Linux fail2ban 설정

1. fail2ban이란?

fail2ban 은 무차별 대입 및 기타 자동화된 공격으로부터 서비스를 보호하는 솔루션이다.

💡 참고: fail2ban은 사용자 이름/비밀번호 인증이 필요한 서비스를 보호하는 데만 사용할 수 있다. 예를 들어 fail2ban으로 ping을 보호할 수 없다.

 

2. fail2ban 설치

CentOS 7 이전에는 secure 로그파일에 의존하여 동작 했으나 CentOS 7 부터는 systemd에서 통합적으로 관리한다.

로그파일이 없으면 fail2ban 동작불가하기 때문에 fail2ban-systemd를 같이 설치한다.

sudo yum -y install fail2ban fail2ban-systemd
sudo systemctl enable fail2ban
sudo systemctl start fail2ban

 

3. fail2ban 설정

fail2ban의 기본 설정은 /etc/fail2ban/jail.conf에 있지만 수정이 필요할 경우 기본 설정 파일은 놔두고 개인 설정 파일을 사용하는 것이 좋다. 다음은 기본 설정 파일을 복사하여 개인 설정 파일을 만드는 명령어다.

sudo cp /etc/fai2lban/jail.conf /etc/fail2ban/jail.local

vi 편집기를 통해 /etc/fail2ban/jail.local 파일을 다음과 같이 수정한다. 만약 ssh를 다른 포트로 사용할 경우 port 항목에 해당 포트를 기술해주면 된다. 만약 ssh가 여러 포트를 사용한다면 ,를 구분자로 해서 포트를 모두 기술한다.

sudo vi /etc/fail2ban/jail.local

[DEFAULT]
ignoreip = 127.0.0.1/8 ::1 # 무시할 ip (공백이나 , 로 구분)
bantime = 30m # 10분 동안 차단
findtime = 10m # 10분 이내의 로그 데이터로 검사
maxretry = 5 # 5회 이상 로그인 실패 시

[sshd]
enabled = true
port = 포트번호, 포트번호

설정한 내용을 적용하기 위해 fail2ban 서비스를 재시작한다.

sudo systemctl restart fail2ban

 

4. fail2ban 관련 명령어

fail2ban 로그 확인

sudo tail -100f /var/log/fail2ban.log

IP 차단 현황

sudo fail2ban-client status sshd

차단된 IP를 해제(복구)

sudo fail2ban-client set sshd unbanip IP주소