Maak herhaalde loginpogingen minder nuttig

Fail2ban leest authenticatiefouten en vraagt een firewallbackend om herhaalde bronnen te blokkeren. Het helpt bij herhaalde pogingen; het vervangt geen sleutelauthenticatie of systeemupdates. Controleer of SSH-fouten het journaal of logbestand bereiken dat de jail zal lezen.

Op een onderhouden Debian of Ubuntu host kan de pakketbeheerder het installeren. Controleer de standaardinstellingen en backend voordat je een aangepaste jail inschakelt. Andere distributies kunnen een andere pakketrepository of firewallactie gebruiken.

sudo apt update
sudo apt install fail2ban

Maak een override in /etc/fail2ban/jail.d/sshd.local. Kom overeen met de werkelijke SSH-poort. Dit voorbeeld leest het systemd-journaal; gebruik een geschikte backend en logpad als het systeem een ander log schrijft. Voeg een vertrouwd beheeradres pas toe aan ignoreip nadat u het hebt geverifieerd.

[sshd]
enabled = true
port = 22
backend = systemd
maxretry = 5
findtime = 10m
bantime = 1h
ignoreip = 127.0.0.1/8 ::1

Start de service pas nadat je het bestand hebt bekeken en een herstelsessie open hebt gehouden. Inspecteer de service- en jail-uitvoer; een actieve daemon zonder overeenkomende gebeurtenissen biedt mogelijk geen bescherming.

sudo fail2ban-client -t
sudo systemctl enable --now fail2ban
sudo fail2ban-client status
sudo fail2ban-client status sshd

Gebruik een aparte gecontroleerde testbron om detectie, ban en vervaldatum te verifiëren. Controleer IPv6 en de effectieve firewallregels. Als een vertrouwde bron onterecht wordt geband, gebruik dan de behouden console om die specifieke ban te verwijderen en herstel daarna het beleid; schakel niet alle bescherming uit om één fout te omzeilen.

sudo fail2ban-client set sshd unbanip 192.0.2.44