Anleitung - Fail2ban auf Centos 7

Grundsätzlich ist Fail2ban in den Paketen von Centos enthalten und kann über YUM installiert werden. Leider gibt es einen Bug in allen Versionen < 0.10, weshalb bei einem Neustart des Programms alle bereits gesendeten Informationen über blockierte IP-Adressen, erneut gesendet werden. Bis die Fail2ban Pakete in den Centos Repositories auf die Version >= 0.10 aktualisiert werden, empfehle ich die Installation des Programms aus dem Github der Entwickler.

Troubleshooting - Fail2ban erneute E-Mail Benachrichtigungen auf Centos 7

Installation

Siehe: Troubleshooting - Fail2ban erneute E-Mail Benachrichtigungen auf Centos 7

Fehlgeschlagene Logins anzeigen

Diese Befehlskette gibt eine Lister der IP-Adressen mit fehlgeschlagenen Logins inklusive der Anzahl der Versuche aus.

grep "Failed password" /var/log/secure | awk '{print $11}' | uniq -c | sort -nr

Siehe auch: aureport

Fail2ban Jail für die verschiedenen Services

Die Filter werden im Ordner /etc/fail2ban/jail.d/ abgelegt.

SSH

/etc/fail2ban/jail.d/ssh.conf

[sshd]

enabled = true
filter  = sshd
logpath  = /var/log/secure
action = firewallcmd-allports

         sendmail-whois[name=sshd, dest=empfänger@yourdomain.com]
bantime = -1

IMAP - Dovecot

/etc/fail2ban/jail.d/dovecot.conf

[dovecot]

enabled = true
logpath = /var/log/maillog
action = firewallcmd-allports

         sendmail-whois[name=dovecot, dest=empfänger@yourdomain.com]
maxretry = 5

SMTP - Postfix

/etc/fail2ban/jail.d/postfix.conf

[postfix-sasl]

enabled = true
logpath = /var/log/maillog
action = firewallcmd-allports

         sendmail-whois[name=postfix-sasl, dest=empfänger@yourdomain.com]
maxretry = 5
bantime  = -1

OpenVPN

Für OpenVPN müssen wir zunächst einen eigenen Filter erstellen.

/etc/fail2ban/filter.d/openvpn.local

# Fail2Ban filter for OpenVPN

[Definition]

failregex = ^ TLS Error: incoming packet authentication failed from \[AF_INET\]<HOST>:\d+$
            ^ <HOST>:\d+ Connection reset, restarting
            ^ <HOST>:\d+ TLS Auth Error
            ^ <HOST>:\d+ TLS Error: TLS handshake failed$
            ^ <HOST>:\d+ VERIFY ERROR

ignoreregex =

Danach können wir wie gewohnt die Jail-Konfigurationsdatei erstellen.

/etc/fail2ban/jail.d/openvpn.conf

[openvpn]

enabled  = true
filter   = openvpn
logpath  = /var/log/openvpn.log
action = firewallcmd-allports
         sendmail-whois[name=openvpn, dest=empfänger@yourdomain.com]
maxretry = 3

Quelle

Stop messages when IP's are re-banned on startup

https://github.com/fail2ban/fail2ban/issues/2129

Configure Fail2Ban for permanent and persistent bans

https://arno0x0x.wordpress.com/2015/12/30/fail2ban-permanent-persistent-bans/

HOWTO fail2ban with OpenVPN

https://www.fail2ban.org/wiki/index.php/HOWTO_fail2ban_with_OpenVPN