✅ Kako zaštititi SSH s fail2ban na CentOS -u

Sadržaj

Poslužitelji ne postoje izolirano, a većina je instalirana i prilagođena samo najosnovnijom konfiguracijom SSH -a može biti osjetljiva na napade grube sile.
Alat fail2ban pruža način za automatsku zaštitu poslužitelja od sumnjivih napada i zlonamjernog softvera.
Program radi tako što skenira datoteke dnevnika i pomaže u reagiranju na radnje poput ponovljenih neuspjelih pokušaja povezivanja.
Počet ćemo instaliranjem fail2ban
Budući da fail2ban nije dostupan u CentOS -u, moramo početi preuzimanjem spremišta:

rpm- Uvh http://dl.fedoraproject.org/pub/epel/6/x86_64/epel-release-6-8.noarch.rpm

Zatim iz naredbenog retka instaliramo fail2ban sa sljedećom naredbom

yum install fail2ban

Kopiramo konfiguracijsku datoteku
Zadana konfiguracijska datoteka fail2ban lokacija je u /etc/fail2ban/jail.conf. Međutim, na toj se datoteci ne smije raditi s konfiguracijom, već je potrebno napraviti njenu lokalnu kopiju za sigurnosnu kopiju.

cp / etc / fail2ban / jail.conf / etc / fail2ban / jail.local

Nakon što se datoteka kopira, možemo unijeti sve promjene u novu datoteku jail.local. Mnoge moguće usluge koje bi mogle zahtijevati zaštitu nalaze se u ovoj datoteci već unaprijed konfigurirane. Svaki je u svom odjeljku, konfiguriran i isključen.
Zadane postavke postavite na Jail.Local
Otvorite novu konfiguracijsku datoteku fail2ban:

 vi / etc / fail2ban / jail.local

Prvi odjeljak zadanih postavki pokriva osnovna pravila kojih će se fail2ban pridržavati. Ako želite konfigurirati prilagođeniju zaštitu za svoj virtualni privatni poslužitelj, možete prilagoditi pojedinosti svakog odjeljka.
U zadanim odjeljcima možete vidjeti neke pojedinosti poput sljedećih.

 [DEFAULT] # "Ignoreip" može biti IP adresa, CIDR maska ili DNS domaćin. Fail2ban neće # zabraniti niz koji odgovara adresi na ovom popisu. Više adresa može se #definirati razdjelnikom. ignoreip = 127.0.0.1 # "Bantime" je broj sekundi kojima je host zabranjen pristup ili mu je zabranjen pristup. bantime = 3600 # Vrijeme u sekundama koje će host biti blokiran ako izvrši najveći broj neuspjelih upita findtime = 600 # "Maxretry" je broj dopuštenih grešaka prije zabrane. maxretry = 3

Unesite svoju IP adresu na osobnu liniju ignoreip. Svaku adresu možete odvojiti razmakom. IgnoreIP će na popis dopuštenih staviti IP adrese i pobrinuti se da ne budu izostavljeni iz vašeg VPS -a. Uključivanjem vaše adrese osigurat ćete da se slučajno ne zabranite s vlastitog virtualnog privatnog poslužitelja.
Sljedeći korak je odlučivanje o vremenu zabrane, broju sekundi koje host blokira s poslužitelja ako krše bilo koje pravilo. To je osobito korisno u slučaju robota, kojima će, nakon što je pristup zabranjen, jednostavno prijeći na sljedeću metu. Zadana vrijednost je 10 minuta, ako želite, ovo možete povećati na sat vremena.
Maxretry je broj netočnih pokušaja pristupa koje domaćin može imati prije nego što su mu pokušaji pristupa zabranjeni za vrijeme zabrane.
Findtime se odnosi na vrijeme koje domaćin mora unijeti zadanu vrijednost od 10 minuta, što znači da ako se pokuša pristupiti poslužitelju poslužitelju i ne uspije, prijaviti se više od maksimalnog iznosa 3 puta u 10 minuta, vaš IP će biti blokiran i nećete mu moći pristupiti.
Konfigurirajte odjeljak ssh - iptables u Jail.Local
Odjeljak s detaljima o SSH -u nalazi se samo malo dalje u postavkama, a već je instaliran i aktiviran. Iako u ovom odjeljku ne biste trebali zahtijevati nikakve promjene, dolje možete pronaći pojedinosti o svakom retku.

 [ssh - iptables] omogućeno = pravi filtar = sshd radnja = iptables [ime = SSH, port = ssh, protokol = tcp] sendmail -whois [name = SSH, dest = root, [email protected]] logpath = / var / log / secure maxretry = 5

Omogućeno jednostavno se odnosi na činjenicu da je uključena zaštita SSH -a. Možete ga isključiti riječju false.
Filter, koji prema zadanim postavkama koristite za sshd, odnosi se na konfiguracijsku datoteku koja sadrži pravila koja fail2banuses koriste za pronalaženje podudaranja. Naziv je skraćena verzija nastavka datoteke. Na primjer, sshd se odnosi na /etc/fail2ban/filter.d/sshd.conf
Radnja, opisuje korake koje će fail2ban poduzeti da zabrani odgovarajuću IP adresu. Poput unosa filtra, svaka se radnja odnosi na datoteku unutar direktorija action.d. Zadana radnja zabrane, iptable, može se pronaći u /etc/fail2ban/action.d/iptables.conf
U iptables -ima možete dodatno prilagoditi fail2ban. Na primjer, ako koristite nestandardni priključak, možete promijeniti broj porta unutar zagrada na visinu, čineći liniju gledanja istom obitelji:
na primjer . iptables [name = SSH, port = 30000, protocol = tcp]
I na ovoj liniji možete promijeniti protokol iz TCP u UDP, ovisno o tome koji želite nadzirati fail2ban.
Ako imate poslužitelj pošte konfiguriran na vašem virtualnom privatnom poslužitelju, fail2ban vam može poslati e -poruku kada je IP adresa zabranjena. U slučaju zaobilaženja, sendmail-whois se odnosi na radnje smještene u / etc / fail2ban / action.d / sendmail-whois.conf.
log path odnosi se na lokaciju dnevnika koju će fail2ban pratiti.
Linija maksimalnog pokušaja u odjeljku SSH ima istu definiciju kao zadana opcija. Međutim, ako je usluga omogućena i želite imati određene vrijednosti za svaku od njih, ovdje možete postaviti novi maksimalni iznos ponovnog pokušaja za SSH.
Ponovo pokrenite fail2ban
Nakon što promijenite konfiguraciju fail2ban, uvijek ponovno pokrenite fail2ban: