팁 분류
포고플러그 데비안에서 fail2ban 설정하기
컨텐츠 정보
- 17,761 조회
- 4 댓글
- 0 추천
-
목록
본문
흔히 은행 공인인증서의 경우 비밀번호 입력을 5번 틀리면 더이상 로그인할 수 없죠.
데비안에도 그런 프로그램이 있는데바로 fail2ban입니다.
데비안 wheezy 기준이라 squeeze와는 차이점이 있을 수 있습니다.
1. fail2ban 및 추가 프로그램 설치
apt-get install python-pyinotify fail2ban whois python-gamin iptables
2. fail2ban 설정파일 수정하기
다른 설정은 수정할 필요가 없고
/etc/fail2ban/jail.conf
만 수정하시면 됩니다.
빨간 글자와 초록색 글자를 잘 보세요.
nano /etc/fail2ban/jail.conf
# Fail2Ban configuration file.## This file was composed for Debian systems from the original one# provided now under /usr/share/doc/fail2ban/examples/jail.conf# for additional examples.## To avoid merges during upgrades DO NOT MODIFY THIS FILE# and rather provide your changes in /etc/fail2ban/jail.local## Author: Yaroslav O. Halchenko <debian@onerussian.com>## $Revision$## The DEFAULT allows a global definition of the options. They can be overridden# in each jail afterwards.[DEFAULT]# 여기가 기준입니다. maxretry 같은 경우는 각 항목에 넣으면 그것이 기준이 됩니다.# "ignoreip" can be an IP address, a CIDR mask or a DNS hostignoreip = 127.0.0.1/8ignoreip = 자신의외부아이피넣기bantime = 600maxretry = 3#bantime = 기준은 초 단위입니다. 600이면 600초 = 10분#maxretry = 3번 틀리면 밴 들어가는 겁니다.# "backend" specifies the backend used to get files modification. Available# options are "gamin", "polling" and "auto".# yoh: For some reason Debian shipped python-gamin didn't work as expected# This issue left ToDo, so polling is default backend for nowbackend = gamin# 데비안에서 잘 안될수도 있지만 전 잘되더군요.## Destination email address used solely for the interpolations in# jail.{conf,local} configuration files.destemail = root@localhost## ACTIONS## Default banning action (e.g. iptables, iptables-new,# iptables-multiport, shorewall, etc) It is used to define# action_* variables. Can be overridden globally or per# section within jail.local filebanaction = iptables-multiport# email action. Since 0.8.1 upstream fail2ban uses sendmail# MTA for the mailing. Change mta configuration parameter to mail# if you want to revert to conventional 'mail'.mta = sendmail# Default protocolprotocol = tcp# Specify chain where jumps would need to be added in iptables-* actionschain = INPUT## Action shortcuts. To be used to define action parameter# The simplest action to take: ban onlyaction_ = %(banaction)s[name=%(__name__)s, port="%(port)s", protocol="%(protocol)s", chain="%(chain)s"]# ban & send an e-mail with whois report to the destemail.action_mw = %(banaction)s[name=%(__name__)s, port="%(port)s", protocol="%(protocol)s", chain="%(chain)s"]%(mta)s-whois[name=%(__name__)s, dest="%(destemail)s", protocol="%(protocol)s", chain="%(chain)s"]# ban & send an e-mail with whois report and relevant log lines# to the destemail.action_mwl = %(banaction)s[name=%(__name__)s, port="%(port)s", protocol="%(protocol)s", chain="%(chain)s"]%(mta)s-whois-lines[name=%(__name__)s, dest="%(destemail)s", logpath=%(logpath)s, chain="%(chain)s"]# Choose default action. To change, just override value of 'action' with the# interpolation to the chosen action shortcut (e.g. action_mw, action_mwl, etc) in jail.local# globally (section [DEFAULT]) or per specific sectionaction = %(action_)s## JAILS## Next jails corresponds to the standard configuration in Fail2ban 0.6 which# was shipped in Debian. Enable any defined here jail by including## [SECTION_NAME]# enabled = true## in /etc/fail2ban/jail.local.## Optionally you may override any other parameter (e.g. banaction,# action, port, logpath, etc) in that section within jail.local[ssh]enabled = trueport = sshfilter = sshdlogpath = /var/log/auth.logmaxretry = 6#ssh의 접속을 막는 부분입니다. 다른 것은 만질 필요없고, maxretry만 수정하셔도 됩니다.[dropbear]enabled = falseport = sshfilter = sshdlogpath = /var/log/dropbearmaxretry = 6# Generic filter for pam. Has to be used with action which bans all ports# such as iptables-allports, shorewall[pam-generic]enabled = false# pam-generic filter can be customized to monitor specific subset of 'tty'sfilter = pam-generic# port actually must be irrelevant but lets leave it all for some possible usesport = allbanaction = iptables-allportsport = anyportlogpath = /var/log/auth.logmaxretry = 6[xinetd-fail]enabled = falsefilter = xinetd-failport = allbanaction = iptables-multiport-loglogpath = /var/log/daemon.logmaxretry = 2[ssh-ddos]enabled = trueport = sshfilter = sshd-ddoslogpath = /var/log/auth.logmaxretry = 6# 저는 이쪽도 추가해줬습니다. ddos를 막는 것 같은 느낌이 드는군요.## HTTP servers#[apache]enabled = falseport = http,httpsfilter = apache-authlogpath = /var/log/apache*/*error.logmaxretry = 6# default action is now multiport, so apache-multiport jail was left# for compatibility with previous (<0.7.6-2) releases[apache-multiport]enabled = falseport = http,httpsfilter = apache-authlogpath = /var/log/apache*/*error.logmaxretry = 6[apache-noscript]enabled = falseport = http,httpsfilter = apache-noscriptlogpath = /var/log/apache*/*error.logmaxretry = 6[apache-overflows]enabled = falseport = http,httpsfilter = apache-overflowslogpath = /var/log/apache*/*error.logmaxretry = 2## FTP servers#[vsftpd]enabled = trueport = ftp,ftp-data,ftps,ftps-datafilter = vsftpdlogpath = /var/log/vsftpd.log# or overwrite it in jails.local to be# logpath = /var/log/auth.log# if you want to rely on PAM failed login attempts# vsftpd's failregex should match both of those formatsmaxretry = 6#vsftpd를 쓰는 사람은 여기가 필수겠죠[proftpd]enabled = falseport = ftp,ftp-data,ftps,ftps-datafilter = proftpdlogpath = /var/log/proftpd/proftpd.logmaxretry = 6[pure-ftpd]enabled = falseport = ftp,ftp-data,ftps,ftps-datafilter = pure-ftpdlogpath = /var/log/auth.logmaxretry = 6[wuftpd]enabled = falseport = ftp,ftp-data,ftps,ftps-datafilter = wuftpdlogpath = /var/log/auth.logmaxretry = 6## Mail servers#[postfix]enabled = falseport = smtp,ssmtpfilter = postfixlogpath = /var/log/mail.log[couriersmtp]enabled = falseport = smtp,ssmtpfilter = couriersmtplogpath = /var/log/mail.log## Mail servers authenticators: might be used for smtp,ftp,imap servers, so# all relevant ports get banned#[courierauth]enabled = falseport = smtp,ssmtp,imap2,imap3,imaps,pop3,pop3sfilter = courierloginlogpath = /var/log/mail.log[sasl]enabled = falseport = smtp,ssmtp,imap2,imap3,imaps,pop3,pop3sfilter = sasl# You might consider monitoring /var/log/mail.warn instead if you are# running postfix since it would provide the same log lines at the# "warn" level but overall at the smaller filesize.logpath = /var/log/mail.log[dovecot]enabled = falseport = smtp,ssmtp,imap2,imap3,imaps,pop3,pop3sfilter = dovecotlogpath = /var/log/mail.log# DNS Servers# These jails block attacks against named (bind9). By default, logging is off# with bind9 installation. You will need something like this:## logging {# channel security_file {# file "/var/log/named/security.log" versions 3 size 30m;# severity dynamic;# print-time yes;# };# category security {# security_file;# };# };## in your named.conf to provide proper logging# !!! WARNING !!!# Since UDP is connection-less protocol, spoofing of IP and imitation# of illegal actions is way too simple. Thus enabling of this filter# might provide an easy way for implementing a DoS against a chosen# victim. See# Please DO NOT USE this jail unless you know what you are doing.#[named-refused-udp]##enabled = false#port = domain,953#protocol = udp#filter = named-refused#logpath = /var/log/named/security.log[named-refused-tcp]enabled = falseport = domain,953protocol = tcpfilter = named-refusedlogpath = /var/log/named/security.log
위에 빨간 부분이 수정한 부분이고, 초록색 글자는 설명 부분이니 지워도 상관 없습니다.
재부팅해도 iptable과 fail2ban은 자동으로 실행이 됩니다.
다만 ban된 ip는 다 삭제가 됩니다.
그건 재부팅을 자제하는 방법으로 해결이 될 것 같습니다.
수정 후
service fail2ban restart
iptables -nvL
하시면 fail2ban에 추가된 것을 확인 할 수 있습니다.
현재 geoip와 iptable 연동이 잘 안되네요.. 구글 검색해서 따라해봐도 답이 없네요
밑의 게시물을 참고하셔서 IP 차단 및 허용을 관리하셔도 됩니다. (링크 바로가기)
-
등록일 2014.08.31
-
등록일 2013.07.26
-
등록일 2013.07.19
-
등록일 2013.07.17
관련자료
-
서명우성짱의 NAS를 운영하고 있습니다.
저의 즐거움이 여러분의 즐거움이면 좋겠습니다.
댓글 4
윤하님의 댓글의 댓글
해결되어서 댓글 드려요.
그누보드 루트 디렉토리의
config.php
에서 쿠키도메인 빈칸으로 두니까 되네요.
쿠키를 공유하려고 적은건데,
(설명대로,www.sir.co.kr 과 sir.co.kr 도메인은 서로 다른 도메인으로 인식합니다. 쿠키를 공유하려면 .sir.co.kr 과 같이 입력하세요.
이곳에 입력이 없다면 www 붙은 도메인과 그렇지 않은 도메인은 쿠키를 공유하지 않으므로 로그인이 풀릴 수 있습니다.)
이거 보고 그대로 적용하려고 한건데, 왜인지 안되네요 ㅎㅎ
좀 더 공부해보고 해야겟네요.
2일동안 진전이 없어 머리만 싸매고 ㅠㅠ
덕분에 많은 도움이 되었습니다.
이번 뿐 아니라 포고를 이용하는데 있어, 정말 많은 도움이 되었습니다.
매번 질문거리도 안되는 질문들 해서 죄송하고요 ㅠ
새해 복 많이 받으시고, 올 한해도 행복한 일들만 가득하시길 바랍니다.
그누보드 루트 디렉토리의
config.php
에서 쿠키도메인 빈칸으로 두니까 되네요.
쿠키를 공유하려고 적은건데,
(설명대로,www.sir.co.kr 과 sir.co.kr 도메인은 서로 다른 도메인으로 인식합니다. 쿠키를 공유하려면 .sir.co.kr 과 같이 입력하세요.
이곳에 입력이 없다면 www 붙은 도메인과 그렇지 않은 도메인은 쿠키를 공유하지 않으므로 로그인이 풀릴 수 있습니다.)
이거 보고 그대로 적용하려고 한건데, 왜인지 안되네요 ㅎㅎ
좀 더 공부해보고 해야겟네요.
2일동안 진전이 없어 머리만 싸매고 ㅠㅠ
덕분에 많은 도움이 되었습니다.
이번 뿐 아니라 포고를 이용하는데 있어, 정말 많은 도움이 되었습니다.
매번 질문거리도 안되는 질문들 해서 죄송하고요 ㅠ
새해 복 많이 받으시고, 올 한해도 행복한 일들만 가득하시길 바랍니다.