آموزش Fail2ban برای SSH؛ ساخت Jail با حفظ راه بازیابی

مسئول فعلی حفاظت ورود را بشناسید

این آموزش نصب لینوکس مبتنی بر systemd با بستهٔ پشتیبانی‌شدهٔ Fail2ban را فرض می‌کند. ابتدا نسخه و jailهای فعلی را بررسی کنید. در cPanel یا میزبانی مدیریت‌شده، پیش از اضافه‌کردن ابزار مسدودسازی دیگر، مسئول محافظت موجود را بشناسید. نشست مدیر و کنسول آزمودهٔ زیرساخت را حفظ کنید. هدف، سیاست روشن SSH است تا چند ابزار هم‌پوشان، کاربر معتبر را بی‌دلیل نبندند.

تنظیم محلی Jail بسازید

مرجع تنظیم jail، فایل‌های محلی و پارامترها را توضیح می‌دهد. مثال زیر را پس از اصلاح پورت در /etc/fail2ban/jail.d/sshd.local بگذارید. عدد 2222 فقط جای‌نگهدار پورت تأییدشدهٔ شماست و دستور تغییر پورت محسوب نمی‌شود.

[sshd]
enabled = true
port = 2222
backend = systemd
maxretry = 5
findtime = 10m
bantime = 15m

backend systemd فقط برای نصبی مناسب است که journal سیستم را می‌خواند. منبع فایل‌محور به مسیر صحیح لاگ نیاز دارد. اقدام مسدودسازی پشتیبانی‌شدهٔ توزیع را حفظ و پیش‌فرض‌هایی مانند ignoreip را پیش از فعال‌سازی بررسی کنید.

ساختار و تطبیق لاگ را تأیید کنید

فیلتر SSH بسته را ببینید و آن را با عبارت بررسی‌نشده جایگزین نکنید. مرجع فرمان‌های کلاینت این بررسی‌ها را مستند کرده است:

sudo fail2ban-client -t
sudo fail2ban-client status
sudo fail2ban-client status sshd

سرویس در حال اجرا را فقط بعد از تأیید ساختار دوباره بارگذاری کنید. اگر اجرا نیست، پس از بازبینی پیکربندی، سرویس توزیع را شروع کنید. مطمئن شوید jail شکست واقعی احراز هویت SSH را می‌بیند. اجرای پردازش بدون ورودی لاگ منطبق، مدرک کافی برای محافظت نیست.

از آدرس دومِ تحت کنترل آزمایش کنید

حساب آزمایشی و آدرس دوم متعلق به خودتان را با مسیر بازیابی آماده استفاده کنید. ببینید شکست‌های موردنظر مسدودی ایجاد می‌کنند، پورت درست پوشش دارد و مسدودی منقضی می‌شود. از تنها اتصال مدیر یا آدرس مشترک دفتر آزمایش نکنید. دلیل انتخاب حدها و تناسب با کاربران را بنویسید.

فرمان بازیابی هدفمند آماده داشته باشید

sudo fail2ban-client set sshd unbanip 203.0.113.10

آدرس مستنداتی را با همان آدرسی که اشتباه بسته شده عوض کنید. پیش از مجازکردن گسترده یا خاموش‌کردن حفاظت، علت را پیدا کنید. Fail2ban مکمل ورود با کلید است و جای وصله یا سیاست صحیح SSH را نمی‌گیرد. فایل محلی و نتیجهٔ بازیابی موفق را در سابقهٔ نگهداری ثبت کنید.