Fail2Ban 설치 및 설정

Fail2Ban이란?

로그 파일을 스캔하여 로그인 시도를 많이 실패하는 IP주소를 차단하는 프로그램 (브루트포스 공격 방어)
/var/log/auth.log를 필터링하여 ssh 접속 감시

 

1. Fail2Ban 설치

sudo apt update
sudo apt install fail2ban

 

2. 기본 설정 파일 만들기

sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

 

3. jail.local 파일 편집

sudo nano /etc/fail2ban/jail.local

[sshd]
enabled = true
port    = ssh
logpath = /var/log/auth.log
filter  = sshd
maxretry        = 5
bantime = 600

[nginx-http-auth]
enabled = true
filter  = nginx-http-auth
port    = http,https
logpath = /var/log/nginx/error.log
maxretry        = 5
bantime = 600

 

 

4. 서비스 시작

sudo systemctl start fail2ban

 

5. 부팅 시 자동 시작 설정

sudo systemctl enable fail2ban

 

6. 상태 확인

sudo systemctl status fail2ban

 

7. 로그 확인

sudo tail -f /var/log/fail2ban.log

 

 

테스트 결과 = 성공!

 

차단한 걸 풀어주고 싶다면?

1. 차단된 IP 확인

sudo fail2ban-client status
sudo fail2ban-client status sshd

 

2. 차단 해제

sudo fail2ban-client set <jail 이름> unbanip <IP 주소>
ex) sudo fail2ban-client set sshd unbanip 192.168.1.100

 

3. 해제된 IP 확인

sudo fail2ban-client status sshd

 

 

차단 목록을 보고 싶다면?

1. 전체 상태 확인

sudo fail2ban-client status

2. 특정 jail 확인

sudo fail2ban-client status <jail 이름>
ex) sudo fail2ban-client status sshd