Version du 2 septembre 2014 à 21:51

Lien court vers cette page : http://vt.cx/f2b
QR code vers cette page : http://vt.cx/f2b.qr

Présentation

fail2ban détecte les tentatives répétées d'intrusion dans les programmes dont il surveille les logs de connexion (exemple SSH, Apache, CMS, FTP, back office, etc.). Les IP répondant aux critères de configuration (maxretry ou nombre de tentatives par exemple) sont alors transmis à IPtables pour un blocage dont le délai (bantime) est paramétrable.

Commandes utiles

• fail2ban-client -V -> affichage de la version
• Listes des IP bloquées -> iptables -L
• Lancer fail2ban -> service fail2ban start
• Arrêter fail2ban -> service fail2ban stop
• Relancer fail2ban et vider la liste des IP bannies -> service fail2ban restart
• Tester une règle fail2ban-regex /fichier log/ /règle/ | less

exemple : fail2ban-regex /var/log/maillog /etc/fail2ban/filter.d/smtp-auth.conf | less

Fichiers de configuration

jail.conf

Fichier de configuration situé à :

/etc/fail2ban/jail.conf

bantime : délai de bannissement :

bantime  = NNNNN où NNNNN est un entier définissant le délai en secondes 
exemple pour 1 heure -> bantime = 3600

maxretry : nombre d'essais avant bannissement :

maxretry = N où N est un entier définissant le nombre d'essais permis
exemple pour 3 essais -> maxretry = 3 

logpath : chemin des log identifiés :

logpath = XXXXXXX où XXXXXXX est une chaine alphanumérique définissant un chemin d'accès 
exemple -> logpath = /var/log/apache*/*error.log

filter.d

Répertoire de fichiers de filtres situé à :

/etc/fail2ban/filter.d/

action.d

Répertoire de fichiers de traitement situé à :

/etc/fail2ban/action.d/

Articles Vulgum Techus

• fail2ban et Plesk
• fail2ban et roundcube

Liens utiles

• fail2ban.org site officiel de fail2ban
• fail2ban.org manuel de fail2ban
• github.com fail2web : outil graphique de configuration pour fail2ban

Commentaires