Fail2Ban 高級配置 保護 Nginx 服務

在購買了VPS之後你應該做足的安全措施中我們提到過用 的fail2ban 來保護 ssh ，這樣即使不改變SSH端口（默認為22），也可以做到避免被暴力破解密碼，當然，我們已經開啟了證書登錄並關閉了 ssh 的密碼登錄選項，但用 的fail2ban 幹掉那些不停嘗試的 bot 也是一件令人心情愉悅的事情。

其實，除了 使用 fail2ban 防止 Bind9 被用於 DNS 放大攻擊外，我們也可以用 的fail2ban 來保護 nginx ，畢竟它的原理就是用正則匹配日誌文件，然後操作 iptables，所以理論上一切能寫日誌的應用都可以用 fail2ban 來生成規則並加以保護。

這次我們就一起來看看，除了默認配置外，我們還能怎樣用 的fail2ban 來保護 nginx

首先是

配置監獄

也就是 fail2ban 的監控模塊，其實默認配置中就已經寫好了很多配置，當然我們需要手動來啟動它們。

fail2ban 會自動讀取 .本地 文件的配置，然後再增量地讀取 CONF 配置，這樣就避免了更新它時你辛辛苦苦寫好的配置被覆蓋掉了。

然後我們就來編輯 fail2ban 的配置 我們 /等等/的fail2ban/監獄.本地

首先是在 [默認] 字段下，我們可以改變一些行為參數，比如這樣修改（多餘的沒有提到的配置就保留默認，不要理會即可）：

接下來就是添加我們的監獄配置了，默認配置信息中並沒有內置 nginx ，只有 apache：

 

注意這裡的配置都是基於 nginx 的日誌的，所以你必須要允許 nginx 記錄日誌，有些管理員為了性能考量會關閉日誌，這樣我們這篇文章也就失去了意義。

另，在配置 fail2ban 之前，你就應該先安裝好 nginx，否則 fail2ban 讀不到 nginx 的日誌，會報錯。

為監獄配置規則

設置好了要啟用的監獄，接下來就是給監獄創建規則了：

在這個目錄下，存放這所有規則文件，一個配置名一個文件，有多少個文件就有多少個規則，這些規則被上文中監獄配置裡 過濾 字段調用。

這個規則是存在的，我們在規則中加一行配置，來過濾除了賬號密碼錯誤外，空白賬號或者密碼的錯誤：

添加的是高亮的那一行。

過濾爬蟲的規則是有現成的，所以我們只需要改個名就可以了；

這是過濾獲取目錄的：

這是過濾反代的：

確認生效

做完上述配置之後，就可以重啟 fail2ban 了 服務 的fail2ban 重新開始

這時你可以通過命令 的fail2ban-客戶 狀態 來查看，不出意外，應該類似這樣：

 

本文由 落格博客 原創撰寫：落格博客 » Fail2Ban 高級配置 保護 Nginx 服務

轉載請保留出處和原文鏈接：https://www.logcg.com/archives/2998.html