Fail2ban详细教程,解决网站被扫描、CC攻击、ssh暴力破解、防爬虫等问题
【性价之王】 | 【线路之王】 | 【价格之王】 | 【配置之王】 |
【免费之王】 | 【香港首推】 | 【梯子之王】 | 【独服之王】 |
最近网站总是被高频度扫描,导致数据库连接过多,打开页面报“Error establishing a database connection“错误。最开始写了个监控网站的脚本,一旦发现网站打不开,重启数据库就好了。但是这几天网站挂掉的频率越来越高,不得不开始寻找新的办法了。
对于网站被恶意扫描、暴力破解、CC 攻击这一系列攻击,都有相似的特征,即高频率发请求导致主机资源使用率飙高。对于这些问题,必须要做两件事,一个是识别恶意发请求的 IP,并封禁;二个是实现网站缓存、静态化等功能减少数据库查询。今天介绍下识别频繁发请求的 IP 并封 IP 的工具。
调研了 cckiller、Wordfence Security、fail2ban 这三个工具,最终选择了 fail2ban。
fail2ban、cckiller、Wordfence Security 对比分析首先是 cckiller,是国内大佬实现的 linux 轻量级 cc 防御工具。是根据当前 http 连接数计算并发量,如果某个 ip 的并发量大于某个值则在 iptables 中封禁该 ip。是个不错的工具,但有两个小问题。一个是只能根据某个时刻计算并发量封 IP,不能计算某个时间段的总请求数来封 IP;二个是兼容性不太好,适合在 centos 上运行,但个人习惯用 ubuntu。
其次是 Wordfence Security,wordpress 安全插件。据说可以根据某个时间段访问网站总次数超过阈值后,封禁该 IP。但是问题较多,该插件比较庞大,只为了这个功能安装插件不划算;没有汉化;该功能好像要付费才能用的更流畅。简单试了下,不太合适。
最终选择了 fail2ban,有以下优点。
fail2ban 功能特色根据实时日志,统计请求数量,如果某个时间段,某种请求超过了阈值,就可以封禁该 IP
支持 yum/apt 一键安装。
配置简单,配置文件几行配置就能实现需求
支持多种监控。简单举几个例子。可以读取 ssh 的登录日志,如果某个 ip 在某个时间段登录失败次数过多,则封该 ip;读取 apache 访问日志,如果某个 ip 在某个时间段防问次数过多,则封该 ip
支持邮件通知。
Fail2ban 安装步骤&使用教程使用场景:操作系统是 ubuntu,web 服务器为 apache。将 3 分钟内请求数量超过 300 次的 ip 视为恶意扫描 IP 直接封禁。(其他操作系统和 web 服务器配置流程基本一样)
安装 fail2ban
#ubuntuapt-get install fail2ban#CentOSyum -y install epel-releaseyum -y install fail2banfail2ban 配置原理介绍
主要是配置/etc/fail2ban/jail.conf 文件
[DEFAULT]# 忽略 IP,IP 白名单,这些 IP 永远不会被禁ignoreip = 127.0.0.1/8#IP 被封禁的时间,单位秒bantime = 600#日志文件中,在 findtime 时间段内,ip 出现超过 maxretry 次数,就会封禁该 IPfindtime = 600maxretry = 3# "backend" 指获取日志文件的方法,分为"pyinotify", "gamin", "polling", "auto"四种# auto 值得是哪种可用就用哪种,默认 polling 可用backend = auto# "usedns" specifies if jails should trust hostnames in logs,usedns = warn#接受邮件地址destemail = [email protected]# Name of the sender for mta actionssendername = Fail2Ban#默认的动作执行行为,在 action.d 目录下有各种行为策略,默认是 iptables-multiportbanaction = iptables-multiport# email action. Since 0.8.1 upstream fail2ban uses sendmailmta = sendmail# Default protocolprotocol = tcp# Specify chain where jumps would need to be added in iptables-* actionschain = INPUT#定义各种行为参数#只禁 IPaction_ = %(banaction)s[name=%(__name__)s, port="%(port)s", protocol="%(protocol)s", chain="%(chain)s"]#禁 IP+邮件通知action_mw = %(banaction)s[name=%(__name__)s, port="%(port)s", protocol="%(protocol)s", chain="%(chain)s"]%(mta)s-whois[name=%(__name__)s, dest="%(destemail)s", protocol="%(protocol)s", chain="%(chain)s", sendername="%(sendername)s"]# 禁 IP+邮件通知+报告相关日志action_mwl = %(banaction)s[name=%(__name__)s, port="%(port)s", protocol="%(protocol)s", chain="%(chain)s"]%(mta)s-whois-lines[name=%(__name__)s, dest="%(destemail)s", logpath=%(logpath)s, chain="%(chain)s", sendername="%(sendername)s"]# 选择行为action = %(action_)s#以下是各种应用监控日志的配置,以 ssh 日志和 apache 日志为例说明一下配置原理[ssh]enabled = trueport = sshfilter = sshdlogpath = /var/log/auth.logmaxretry = 6[php-url-fopen]enabled = trueport = http,httpsfilter = php-url-fopenaction = %(action_mwl)slogpath = /var/log/apache2/access.logfindtime = 180maxretry = 200ssh 日志监控
enabled=true,表示开启监控
filter 在/etc/fail2ban/filter.d/sshd.conf 中定义,主要定义了找到错误日志的正则
Logpath ssh 日志存放路径
默认 findtime 为 600 秒
错误次数阈值为 6 次。
该配置意思为:实时监控 ssh 登录日志(/var/log/auth.log),如果某个 ip 在 600 秒内登录错误了 6 次(根据 filter 正则判断),则封禁该 IP
apache 日志监控
enabled=true,表示开启监控
filter 在/etc/fail2ban/filter.d/ php-url-fopen.conf 中定义,主要定义了匹配访问日志的正则。其中 fail2ban 默认的正则有点问题,需要稍微修改下,修改后如下
[Definition]failregex = ^<HOST> -.*"(GET|POST).* HTTP\/.*$ignoreregex =Logpath apache 日志存放路径
findtime 为 180 秒
访问次数阈值为 200 次。
该配置意思为:实时监控 apache 访问日志(/var/log/apache2/access.log),如果某个 ip 在 180 秒内访问了 200 次(根据 filter 正则判断),则封禁该 IP
Fail2ban 管理&常用命令#fail2ban 服务重启、停止、开启service fail2ban restart|stop|start#查看 fail2ban 状态fail2ban-client status#查看日志监控状态fail2ban-client status php-url-fopen#查看 iptables 禁 ip 情况iptables -nvL使用三方 smtp 服务器发送通知邮件由于腾讯云的 25 端口有限制不能使用系统自带的 sendmail,需要调用三方的 stmp 服务器,如 163 服务器,并使用端口为 465 的 ssl 协议发送邮件。配置如下
安装 mail ,apt-get install heirloom-mailx
修改/etc/nail.rc(ubuntu16.04 为/etc/s-nail.rc、centos 为/etc/mail.rc)
添加
set ssl-verify=ignoreset nss-config-dir=/etc/pki/nssdbset from=邮件地址@163.comset smtp=smtps://smtp.163.com:465set smtp-auth-user=邮件地址@163.comset smtp-auth-password=e8456ds78c23set smtp-auth=login发邮件测试
echo “邮件内容”.|mail -v -s “邮件标题” [email protected]
jail.conf 中 mta 改为 mail,即可
转载请注明原文WWW.VPSZJW.SITE:Fail2ban 详细教程,解决网站被扫描、CC 攻击、ssh 暴力破解、防爬虫等问题 (5)
[搭建网站]历史优惠活动内容
猜你可能想看的VPS
- 2019 年搬瓦工最新网址全球[VPS测评]
- TmhHost→洛杉矶 Cera 洛杉矶安畅(CN2 GIA)九折 月付全球[VPS测评]
- 新商家慎重-修罗云→9 元 月 150G 流量 美国洛杉矶 CN2 香港美国VPS[主机]
- ZJI→全新上架香港大埔 CN2 服务器 双路 E5 64G 内存 8C站群服务器[IP]
- 搬瓦工 VPS 交易注意事项全球[VPS测评]
- IMIDC 独立服务器大促销→香港&台湾每月 30 美元起 日本服务器每独立服务器[U]
- justhost 十元以内俄罗斯 cn2vps 怎么样,justhost全球[VPS测评]
- Hostigger→$11.94 年 1GB 内存 10GB SSD 空虚拟空间(主机)
- 海云互联→香港 CDN 有 DDOS 防护 50GB 月流量 月付 8 香港VPS[主机]
- 云霸天下 IDC 台湾双向 CN2 服务器,60M 带宽独享,E5-26全球[VPS测评]
- hostsolutions→充值多送 50%额度 无视 DMCA 投诉的独立服务器[U]
- Uovz→2200 元 月 E5-2620*2 16GB 内存 240G全球[VPS测评]
- AlexHost摩尔多瓦抗投诉 VPS 云服务器 1.5G内存/不限流/全球[VPS测评]
- TapHosting → 2€月付 罗马尼亚 1C0.5G10G硬盘 1全球[VPS测评]
- 50KVM VPS免费自助换IP功能全球[VPS测评]
- 2.45亿、成都公安(大数据基座-服务器)采购:神码、虹信、海康、超聚变全球[VPS测评]
- 中国跨境电商,如何掘金欧洲市场?全球[VPS测评]
- 跨境电商拔节生长关键期,宁波政协委员月谈会精准助力!全球[VPS测评]
- 言車新车|大阳VPS125混动踏板,长续航,代步通勤9980元起全球[VPS测评]
- 2023年 IDC市场结构和方向的深度分析全球[VPS测评]
- 跨境电商平台首选香港服务器香港VPS[主机]
- EdgeNAT,香港CN2+BGP vps 带宽5M 月付72元香港VPS[主机]
- YYYHost年终钜惠来袭:香港建站云/美国Cera云月付8折,季付7折美国VPS[主机]
- 搬瓦工:全场VPS 9折优惠,10Gbps(美国cn2 gia+日本软银日本VPS[主机]
- 乐趣云怎么样?香港美国云服务器首月8.8元,新增IP5元/个美国VPS[主机]
- 磐逸云怎么样?香港沙田cn2vps 带宽5M年付128元香港VPS[主机]
- TmhHost:美国洛杉矶CN2 GIA高防vps/日本/香港BGP等K日本VPS[主机]
- 搬瓦工vps:10Gbps美国vps cn2 gia,1Gbps香港cn日本VPS[主机]
- RAKsmart促销活动:韩国服务器低价抢购,美国G口服务器低至$99,韩国VPS[主机]
- 云计算到底是谁发明的?全球[VPS测评]
转载请注明原文地址:https://www.motoll.com/read-10370.html