> Die vollständige Liste der Artikel steht in [llms.txt](https://docs.f3cloud.com/llms.txt). Jede Seite gibt es auch als Markdown, dazu einfach .md an die Adresse anhängen. Diese Seite als Markdown: [https://docs.f3cloud.com/de/client-area/protect-vps-from-unauthorised-access/fail2ban.md](https://docs.f3cloud.com/de/client-area/protect-vps-from-unauthorised-access/fail2ban.md).

# Schutz vor Brute-Force-Angriffen auf Passwörter mit fail2ban

So schützen Sie Ihren Server mit fail2ban vor dem Erraten von Passwörtern. Installation, fertige Konfiguration für SSH, gesperrte Adressen prüfen und die eigene IP-Adresse entsperren.

Fail2ban überwacht das Anmeldeprotokoll des Servers. Versucht jemand von einer IP-Adresse aus zu oft, ein Passwort zu erraten, sperrt fail2ban diese Adresse für eine gewisse Zeit.

Auch wenn Sie sich bereits [per SSH-Schlüssel](https://docs.f3cloud.com/de/client-area/protect-vps-from-unauthorised-access/ssh-keys.md) anmelden, ist fail2ban nützlich. Es hält Bots fern, entlastet die Protokolle und hilft Ihnen, schneller zu bemerken, wenn etwas Ungewöhnliches vor sich geht.

***

### 1. Installieren Sie fail2ban

Die Befehle werden auf dem Server ausgeführt.

#### Ubuntu und Debian

```bash
# Paketliste aktualisieren und fail2ban installieren.
# python3-systemd wird benötigt, damit fail2ban das Systemjournal
# lesen kann
sudo apt update
sudo apt install -y fail2ban python3-systemd
```
#### AlmaLinux, CentOS, Oracle Linux

```bash
# fail2ban liegt im zusätzlichen Repository EPEL, wir binden
# es ein
sudo dnf install -y epel-release

# fail2ban installieren
sudo dnf install -y fail2ban
```

***

### 2. Legen Sie eine Konfigurationsdatei an

Die Hauptkonfigurationsdatei von fail2ban wird bei Updates überschrieben, deshalb gehören eigene Einstellungen in eine separate Datei `jail.local`.

```bash
# Eigene Konfigurationsdatei anlegen und im Editor öffnen
sudo nano /etc/fail2ban/jail.local
```

Fügen Sie diese Einstellungen in die Datei ein.

```ini
[sshd]
# SSH-Schutz einschalten
enabled = true
# SSH-Port. Falls Sie ihn geändert haben, tragen Sie Ihre
# Nummer ein, zum Beispiel 2222
port = ssh
# Anmeldeprotokoll über systemd lesen. So funktioniert
# fail2ban auch dort, wo es keine Datei /var/log/auth.log gibt,
# zum Beispiel unter Debian 12
backend = systemd
# Wie viele fehlgeschlagene Anmeldeversuche erlaubt sind
maxretry = 5
# In welchem Zeitraum die Versuche gezählt werden
findtime = 10m
# Wie lange die IP-Adresse des Angreifers gesperrt wird
bantime = 1h
```

Zum Speichern drücken Sie <kbd>Ctrl</kbd> + <kbd>O</kbd> und <kbd>Enter</kbd>, zum Verlassen des Editors <kbd>Ctrl</kbd> + <kbd>X</kbd>.

***

### 3. Starten Sie fail2ban

```bash
# Autostart von fail2ban einschalten und den Dienst sofort starten
sudo systemctl enable --now fail2ban

# Neu starten, damit unsere Konfigurationsdatei sicher übernommen wird
sudo systemctl restart fail2ban

# Status des SSH-Schutzes anzeigen
sudo fail2ban-client status sshd
```

In der Ausgabe sehen Sie zwei wichtige Zeilen.\
**Total failed** zeigt, wie viele fehlgeschlagene Anmeldeversuche es gab.\
**Banned IP list** zeigt, welche Adressen gerade gesperrt sind.

Ist der Server schon eine Weile im Internet, erscheinen in der Liste mit ziemlicher Sicherheit die ersten „Gäste“.

***

### Nützliche Befehle

```bash
# Gesperrte Adressen anzeigen
sudo fail2ban-client status sshd

# Adresse entsperren, zum Beispiel wenn Sie sich selbst beim
# Passwort vertippt haben.
# Setzen Sie statt IP_ADRESSE die gewünschte Adresse ein
sudo fail2ban-client set sshd unbanip IP_ADRESSE

# fail2ban nach Änderungen an den Einstellungen neu starten
sudo systemctl restart fail2ban
```

> **Wenn Sie sich selbst ausgesperrt haben.**
>
> Hat fail2ban Ihre eigene Adresse gesperrt, verbinden Sie sich über eine andere Internetverbindung, etwa über das Mobilfunknetz, oder öffnen Sie den Server über die Schaltfläche <kbd>Console</kbd> in der Serverliste im Kundenbereich. Entsperren Sie dann Ihre Adresse mit dem Befehl oben. Nach einer Stunde wird die Sperre ohnehin automatisch aufgehoben.

> **Für das Panel 3X-UI.**
>
> 3X-UI hat eine eigene integrierte fail2ban-Einstellung, sie ist im Artikel [zur Einrichtung von VLESS + TLS + XHTTP](https://docs.f3cloud.com/de/vpn-guide/setup-vless-xhttp.md) beschrieben.

***

### Unsere Ressourcen

**Telegram-Kanal:** [https://t.me/f3cloud_news](https://t.me/f3cloud_news)\
**Hosting-Website:** [https://f3cloud.com](https://f3cloud.com/de)