企业官网建设流程全解析

Fail2Ban 的核心价值就在于精细化配置，包含原理拆解、文件结构、自定义规则、多服务防护、排错的超详细指南，全程适配 Ubuntu 系统。

一、Fail2Ban 核心架构（先懂原理再配）

Fail2Ban 由 3 个核心组件协同工作，理解这个能避免配置时踩坑：

1. Jail（规则容器）
   • 是 Fail2Ban 的核心配置单元，一个 Jail 对应一个防护场景（如 SSH 防护、Apache 防护）。
   • 每个 Jail 包含监控日志路径、匹配规则、封禁参数三部分。
2. Filter（过滤规则）
   • 本质是正则表达式集合，用来从日志中识别恶意行为（如 SSH 密码错误、Web 404 爆破）。
   • 存放路径：/etc/fail2ban/filter.d/，文件后缀为.conf。
3. Action（执行动作）
   • 触发规则后要执行的操作，默认是调用防火墙封禁 IP，也可以自定义（如发送邮件告警）。
   • 存放路径：/etc/fail2ban/action.d/，常用动作是iptables-multiport（多端口封禁）。

二、Ubuntu 下 Fail2Ban 完整安装与初始化

1. 安装与依赖检查

bash

运行

# 安装 Fail2Ban sudo apt update && sudo apt install fail2ban -y # 检查依赖（确保 iptables/ufw 已安装，Ubuntu 默认有） sudo apt install iptables ufw -y # 启动并设置开机自启 sudo systemctl start fail2ban sudo systemctl enable fail2ban # 验证状态（显示 active (running) 则正常） sudo systemctl status fail2ban

2. 配置文件目录结构详解

Fail2Ban 的配置文件遵循"主配置 + 自定义配置"原则，永远不要直接修改默认文件，而是在jail.d目录新建自定义配置覆盖默认值：

plaintext

/etc/fail2ban/ ├── fail2ban.conf # 全局主配置（日志级别、进程 PID 等，一般不修改） ├── jail.conf # 默认规则模板（包含 SSH、Apache 等，仅作参考） ├── jail.d/ # 自定义规则目录（优先级最高，推荐放这里） │ ├── ssh.conf # 你的 SSH 防护配置 │ └── apache.conf # 你的 Web 防护配置 ├── filter.d/ # 过滤规则目录（正则表达式） │ ├── sshd.conf # SSH 日志匹配规则 │ └── apache-auth.conf # Apache 认证失败匹配规则 └── action.d/ # 动作脚本目录（封禁/告警等） └── iptables-multiport.conf # 多端口封禁动作

三、核心配置参数详解（必懂）

不管是配置 SSH 还是 Web 防护，都离不开这些核心参数，下面逐一解释：

四、实战配置 1：SSH 深度防护（最常用）

SSH 是服务器最容易被暴力破解的入口，下面配置严格的防护规则，并加入邮件告警：

1. 新建 SSH 自定义配置

bash

运行

sudo nano /etc/fail2ban/jail.d/sshd.conf

粘贴以下内容（参数已优化，适合生产环境）：

ini

[sshd] # 基础防护参数 enabled = true port = ssh # 等价于 22 端口 filter = sshd logpath = /var/log/auth.log # SSH 日志默认路径 maxretry = 3 # 3 次密码错误就封禁 bantime = 86400 # 封禁 24 小时 findtime = 900 # 15 分钟内统计失败次数 ignoreip = 127.0.0.1 192.168.1.0/24 # 白名单：本地+内网 # 高级配置：启用邮件告警（需先安装 postfix） action = %(action_mw)s # action_mw = 封禁 IP + 发送邮件（含日志） sender = fail2ban@your-server.com # 发件人邮箱 destemail = your-email@xxx.com # 收件人邮箱 mta = sendmail # 邮件代理，Ubuntu 用 sendmail 即可

2. 安装邮件服务（可选，用于告警）

bash

运行

# 安装 sendmail sudo apt install sendmail -y # 重启 Fail2Ban 使配置生效 sudo systemctl restart fail2ban

3. 验证 SSH 防护是否生效

bash

运行

# 查看 sshd 规则状态（会显示已封禁 IP 列表） sudo fail2ban-client status sshd # 测试：故意输错 3 次 SSH 密码，再查看状态，会看到自己的 IP 被封禁

五、实战配置 2：Web 服务防护（Apache/Nginx）

针对 Web 服务的密码爆破、恶意扫描、SQL 注入探测等行为，配置 Fail2Ban 防护：

1. Apache 防护配置

bash

运行

sudo nano /etc/fail2ban/jail.d/apache.conf

粘贴以下内容，包含 3 个防护场景：

ini

# 场景1：Apache 登录认证失败（如后台登录密码错误） [apache-auth] enabled = true port = http,https filter = apache-auth logpath = /var/log/apache2/*error.log maxretry = 3 bantime = 3600 findtime = 600 # 场景2：Apache 恶意爬虫/扫描（如频繁 404 请求） [apache-badbots] enabled = true port = http,https filter = apache-badbots logpath = /var/log/apache2/*access.log maxretry = 1 # 只要匹配到恶意爬虫就封禁 bantime = 86400 ignoreip = 127.0.0.1 192.168.1.0/24 # 场景3：Apache SQL 注入探测（匹配日志中的 union/select 等关键词） [apache-sql] enabled = true port = http,https filter = apache-sql # 这个过滤规则需要自己新建 logpath = /var/log/apache2/*access.log maxretry = 1 bantime = 86400

2. 自定义 SQL 注入过滤规则

上面的apache-sql过滤规则是自定义的，需要在filter.d目录新建文件：

bash

运行

sudo nano /etc/fail2ban/filter.d/apache-sql.conf

粘贴正则规则（匹配常见 SQL 注入关键词）：

ini

[Definition] # 正则匹配日志中包含 union/select/insert 等关键词的请求 failregex = ^<HOST> -.*"(GET|POST).*(union|select|insert|delete|drop).*" ignoreregex = # 忽略的正则，留空即可

3. Nginx 防护配置（替换 Apache 即可）

Nginx 的配置和 Apache 类似，只需修改filter和logpath：

ini

[nginx-auth] enabled = true port = http,https filter = nginx-auth logpath = /var/log/nginx/*error.log maxretry = 3 bantime = 3600

六、Fail2Ban 常用命令（运维必备）

七、常见问题与排错指南

1. 问题 1：Fail2Ban 启动失败

   • 排查方法：查看日志sudo tail -f /var/log/fail2ban.log，通常是配置文件语法错误（如少逗号、括号）。
   • 解决：检查jail.d目录下的.conf文件，确保参数格式正确。

2. 问题 2：封禁后 IP 仍能访问

   • 原因：防火墙未启动，或 Fail2Ban 动作与防火墙不兼容。
   • 解决：启动 ufw 防火墙sudo ufw enable，并确保 action 使用iptables-multiport。

3. 问题 3：误封自己的 IP

   • 解决：立即解封sudo fail2ban-client set sshd unbanip 你的IP，并将 IP 添加到ignoreip白名单。

4. 问题 4：邮件告警不生效

   • 原因：未安装 sendmail，或邮箱配置错误。
   • 解决：安装 sendmailsudo apt install sendmail -y，并检查sender和destemail参数。

八、进阶技巧：永久封禁恶意 IP

如果想对频繁攻击的 IP 永久封禁，只需将bantime = -1，并配合fail2ban的持久化配置：