Fail2ban installieren: Server vor Angriffen schützen

Fail2ban installieren

Ubuntu und Debian:

sudo apt update
sudo apt install fail2ban
sudo systemctl enable --now fail2ban

AlmaLinux und Rocky Linux (das Paket liegt im EPEL-Repository):

sudo dnf install epel-release
sudo dnf install fail2ban
sudo systemctl enable --now fail2ban

Prüfen Sie, ob der Dienst läuft:

sudo fail2ban-client status

In den Paketen für Ubuntu und Debian ist das SSH-Jail standardmäßig aktiv; sehen Sie in der Ausgabe sshd, arbeitet der Grundschutz bereits.

Einstellungen mit jail.local

Schreiben Sie Ihre Einstellungen nicht in die mitgelieferte Datei jail.conf, sondern in eine selbst angelegte Datei /etc/fail2ban/jail.local. jail.conf kann bei Updates überschrieben werden; jail.local bleibt dagegen erhalten und wird über jail.conf hinweg angewendet.

[DEFAULT]
bantime = 1h
findtime = 10m
maxretry = 5
bantime.increment = true
ignoreip = 127.0.0.1/8 ::1 198.51.100.7

[sshd]
enabled = true

• bantime: Dauer der Sperre. 1h steht für eine Stunde.
• findtime: Zeitraum, in dem die Versuche gezählt werden.
• maxretry: Maximale Zahl erlaubter Fehlversuche in diesem Zeitraum.
• bantime.increment: Verlängert die Sperrdauer um ein Vielfaches, wenn dieselbe Adresse erneut auffällt. Gegen hartnäckige Bots ist das sehr wirksam.
• ignoreip: Adressen, die nie gesperrt werden. Tragen Sie statt 198.51.100.7 Ihre eigene feste IP-Adresse ein; so sperren Sie sich nicht versehentlich selbst aus.

Nachdem Sie die Einstellungen gespeichert haben, starten Sie den Dienst neu:

sudo systemctl restart fail2ban

Hinweis für Debian 12 und neuer: In diesen Versionen werden Logs standardmäßig nicht mehr in /var/log/auth.log, sondern im systemd-Journal gespeichert. Startet das SSH-Jail nicht, fügen Sie im Abschnitt [sshd] die Zeile backend = systemd hinzu.

Wenn Sie den SSH-Port geändert haben, teilen Sie das dem Jail mit, sonst wendet Fail2ban die Sperre auf den falschen Port an:

[sshd]
enabled = true
port = 2222

Gesperrte Adressen verwalten

Das eigene Log von Fail2ban liegt in /var/log/fail2ban.log; dort sehen Sie, welche Adresse wann und von welchem Jail gesperrt wurde.

Nginx und andere Dienste schützen

Fail2ban ist nicht nur für SSH gedacht. Das Paket bringt fertige Filter für viele Dienste mit; Sie aktivieren sie, indem Sie sie in jail.local eintragen:

[nginx-http-auth]
enabled = true

[nginx-botsearch]
enabled = true

[recidive]
enabled = true

• nginx-http-auth: Erkennt fehlgeschlagene Anmeldungen an passwortgeschützten Seiten von Nginx.
• nginx-botsearch: Erkennt Bots, die nach nicht vorhandenen Admin-Panels und bekannten Sicherheitslücken suchen.
• recidive: Überwacht das eigene Log von Fail2ban und sperrt Adressen, die in verschiedenen Jails immer wieder gesperrt werden, für deutlich längere Zeit.

Installation und Konfiguration von Nginx erklären wir in unserer Anleitung Nginx installieren. Auch für Dienste wie WordPress, Postfix, Dovecot und MariaDB gibt es fertige Filter; die Liste finden Sie im Ordner /etc/fail2ban/filter.d/.

Zusammen mit ufw verwenden

Fail2ban fügt standardmäßig direkt iptables- oder nftables-Regeln hinzu und arbeitet problemlos mit ufw zusammen. Sollen die Sperren als ufw-Regeln erscheinen, ergänzen Sie im Abschnitt [DEFAULT] folgende Zeile:

banaction = ufw

Danach sehen Sie gesperrte Adressen auch in der Ausgabe von sudo ufw status. Wie Firewall und Ports funktionieren, erklären wir im Artikel Was ist ein Port?

Die Grenzen von Fail2ban

Fail2ban ist eine starke zusätzliche Schutzschicht, löst aber nicht alles:

• Der eigentliche Schutz ist eine starke Authentifizierung. Deaktivieren Sie bei SSH die Anmeldung per Passwort und erlauben Sie nur die Anmeldung per Schlüssel; wie das geht, zeigen wir Schritt für Schritt im Artikel Was ist SSH?
• Verteilte Angriffe werden verlangsamt, aber nicht gestoppt. Tausende verschiedene Adressen, die jeweils nur wenige Versuche unternehmen, können unter der Schwelle von Fail2ban bleiben.
• Es ist kein DDoS-Schutz. Gegen Angriffe, die Ihre Leitung mit Traffic fluten, brauchen Sie Schutz auf Netzwerkebene; den Unterschied erklären wir im Artikel Was ist DDoS?

Sicherheit auf Nodesty-Servern

Auf den Nodesty-Paketen AMD Ryzen 9 9950X vServer und AMD EPYC 7763 vServer installieren Sie Fail2ban dank vollem Root-Zugriff in wenigen Minuten. Während Fail2ban Anmeldeversuche innerhalb Ihres Servers stoppt, filtert der L3–L7 nShield DDoS-Schutz Angriffe auf Netzwerkebene, bevor sie Ihren Server erreichen. Verlieren Sie wegen einer Sperre den SSH-Zugang, erreichen Sie Ihren Server jederzeit über die Webkonsole in Ihrem Panel.