Назад | Перейти на главную страницу

Защита debian с помощью fail2ban и iptables

Я хочу защитить свой сервер. Изначально моей первой мыслью было использовать iptables но потом я также узнал о Fail2ban. Я понимаю, что Fail2ban основан на iptables, но у него есть преимущества, заключающиеся в том, что он может заблокировать IP после нескольких попыток.

Допустим, я хочу полностью заблокировать FTP:

  1. Следует ли мне написать отдельное правило IPtable для блокировки FTP и использовать Fail2ban только для SSH
  2. Или вместо этого просто поместите все правила, даже правило блокировки FTP, в конфигурацию Fail2Ban

Любая помощь по этому поводу будет оценена.

Джеймс

Если вы хотите полностью заблокировать FTP, самый простой и безопасный способ сделать это - просто отключить демон FTP. Однако, если вы хотите защитить FTP из Интернета, вы должны использовать fail2ban, который расширяет функциональность IPtable и позволяет вам блокировать определенные - подозрительные IP-адреса. Если вы собираетесь использовать FTP локально и блокировать доступ в Интернет, вам следует использовать IPtables.

Чтобы ответить на ваши конкретные вопросы.

  • Если вы не используете FTP, вам не следует устанавливать никаких демонов ftp.
  • SFTP является частью sshd, вы можете настроить sshd, чтобы отключить его
    • Закомментируйте его директивы, например. # Subsystem sftp /usr/lib/openssh/sftp-server в / etc / ssh / sshd_config
  • Используйте политику iptables, чтобы помочь вам - сделайте POLICY DROP.
  • Fail2ban полезен только для блокировки постоянных «нарушителей».

Чтобы ответить на ваш более общий вопрос Скотт Пак написал отличный ответ на Советы по защите LAMP-сервера который, даже если ваш сервер не является LAMP (или аналогичным), будет содержать полезную информацию. Скотт также опубликовал этот отличный Сообщение блога на iptables только сегодня. Вам нужно много читать.

Fail2Ban предназначен для запрета IP-адресов после (настроенного) количества неправильных попыток доступа к открыт служба. Итак, если вы хотите блокировать FTP для внешних сетей следует использовать iptables. Но если вы хотите полностью заблокировать FTP, вы всегда можете остановить сам сервис.

Чтобы полностью заблокировать, вам нужны iptables, а не fail2ban. Fail2ban предназначен для блокировки сайтов, которые вызывают только вредоносное обнаружение.

  • Поместите fail2ban в свои службы, которые должны быть открыты для Интернета (например, SSH в вашем вопросе)
  • Поместите блоки iptable в любую службу, которую вы хотите активировать только для внутреннего использования, и заблокируйте ее в противном случае (например, FTP в вашем вопросе)
  • Также установите правила iptable только для сервисов, которые вы используете с определенных IP-адресов.

Вы можете просто изменить порт по умолчанию для таких вещей, как SSH, который будет блокировать 99,999% всех сканирований и попыток взлома. Если ваш SSH использует порт, отличный от порта по умолчанию, то при обнаружении вредоносной активности вы можете предположить, что это действительно серьезно.