Jail (в fail2ban)

Почему на одном сервере обычно работает несколько jail одновременно

Каждый jail следит за своим лог-файлом и сервисом, поэтому сервер, открывающий SSH, веб-приложение и почту, может одновременно запускать три отдельных jail, каждый со своими порогами бана, настроенными под нормальный трафик этого конкретного сервиса.

Что идёт не так при неправильной настройке jail

Jail, указывающий на неверный путь к лог-файлу, или использующий регулярное выражение фильтра, не соответствующее реальному формату лога на конкретном дистрибутиве, молча не срабатывает, оставляя оператора думать, что он защищён, хотя банов на самом деле не происходит.

Как шаг за шагом писать и проверять jail, показано здесь: руководство по настройке fail2ban.

Устройство определения jail

Jail это раздел конфигурации, который связывает источник логов с фильтром. Составные части определены на странице руководства jail.conf(5). Параметр filter называет файл в /etc/fail2ban/filter.d/ без расширения, и указать можно только один фильтр. logpath перечисляет отслеживаемые лог-файлы и допускает шаблоны. journalmatch сужает выборку записей журнала и применяется только в backend systemd и auto. Сам backend может быть auto, pyinotify, polling или systemd, а в jail можно указать несколько действий, каждое на отдельной строке. Собственный jail для вашего приложения может выглядеть так:

# /etc/fail2ban/jail.d/myapp.local
[myapp-login]
enabled  = true
filter   = myapp-login
logpath  = /var/log/myapp/*.log
maxretry = 3
bantime  = 2h

Соответствующий фильтр myapp-login.conf должен лежать в filter.d. Конфигурация читается в строгом порядке: jail.conf, затем jail.d/*.conf, затем jail.local, затем jail.d/*.local, поэтому файл .local всегда переопределяет поставляемые значения. Имя фильтра может нести и параметры в скобках, например форма sshd[mode=aggressive] из страницы руководства fail2ban-regex; какие режимы поддерживает установленный фильтр, смотрите в комментариях его файла.

Повседневная работа с отдельным jail

Команды, которые понадобятся после запуска jail, описаны на странице fail2ban-client(1):

sudo fail2ban-client status sshd
sudo fail2ban-client get sshd banip --with-time
sudo fail2ban-client banned 203.0.113.9
sudo fail2ban-client set sshd unbanip 203.0.113.9
sudo fail2ban-client get sshd ignoreip

Команда status принимает необязательный вариант вывода (basic, cymru, short или stats). banned без аргументов перечисляет все jail, где сейчас есть баны, а с адресом показывает, какие jail его заблокировали, и этим сразу отвечает на вопрос «кто заблокировал клиента». unban --all снимает баны во всех jail и в базе одним действием, поэтому оставьте её для экстренных случаев, а для одного адреса используйте unbanip. Исключить адрес из банов можно и на лету командой set sshd addignoreip.

Считайте команды времени выполнения временными, а всё постоянное записывайте в jail.local, чтобы файл конфигурации оставался источником истины. После изменения убедитесь командой status, что jail по-прежнему считает совпадения. Готовые jail для SSH и nginx показаны в руководстве по настройке, а как получать оповещение, когда jail перестал банить, объясняет руководство по мониторингу.

Связанные термины: fail2ban, Intrusion prevention, Атака подбором.