Fail2ban überwacht das Anmeldeprotokoll des Servers. Versucht jemand von einer IP-Adresse aus zu oft, ein Passwort zu erraten, sperrt fail2ban diese Adresse für eine gewisse Zeit.

Auch wenn Sie sich bereits per SSH-Schlüssel anmelden, ist fail2ban nützlich. Es hält Bots fern, entlastet die Protokolle und hilft Ihnen, schneller zu bemerken, wenn etwas Ungewöhnliches vor sich geht.

---

1. Installieren Sie fail2ban

Die Befehle werden auf dem Server ausgeführt.

# Paketliste aktualisieren und fail2ban installieren.
# python3-systemd wird benötigt, damit fail2ban das Systemjournal
# lesen kann
sudo apt update
sudo apt install -y fail2ban python3-systemd

# fail2ban liegt im zusätzlichen Repository EPEL, wir binden
# es ein
sudo dnf install -y epel-release

# fail2ban installieren
sudo dnf install -y fail2ban

---

2. Legen Sie eine Konfigurationsdatei an

Die Hauptkonfigurationsdatei von fail2ban wird bei Updates überschrieben, deshalb gehören eigene Einstellungen in eine separate Datei jail.local.

# Eigene Konfigurationsdatei anlegen und im Editor öffnen
sudo nano /etc/fail2ban/jail.local

Fügen Sie diese Einstellungen in die Datei ein.

[sshd]
# SSH-Schutz einschalten
enabled = true
# SSH-Port. Falls Sie ihn geändert haben, tragen Sie Ihre
# Nummer ein, zum Beispiel 2222
port = ssh
# Anmeldeprotokoll über systemd lesen. So funktioniert
# fail2ban auch dort, wo es keine Datei /var/log/auth.log gibt,
# zum Beispiel unter Debian 12
backend = systemd
# Wie viele fehlgeschlagene Anmeldeversuche erlaubt sind
maxretry = 5
# In welchem Zeitraum die Versuche gezählt werden
findtime = 10m
# Wie lange die IP-Adresse des Angreifers gesperrt wird
bantime = 1h

Zum Speichern drücken Sie Ctrl + O und Enter, zum Verlassen des Editors Ctrl + X.

---

3. Starten Sie fail2ban

# Autostart von fail2ban einschalten und den Dienst sofort starten
sudo systemctl enable --now fail2ban

# Neu starten, damit unsere Konfigurationsdatei sicher übernommen wird
sudo systemctl restart fail2ban

# Status des SSH-Schutzes anzeigen
sudo fail2ban-client status sshd

In der Ausgabe sehen Sie zwei wichtige Zeilen.
Total failed zeigt, wie viele fehlgeschlagene Anmeldeversuche es gab.
Banned IP list zeigt, welche Adressen gerade gesperrt sind.

Ist der Server schon eine Weile im Internet, erscheinen in der Liste mit ziemlicher Sicherheit die ersten „Gäste“.

---

Nützliche Befehle

# Gesperrte Adressen anzeigen
sudo fail2ban-client status sshd

# Adresse entsperren, zum Beispiel wenn Sie sich selbst beim
# Passwort vertippt haben.
# Setzen Sie statt IP_ADRESSE die gewünschte Adresse ein
sudo fail2ban-client set sshd unbanip IP_ADRESSE

# fail2ban nach Änderungen an den Einstellungen neu starten
sudo systemctl restart fail2ban

Wenn Sie sich selbst ausgesperrt haben

Hat fail2ban Ihre eigene Adresse gesperrt, verbinden Sie sich über eine andere Internetverbindung, etwa über das Mobilfunknetz, oder öffnen Sie den Server über die Schaltfläche Console in der Serverliste im Kundenbereich. Entsperren Sie dann Ihre Adresse mit dem Befehl oben. Nach einer Stunde wird die Sperre ohnehin automatisch aufgehoben.

Für das Panel 3X-UI

3X-UI hat eine eigene integrierte fail2ban-Einstellung, sie ist im Artikel zur Einrichtung von VLESS + TLS + XHTTP beschrieben.

---

Unsere Ressourcen

Telegram-Kanal: https://t.me/f3cloud_news
Hosting-Website: https://f3cloud.com