fail2ban tegen raadpogingen

fail2ban leest je logboek en blokkeert een tijdje de IP-adressen die steeds verkeerd inloggen. Met alleen sleutels (zie Inloggen met een wachtwoord en als root uitzetten) kunnen raadpogingen al niet meer slagen. fail2ban houdt dan vooral je logboek rustig en remt aanvallers af.

Installeren

anna@web1:~$ sudo apt install fail2ban

Op Debian 13 en Ubuntu werkt de bewaking van SSH (de jail sshd) daarna meteen. Op Debian 12 is één extra regel nodig, zie hieronder.

Op AlmaLinux en Rocky Linux: sudo dnf install epel-release, sudo dnf install fail2ban en sudo systemctl enable --now fail2ban.

Je eigen instellingen

Pas jail.conf niet aan: een update overschrijft hem. Zet je eigen instellingen in /etc/fail2ban/jail.local:

[DEFAULT]
bantime  = 1h
findtime = 10m
maxretry = 5
bantime.increment = true
ignoreip = 127.0.0.1/8 ::1 198.51.100.7

[sshd]
enabled = true

• maxretry mislukte pogingen binnen findtime geven een blokkade van bantime.
• bantime.increment: wie terugkomt, wordt steeds langer geblokkeerd.
• ignoreip: adressen die nooit worden geblokkeerd, zoals het vaste IP-adres van je kantoor. Vervang 198.51.100.7 door je eigen adres, of laat het weg.
• Op Debian 12 zet je onder [sshd] ook backend = systemd en installeer je het pakket python3-systemd. Dan leest fail2ban de journal in plaats van het ontbrekende auth.log. Debian 13 doet dat al vanzelf.

anna@web1:~$ sudo systemctl restart fail2ban
anna@web1:~$ sudo fail2ban-client status sshd
Status for the jail: sshd
|- Filter
|  |- Currently failed: 2
|  |- Total failed:     41
|  `- Journal matches:  _SYSTEMD_UNIT=ssh.service + _COMM=sshd
`- Actions
   |- Currently banned: 3
   |- Total banned:     7
   `- Banned IP list:   192.0.2.44 198.51.100.23 203.0.113.99

Jezelf weer vrijgeven

Ben je zelf geblokkeerd, bijvoorbeeld na een paar keer een verkeerde sleutel? Wacht tot de blokkade voorbij is, of log in via de console of vanaf een ander adres en typ:

anna@web1:~$ sudo fail2ban-client set sshd unbanip 198.51.100.7