fail2ban

Fail2ban 暴力破解防护

补充说明

fail2ban 监控日志中的失败登录，按规则临时封禁来源 IP。它通过 jail 配置过滤器、动作和阈值，常与 iptables/nftables/firewalld 配合。

常用示例

fail2ban-client status
fail2ban-client status sshd
fail2ban-client set sshd banip 203.0.113.10
fail2ban-client set sshd unbanip 203.0.113.10
fail2ban-client reload
fail2ban-client -t
fail2ban-regex /var/log/auth.log /etc/fail2ban/filter.d/sshd.conf

jail.local：

[DEFAULT]
bantime = 1h
findtime = 10m
maxretry = 5
ignoreip = 127.0.0.1/8 10.0.0.0/8

[sshd]
enabled = true
port = ssh
logpath = %(sshd_log)s
backend = systemd

易错点与排错

• 日志路径和 backend 不匹配时规则永远不会触发；先看 status 的失败计数。
• 封禁动作要与防火墙匹配；装了 firewalld 却用 iptables 动作可能无效。
• ignoreip 必须包含管理网段和跳板机，避免把自己锁在外面。
• findtime/maxretry 太严会误封 NAT 后的正常用户。
• 容器/云环境要确认日志可读、动作有权限；host 网络和 iptables 权限常出问题。
• fail2ban 只封单 IP，不防分布式暴力破解；配合密钥登录和限流。
• 定期检查 banned IP 和误封，保留解封流程。

相关命令

• fail2ban-client — 管理
• fail2ban-regex — 测试过滤器
• iptables / nft — 封禁动作