Masquer les derniers auteurs
| author | version | line-number | content |
|---|---|---|---|
 |
1.1 | 1 | {{toc/}} |
| 2 | |||
| 3 | Fail2ban est un outil permettant de protéger les services exposés (comme SSH, nginx ou postfix) contre les attaques répétées par force brute. Il fonctionne en analysant les fichiers de logs et en bannissant automatiquement les adresses IP qui présentent un comportement suspect. | ||
| 4 | |||
| 5 | == Fonctionnement == | ||
| 6 | |||
| |
2.1 | 7 | Fail2ban surveille les logs (ex : ##/var/log/auth.log##) à la recherche de motifs définis (échec d’authentification, erreurs). Lorsqu’une IP déclenche un certain nombre d’alertes dans un intervalle de temps, une règle temporaire est ajoutée au pare-feu pour bloquer cette IP. |
| |
1.1 | 8 | |
| 9 | == Installation == | ||
| 10 | |||
| 11 | === Debian/Ubuntu === | ||
| 12 | |||
| 13 | {{code language="bash"}} | ||
| 14 | sudo apt install fail2ban | ||
| 15 | {{/code}} | ||
| 16 | |||
| 17 | === Fedora/RHEL/AlmaLinux === | ||
| 18 | |||
| 19 | {{code language="bash"}} | ||
| 20 | sudo dnf install fail2ban | ||
| 21 | {{/code}} | ||
| 22 | |||
| 23 | == Configuration de base == | ||
| 24 | |||
| |
2.1 | 25 | Le fichier principal est ##/etc/fail2ban/jail.conf##. Il ne faut pas le modifier : il est remplacé à chaque mise à jour. Les réglages personnels vont dans ##/etc/fail2ban/jail.local##, ou dans un fichier de ##/etc/fail2ban/jail.d/##. |
| |
1.1 | 26 | |
| |
2.1 | 27 | Ordre de lecture : ##jail.conf##, puis ##jail.d/*.conf##, puis ##jail.local##, qui l'emporte sur les précédents. |
| |
1.1 | 28 | |
| |
2.1 | 29 | {{info}} |
| 30 | Ne pas copier ##jail.conf## entier vers ##jail.local## : la copie fige toutes les valeurs par défaut de la version installée et peut écraser des réglages de ##jail.d## (par exemple le ##banaction## choisi par la distribution). Ne mettre dans ##jail.local## que ce qui diffère. | ||
| 31 | {{/info}} | ||
| 32 | |||
| |
1.1 | 33 | == Exemple de configuration pour SSH == |
| 34 | |||
| |
2.1 | 35 | Dans ##/etc/fail2ban/jail.local## : |
| 36 | |||
| 37 | {{code language="ini"}} | ||
| 38 | [sshd] | ||
| |
1.1 | 39 | enabled = true |
| 40 | port = ssh | ||
| 41 | logpath = %(sshd_log)s | ||
| 42 | maxretry = 5 | ||
| 43 | bantime = 3600 | ||
| |
2.1 | 44 | findtime = 600 |
| 45 | {{/code}} | ||
| |
1.1 | 46 | |
| |
2.1 | 47 | * ##maxretry## : nombre d’échecs avant bannissement |
| 48 | * ##bantime## : durée du bannissement en secondes | ||
| 49 | * ##findtime## : période pendant laquelle les échecs sont comptés | ||
| |
1.1 | 50 | |
| |
2.1 | 51 | Sur un système où les journaux passent par systemd, remplacer ##logpath## par ##backend = systemd##. |
| 52 | |||
| |
1.1 | 53 | == Démarrer et activer le service == |
| 54 | |||
| 55 | {{code language="bash"}} | ||
| 56 | sudo systemctl enable fail2ban | ||
| 57 | sudo systemctl start fail2ban | ||
| 58 | {{/code}} | ||
| 59 | |||
| 60 | == Vérifier l’état et les IP bannies == | ||
| 61 | |||
| 62 | {{code language="bash"}} | ||
| 63 | sudo fail2ban-client status | ||
| 64 | sudo fail2ban-client status sshd | ||
| |
2.1 | 65 | sudo fail2ban-client get sshd actions # action réellement appliquée |
| 66 | sudo fail2ban-client -t # tester la configuration | ||
| |
1.1 | 67 | {{/code}} |
| 68 | |||
| 69 | == Débannir une IP manuellement == | ||
| 70 | |||
| 71 | {{code language="bash"}} | ||
| |
2.1 | 72 | sudo fail2ban-client set sshd unbanip <IP> |
| |
1.1 | 73 | {{/code}} |
| 74 | |||
| 75 | == Étendre la protection à d’autres services == | ||
| 76 | |||
| 77 | Fail2ban peut protéger : | ||
| 78 | |||
| |
2.1 | 79 | * ##nginx## (accès interdits, erreurs 404 répétées) |
| 80 | * ##postfix## (auth SMTP ratée) | ||
| 81 | * ##nextcloud## (brute-force sur interface web) | ||
| 82 | * ##sshd## (connexion SSH échouée) | ||
| |
1.1 | 83 | |
| |
2.1 | 84 | Il suffit d’activer les sections correspondantes dans ##jail.local## et de s'assurer que les logs sont bien renseignés. |
| 85 | |||
| |
1.1 | 86 | == Logs et journalisation == |
| 87 | |||
| |
2.1 | 88 | {{code language="bash"}} |
| 89 | /var/log/fail2ban.log | ||
| 90 | journalctl -u fail2ban | ||
| 91 | {{/code}} | ||
| |
1.1 | 92 | |
| 93 | == Liens utiles == | ||
| 94 | |||
| |
2.1 | 95 | * [[fail2ban.org>>https://www.fail2ban.org/wiki/index.php/Main_Page]] |
| 96 | * [[Liste des filtres disponibles>>https://github.com/fail2ban/fail2ban/tree/master/config/filter.d]] | ||
| 97 | * [[fail2web (interface web)>>https://github.com/Sean-Der/fail2web]] | ||
| |
1.1 | 98 | |
| 99 | == Liens internes == | ||
| 100 | |||
| 101 | * [[Retour à la section Réseau & Sécurité>>doc:Wiki Batcave John.TutosLinux.ReseauSecurite.WebHome]] | ||
| |
2.1 | 102 | * [[Retour à la section Tutos Linux>>doc:Wiki Batcave John.TutosLinux.WebHome]] |
| |
1.1 | 103 | * [[Retour à l’accueil>>doc:Wiki Batcave John.WebHome]] |