Konfiguracja fail2ban

fail2ban to skrypt napisany w pythonie, który powoduje dopisywanie regułek blokujących dla adresów IP, które próbują atakować serwer.

Konfiguracja globalna

Konfiguracja globalna to dwa pliki (umieszczone w repozytorium skryptów):

/usr/local/etc/fail2ban/fail2ban.local
/usr/local/etc/fail2ban/jail.local

Jail

Nie należy odnosić tego do mechanizmu jail(8). Jest to raczej sparowanie akcji oraz sposobu filtrowania wraz z ustawieniami, jaki plik logu należy przeglądać.

Akcje

Akcje (czyli co robić, jeżeli wystąpi zdarzenie) zapisane są w podkatalogu action.d/. Każda usługa (np. bsd-ipfw) jest zapisany w stosownym pliku .conf.

Filtry

Co należy filtrować (REGEXPy), których należy poszukiwać w logach, aby uruchomić akcję banowania.

Poprawki dla FreeBSD

Niestety fail2ban powstał głównie z myślą o Linuxie oraz iptables. Dlatego też trzeba odpowiednio połatać konfigurację specyficznie dla FreeBSD. Oto różnice (patche). Całość została umieszczona w repozytorium skryptów, tak więc po zainstalowaniu odpowiedniego Makefile można wydać polecenie:

cd /usr/local/etc/fail2ban/
make patch start

Uruchomienie demona

Przygotowanie katalogów oraz pliku /etc/rc.conf:

mkdir -p /var/log/fail2ban/ /var/db/fail2ban
echo 'fail2ban_enable="YES"' >> /etc/rc.conf
echo 'fail2ban_flags="-x"' >> /etc/rc.conf

Właściwe uruchomienie:

cd /usr/local/etc/fail2ban/
make start

oraz sprawdzenie poprawności kopnfiguracji:

cd /usr/local/etc/fail2ban/
make show

# wylistowanie zawartości table(22)
make list

fail2ban dla jails

Mechanizm jail(8) nie pozwala, aby reguły firewalla były uruchamiania wewnątrz jail. Dlatego też, fail2ban należy uruchomić na głównym host ("serwerze matce"). Należy tylko wziąć pod uwagę odpowiednie pliki do monitorowania. Np.:

# definicja monitorowania SSHd
#
[sshd-ipfw]
enabled  = true
filter   = sshd
action   = ipfw[localhost=31.179.155.109]
logpath  = /usr/jails/smtpd.nss.local/var/log/auth.log
ignoreip = 127.0.0.1 ...

-  ⇤ ← Wersja 5 z 2016-11-19 19:03:15 → 
  Rozmiar: 0
  Edytor: wtps0n
  Komentarz: Ponowne utworzenie z szablonu
+   ← Wersja 6 z 2016-11-19 19:17:01 → ⇥
  Rozmiar: 3283
  Edytor: wtps0n
  Komentarz: *** (re)KREACJA ***
-Usunięcia zostały oznaczone w ten sposób.
+Dodatki zostały oznaczone w ten sposób.
 Linia 1:
+#format wiki
#language pl

<<Action(print, Wydrukuj tę dokumentację)>>` `<<Action(SlideShow, Pokaż jako slajdy)>><<BR>>
<<Navigation(children)>>
<<TableOfContents()>>

= Konfiguracja fail2ban =

[[FreshPorts:security/py-fail2ban|fail2ban]] to skrypt napisany w [[http://www.python.org/|pythonie|target="_blank"]], który powoduje dopisywanie regułek blokujących dla adresów IP, które próbują atakować serwer.

== Konfiguracja globalna ==
Konfiguracja globalna to dwa pliki (umieszczone w [[UniMaster|repozytorium skryptów]]):
{{{#!highlight bash numbers=off
/usr/local/etc/fail2ban/fail2ban.local
/usr/local/etc/fail2ban/jail.local
}}}

== Jail ==
Nie należy odnosić tego do mechanizmu jail(8). Jest to raczej sparowanie akcji oraz sposobu filtrowania wraz z ustawieniami, jaki plik logu należy przeglądać.

== Akcje ==
Akcje (czyli co robić, jeżeli wystąpi zdarzenie) zapisane są w podkatalogu `action.d/`. Każda usługa (np. bsd-ipfw) jest zapisany w stosownym pliku `.conf`.

== Filtry ==
Co należy filtrować (REGEXPy), których należy poszukiwać w logach, aby uruchomić akcję ''banowania''.

== Poprawki dla FreeBSD ==

Niestety [[FreshPorts:security/py-fail2ban|fail2ban]] powstał głównie z myślą o Linuxie oraz iptables. Dlatego też trzeba odpowiednio połatać konfigurację specyficznie dla [[https://www.freebsd.org|FreeBSD|target="_blank"]]. Oto różnice (patche). Całość została umieszczona w [[UniMaster|repozytorium skryptów]], tak więc po zainstalowaniu odpowiedniego `Makefile` można wydać polecenie:
{{{#!highlight bash numbers=off
cd /usr/local/etc/fail2ban/
make patch start
}}}

== Uruchomienie demona ==

Przygotowanie katalogów oraz pliku `/etc/rc.conf`:
{{{#!highlight bash numbers=off
mkdir -p /var/log/fail2ban/ /var/db/fail2ban
echo 'fail2ban_enable="YES"' >> /etc/rc.conf
echo 'fail2ban_flags="-x"' >> /etc/rc.conf
}}}

Właściwe uruchomienie:
{{{#!highlight bash numbers=off
cd /usr/local/etc/fail2ban/
make start
}}}

oraz sprawdzenie poprawności kopnfiguracji:
{{{#!highlight bash numbers=off
cd /usr/local/etc/fail2ban/
make show

# wylistowanie zawartości table(22)
make list
}}}

= fail2ban dla jails =
Mechanizm jail(8) nie pozwala, aby reguły firewalla były uruchamiania wewnątrz jail. Dlatego też, [[FreshPorts:security/py-fail2ban|fail2ban]] należy uruchomić na głównym ''host'' ("''serwerze matce''"). Należy tylko wziąć pod uwagę odpowiednie pliki do monitorowania. Np.:

{{{#!highlight ini numbers=off
# definicja monitorowania SSHd
#
[sshd-ipfw]
enabled  = true
filter   = sshd
action   = ipfw[localhost=31.179.155.109]
logpath  = /usr/jails/smtpd.nss.local/var/log/auth.log
ignoreip = 127.0.0.1 ...
}}}

{{{#!wiki comment
= Źródła w sieci internet =
 * [[url1||target="_blank"]]
 * [[url2||target="_blank"]]
 * [[url3||target="_blank"]]
 * [[url4||target="_blank"]]
}}}

{{{#!wiki comment
Gdy trzeba dołączyć inną (pod)stronę
https://moinmo.in/HelpOnMacros/Include
https://moinmo.in/HelpOnParsers
<<Include(pagename, heading, level, from="regex", to="regex", sort=ascending|descending, items=n, skipitems=n, titlesonly, editlink)>>
}}}

----
{i} ` `<<GetVal(SlownikNewBsd,adm-podpis)>>

Różnice "FailTwoBan"