Fail2ban 安装与使用终极笔记#

1
# =================================================================================
2
# Fail2ban Ultimate Configuration - v3.3 (Final Stability-Focused Version)
3
# 修正了“日志文件未找到”的启动错误，采用最稳妥的日志路径
4
# =================================================================================
5

6
[DEFAULT]
7
# --- 全局默认设置 ---
8
# 这些设置将应用于所有未明确覆盖它们的 "Jail" (监狱)。
9

10
# 忽略的 IP 地址，这些 IP 永远不会被封禁。
11
# 127.0.0.1/8 是本机回环地址，::1 是 IPv6 的本机回环地址。建议将您自己的固定 IP 也加入此列表。
12
ignoreip = 127.0.0.1/8 ::1 你的可信ip_1 你的可信ip_2
13

14
# 默认封禁时长。单位可以是 s(秒), m(分钟), h(小时), d(天), w(周)。这里是 1 天。
15
bantime = 1d
16

17
# 查找时间窗口。Fail2ban 会在此时间段内统计客户端的失败次数。这里是 10 分钟。
18
findtime = 10m
19

20
# 最大重试次数。在 `findtime` 时间窗口内，如果失败次数达到此值，客户端 IP 将被封禁。这里是 5 次。
21
# 结合上面的 findtime，意味着“10分钟内失败5次”。
22
maxretry = 5
23

24
# 触发封禁时执行的动作。%(action_)s 是一个变量，通常指向默认的封禁动作（如 iptables-multiport）。
25
action = %(action_)s
26

27
# 对于 Debian 或 Ubuntu 并且你希望它和 UFW 集成 请删除  banaction = ufw 的注释
28
# banaction = ufw
29

30
# =================================================================================
31
# JAILS (监狱) - 职责明确，策略清晰
32
# 每个 [section] 都是一个独立的 "监狱"，用于监控一种特定的服务或攻击行为。
33
# =================================================================================
34

35
# --- 基础安全 (SSH) ---
36
[sshd]
37
# 是否启用此监狱。true 为启用，false 为禁用。
38
enabled  = true
39
# SSH 服务的端口号。 【重要】请务必修改为您服务器上实际的 SSH 端口！
40
port     = 22
41
# 覆盖默认的 maxretry。SSH 是核心服务，策略更严格，3次失败就封禁。
42
maxretry = 3
43
# 覆盖默认的 bantime。对于攻击 SSH 的 IP，封禁更长时间，这里是 1 周。
44
bantime  = 1w
45

46
# --- Nginx 核心防护：恶意扫描器 ---
47
# 监控并阻止常见的目录扫描、漏洞扫描工具。
48
[nginx-pro-scanner]
49
enabled  = true
50
# 监控的端口，http (80) 和 https (443)。
51
port     = http,https
52
# 使用的过滤器规则文件名 (位于 /etc/fail2ban/filter.d/nginx-pro-scanner.conf)。【注意】此为自定义过滤器。
53
filter   = nginx-pro-scanner
54
# 监控的 Nginx 日志文件路径。【重要】此路径通常用于宝塔面板，请根据您的实际情况修改。
55
logpath  = /www/wwwlogs/*.log
56

57
# --- Nginx 核心防护：恶意机器人与脚本 ---
58
# 监控并阻止已知的恶意 User-Agent 或爬虫。
59
[nginx-badbots]
60
enabled  = true
61
port     = http,https
62
# 使用的过滤器规则文件名 (位于 /etc/fail2ban/filter.d/nginx-badbots.conf)。【注意】此为自定义过滤器。
63
filter   = nginx-badbots
64
logpath  = /www/wwwlogs/*.log
65
# 策略非常严格，只要匹配到 1 次就封禁。
66
maxretry = 1
67
# 时间窗口缩短到 1 分钟，反应更迅速。
68
findtime = 1m
69
# 封禁 1 周。
70
bantime  = 1w
71

72
# --- Nginx 核心防护：SQL注入 & XSS 攻击尝试 ---
73
# 监控 URL 或请求体中包含的典型 SQLi 和 XSS 攻击代码。
74
[nginx-sqli-xss]
75
enabled  = true
76
port     = http,https
77
# 使用的过滤器规则文件名 (位于 /etc/fail2ban/filter.d/nginx-sqli-xss.conf)。【注意】此为自定义过滤器。
78
filter   = nginx-sqli-xss
79
logpath  = /www/wwwlogs/*.log
80
# 策略严格，5 分钟内尝试 2 次就封禁。
81
maxretry = 2
82
findtime = 5m
83
# 封禁 1 周。
84
bantime  = 1w
85

86
# --- Nginx 辅助防护：畸形请求 (4xx 错误) ---
87
# 监控产生大量 4xx 客户端错误（如 404 Not Found, 403 Forbidden）的 IP。
88
[nginx-4xx-errors]
89
enabled  = true
90
port     = http,https
91
# 使用的过滤器规则文件名 (位于 /etc/fail2ban/filter.d/nginx-4xx-errors.conf)。【注意】此为自定义过滤器。
92
filter   = nginx-4xx-errors
93
logpath  = /www/wwwlogs/*.log
94
# 策略相对宽松，允许一定程度的错误，防止误封正常用户。5 分钟内 15 次 4xx 错误才封禁。
95
maxretry = 15
96
findtime = 5m
97
# 封禁时间较短，6 小时，因为误封的可能性相对较高。
98
bantime  = 6h
99

100
# --- Nginx 辅助防护：HTTP Basic Auth 爆破 ---
101
# 监控 Nginx 的 HTTP 基本认证失败日志。
102
[nginx-http-auth]
103
enabled  = true
104
# 【最终修正】为保证服务稳定启动，只监控最核心且确定存在的 nginx_error.log。
105
# HTTP 认证失败通常记录在错误日志中，而不是访问日志。
106
logpath  = /www/wwwlogs/nginx_error.log
107
# 3 次认证失败就封禁。
108
maxretry = 3
109
# 封禁 1 周。
110
bantime  = 1w
111

112
# --- 累犯加重处罚规则 (Recidive) ---
113
# 这是一个特殊的“元监狱”，它不监控服务日志，而是监控 Fail2ban 自己的日志。
114
# 用来惩罚那些在短时间内被多次封禁的“惯犯” IP。
115
[recidive]
116
enabled  = true
117
# 监控 Fail2ban 自己的日志文件。路径在各系统上可能不同，但 /var/log/fail2ban.log 是最常见的。
118
logpath  = /var/log/fail2ban.log
119
# 执行更严厉的封禁动作，通常是封禁所有端口 (allports)，而不仅仅是触发的那个端口。
120
action   = %(banaction_allports)s
121
# 时间窗口为 1 天。
122
findtime = 1d
123
# 如果一个 IP 在 1 天内被其他任何监狱封禁了 3 次...
124
maxretry = 3
125
# ...那么它将被这个监狱处以更长的封禁时间：2 周，并且是所有端口。
126
bantime  = 2w

1
[Definition]
2
# 匹配各种恶意扫描行为，状态码可以是 3xx, 4xx
3
failregex = ^<HOST> .* "(GET|POST) .*/\.(git|env|svn|htpasswd|sql|bak|conf|ini|rar|zip|tgz|gz|bz2)[^"]*" (30|40)\d .*
4
            ^<HOST> .* "(GET|POST) .*/(phpmyadmin|pma|admin|db|mysql|websql|backup|dump)[^"]*" (30|40)\d .*
5
            ^<HOST> .* "(GET|POST) .*/(wp-admin|wp-login|wp-content|wp-includes|wordpress|wp)[^"]*" (30|40)\d .*
6
            ^<HOST> .* "(GET|POST) /xmlrpc\.php" (30|40)\d .*
7
            ^<HOST> .* "(GET|POST) /vendor/phpunit/phpunit/src/Util/PHP/eval-stdin\.php" (30|40)\d .*
8
            ^<HOST> .* "GET .*\?phpinfo=.*" .*
9
            ^<HOST> .* "GET .*/(console|invokefunction|api/jsonws/invoke)" .*
10

11
ignoreregex =

1
[Definition]
2
# User-Agent 黑名单，不区分大小写 (?i)
3
# 包含常见扫描工具、脚本语言、某些过于激进的爬虫
4
failregex = ^<HOST> .* "(?i).*(Go-http-client|AhrefsBot|SemrushBot|MegaIndex|BLEXBot|DotBot|Nmap|masscan|zgrab|sqlmap|nikto|python-requests|curl|wget|scan|spider|bot|crawler).*"$
5
            ^<HOST> .* "-" "-"$
6

7
# 忽略主流搜索引擎爬虫，防止误伤
8
ignoreregex = (?i).*(googlebot|bingbot|baidu|slurp|duckduckbot|applebot|yandex|facebookexternalhit)

1
[Definition]
2
# 解码后的URL中包含SQL注入或XSS攻击的典型关键字
3
# (?i) 不区分大小写，\s 代表空格
4
failregex = ^<HOST> .* "(?i).*(union\s*select|select.*from|insert\s*into|<\s*script>|%%3Cscript%%3E|<\s*img|onmouseover|javascript:).*" .*
5

6
ignoreregex =

1
[Definition]
2
# 捕获返回 4xx 客户端错误的请求，例如 400, 403, 404, 405 等
3
failregex = ^<HOST> -.*- .* 4\d\d .*
4

5
# 忽略对 favicon.ico 和 robots.txt 的 404 请求，这些很常见
6
ignoreregex = .*(GET|HEAD) /(favicon.ico|robots.txt) .*

1
# 注意末尾用 | 分隔，并添加了 GET /your_path HTTP 的模式
2
ignoreregex = (?i).*(googlebot|bingbot|baidu|slurp|duckduckbot|applebot|yandex|facebookexternalhit)|GET /bwgx HTTP

1
# 使用 (path1|path2|...) 的格式来豁免多个路径
2
ignoreregex = (?i).*(googlebot|bingbot|baidu|slurp|duckduckbot|applebot|yandex|facebookexternalhit)|GET /(bwgx|bwgv|bwgo) HTTP