Befehls gelernt, um den Fail2ban-Status, den Gefängnisstatus, die Gefängniskonfigurationen zu überprüfen und IP-Adressen manuell zu sperren und zu entsperren.