Fail2Ban是一款实用软件，可以监视你的系统日志，然后匹配日志的错误信息（正则式匹配）执行相应的屏蔽动作。
本次操作是因为博客主机经常有扫描尝试登陆SSH服务，所以想利用Fail2Ban联动防火墙来阻止恶意扫描和密码猜测等恶意***行为。

配置发送邮件功能

不需要安装第三方的邮件工具，直接使用系统自带的mail即可。

这里使用163的邮件来做为服务器上的发邮件服务，通过它把警告发送到指定的企业邮箱。

1、修改配置文件/etc/mail.rc 添加以下内容：
因为腾讯云无法访问到smtp.163.com 的25端口，所以只能使用465的ssl协议来发送邮件了。

未使用ssl协议时的配置：

set from=邮件地址@163.comset smtp=smtp.163.comset smtp-auth-user=邮件地址@163.comset smtp-auth-password=e8456ds78c23set smtp-auth=login

使用ssl协议来发邮件的配置：

set ssl-verify=ignoreset nss-config-dir=/etc/pki/nssdbset from=邮件地址@163.comset smtp=smtps://smtp.163.com:465set smtp-auth-user=邮件地址@163.comset smtp-auth-password=e8456ds78c23set smtp-auth=login

说明:

• smtp-auth-password 并不是邮箱的密码而是一个客户端授权，当然利用授权码就等同密码差不多可以实现发邮件认证了。

• SSl验证跟普通的难证就差别在证书和smtps协议，还有就是端口变成了465

发邮件测试：

echo "邮件内容".|mail -v -s "邮件标题" service@58jb.com

完成上面的邮件发送配置后，这样在接下来的邮件提醒功能才能完成，当然如果你不想要提示，可以直接跳过上面的邮件配置。

Fail2Ban安装

先安装EPLP源：

yum -y install epel-release

为了方便直接使用fail2ban-all安装

yum -y install fail2ban-all

============================================================================================================================================================Package                                     Arch                            Version                                    Repository                     Size
============================================================================================================================================================
Installing: fail2ban-all                                noarch                          0.9.7-1.el7                                epel                           11 kInstalling for dependencies: fail2ban-hostsdeny                          noarch                          0.9.7-1.el7                                epel                           12 k fail2ban-mail                               noarch                          0.9.7-1.el7                                epel                           15 k fail2ban-shorewall                          noarch                          0.9.7-1.el7                                epel                           12 k gamin                                       x86_64                          0.1.10-16.el7                              os                            128 k gamin-python                                x86_64                          0.1.10-16.el7                              os                             34 k perl-Digest                                 noarch                          1.17-245.el7                               os                             23 k perl-Digest-SHA                             x86_64                          1:5.85-4.el7                               os                             58 k python-inotify                              noarch                          0.9.4-4.el7                                os                             49 k shorewall                                   noarch                          5.1.10.2-1.el7                             epel                          636 k shorewall-core                              noarch                          5.1.10.2-1.el7                             epel                           82 k whois                                       x86_64                          5.1.1-2.el7                                os                             72 kTransaction Summary
============================================================================================================================================================Install  1 Package (+11 Dependent packages)Total download size: 1.1 M
Installed size: 4.1 M
Is this ok [y/d/N]:

说明：

因为使用fail2ban安装时会只会安装fail2ban包；而使用fail2ban-all安装时就会把邮件提醒的工具也安装上。就是mail-whois.conf相关的一些配置文件。

配置Fail2Ban

进入/etc/fail2ban目录：

在目录/etc/fail2ban/jail.d/下添加一个配置文件sshd.local，这里不对文件修改/etc/fail2ban/jail.conf所以自己添加一新的配置文件。

[root@VM_0_5_centos jail.d]# cat /etc/fail2ban/jail.d/sshd.local[DEFAULT]ignoreip = 127.0.0.1/8bantime  = 300findtime  = 60maxretry = 5backend = systemddestemail = 接收报警的邮件地址sender = 发送者邮件地址mta = mailprotocol = tcpaction = %(action_mw)s  //这里是有变动的[sshd]enabled = trueport    = ssh端口,根据情况修改logpath = %(sshd_log)sbackend = %(sshd_backend)s

配置fail2ban发邮件提醒

以下是我配置的邮件格式：

[root@VM_0_5_centos jail.d]# egrep -v "^#|^$" /etc/fail2ban/action.d/mail-whois.conf[INCLUDES]before = mail-whois-common.conf[Definition]actioncheck =
actionban = printf %%b "警告!!!\n***者IP：<ip>\n被***机器名：`uname -n` \n被***机器IP：`/bin/curl ifconfig.co` \n***服务：<name> \n***次数：<failures> 次 \n***方法：暴力破解，尝试弱口令.\n该IP：<ip>已经被Fail2Ban加入防火墙黑名单,屏蔽时间5分钟.\n\n以下是***者 <ip>信息 :\n`/bin/curl http://ip.taobao.com/service/getIpInfo.php?ip=<ip>`\n\nFail2Ban邮件提醒\n\n "|/bin/mailx -s "服务器:<name>服务疑似遭到<ip>暴力***." <dest>
actionunban =[Init]name = default
dest = root

说明

• 通过curl ifconfig.co获取服务器的外网IP地址，方便知道哪台机报出来的告警。

• 通过curl http://ip.taobao.com/service/getIpInfo.php?ip=<ip>淘宝的IP查询获取***者的一些IP信息。

修改完后启动服务：

systemctl enable fail2ban.servicesystemctl start fail2ban.service

如果启动的时候有异常可以，修改配置文件/etc/fail2ban/fail2ban.conf开启DEBUG日志方便排查。第24行左右loglevel = DEBUG ;一般正常情况下使用INFO格式日志即可以了。

尝试使用一台机器对本机的SSH尝试登陆，失败5次后就会把它加入到防火墙规则里，其实在第四次密码错误后，到第五次输密码时就已经发邮件了。

查看防火墙规则：[默认生成一个f2b-sshd表]

[root@VM_0_5_centos action.d]# iptables -vnL f2b-sshd
Chain f2b-sshd (1 references)pkts bytes target     prot opt in     out     source               destination         13  1488 REJECT     all  --  *      *       101.201.38.40        0.0.0.0/0            reject-with icmp-port-unreachable185 17268 RETURN     all  --  *      *       0.0.0.0/0            0.0.0.0/0

最后上个图，手机上收到的邮件提示：

文章转载自：封尘网