Безопасность сервера / Ступень 5 из 10 · шаг 6 из 7

Перебор продолжается

~30 мин

Не запущена Запускается обычно ~20 с

Ситуация

С node2 кто-то перебирает входы на SSH node1: каждые двадцать секунд — новые попытки под чужими именами. Их видно в журнале входа: sudo journalctl -u ssh -f. На node1 для такого случая стоит fail2ban: служба включена и работает, jail sshd запущен, а на прошлой неделе коллега ещё раз прошёлся по его настройкам. node2 в бан так и не попал.

С ноутбука администратора admin-pc (адрес — getent hosts admin-pc) на node1 заходят каждый день и иногда ошибаются при входе. Этот адрес fail2ban банить не должен.

node1 — твой терминал, на node2 — ssh node2. sudo работает без пароля на обеих машинах.

Задача

Адрес node2 — в бане jail sshd: sudo fail2ban-client status sshd показывает его в списке, и SSH node1 для node2 закрыт.
Любой другой адрес сети после пяти неудачных входов по SSH за десять минут попадает в бан сам, без команд вручную.
Неудачные входы с admin-pc jail пропускает, и этот адрес в бан не попадает.
Настройки записаны в файлы /etc/fail2ban: после sudo systemctl restart fail2ban jail работает так же. Служба fail2ban включена.

Интернета в лабе нет — только сеть между node1 и node2. Всё нужное установлено на обеих машинах. Атакующего на node2 останавливать не нужно: задача — в fail2ban на node1.

Цели лабы

0 из 4

Адрес node2 в бане jail sshd — SSH node1 для node2 закрыт — ещё не проверялась
Новый адрес сети после пяти неудачных входов по SSH сам попадает в бан — ещё не проверялась
Неудачные входы с admin-pc jail пропускает и не банит — ещё не проверялась
Настройки записаны в /etc/fail2ban — после перезапуска fail2ban jail работает так же; служба включена — ещё не проверялась

Подсказки

открыто 0 из 3 · открываются по одной

Подсказка 1

Показать решение после 3 неудачных проверок

Для запуска машины нужен вход

Машина запускается на твой аккаунт, там же хранится прогресс. Читать можно без входа.

После входа вернёшься на эту лабу.

Безопасность · подобрано по лабе

fail2ban

Шпаргалка

$_ — вставить в терминал

sudo fail2ban-client status jail'ы
sudo fail2ban-client status sshd забаненные
sudo fail2ban-client set sshd unbanip 1.2.3.4 разбан
sudo fail2ban-regex /var/log/auth.log sshd тест фильтра
jail.local: bantime, findtime, maxretry, ignoreip, backend

Настройка

Не правь jail.conf — создай jail.local (переживает обновления пакета):

ini

# /etc/fail2ban/jail.local
[DEFAULT]
bantime  = 1h          # на сколько банить (поддерживает 10m, 1h, 1d)
findtime = 10m         # окно, в котором считаем попытки
maxretry = 5           # сколько промахов до бана
ignoreip = 127.0.0.1/8 10.0.0.0/24    # белый список (свои сети!)
backend  = systemd     # в Ubuntu логи SSH часто в journald

[sshd]
enabled = true

[recidive]             # бан повторных нарушителей надолго
enabled  = true
bantime  = 1w
findtime = 1d
maxretry = 5

bash

sudo systemctl restart fail2ban

Свой jail/фильтр

Для своего сервиса: фильтр (regex с группой <HOST>) + jail:

ini

# /etc/fail2ban/filter.d/myapp.conf
[Definition]
failregex = ^.*authentication failed from <HOST>.*$

# /etc/fail2ban/jail.local
[myapp]
enabled  = true
logpath  = /var/log/myapp/access.log
maxretry = 4

Проверь регуляркой до включения: fail2ban-regex <лог> <фильтр> (покажет, сколько совпадений поймал).

Порядок файлов

fail2ban читает настройки jail по порядку, и действует последнее значение:

jail.conf — из пакета, не правят;
jail.d/*.conf — по алфавиту, тут же defaults-debian.conf;
jail.local;
jail.d/*.local — по алфавиту.

maxretry = 6 в jail.d/aa.conf, 4 в jail.local и 3 в jail.d/zz.local дают 3. Итог для jail печатает fail2ban-client -d:

text

student@ubuntu:~$ sudo fail2ban-client -d | grep "'sshd', '"
['set', 'sshd', 'maxretry', 3]
['set', 'sshd', 'findtime', '10m']
['set', 'sshd', 'bantime', '10m']
['set', 'sshd', 'addignoreip', '127.0.0.1/8', '192.0.2.20']

Ошибка в любом файле не даёт службе стартовать — fail2ban-client -d покажет и её.

Что задаёт Ubuntu

На учебной машине служба fail2ban выключена. Пакет кладёт jail.d/defaults-debian.conf:

ini

[DEFAULT]
banaction = nftables
banaction_allports = nftables[type=allports]
backend = systemd

[sshd]
enabled = true

backend = systemd — jail читает журнал systemd, logpath ему не нужен. fail2ban-client status sshd показывает, что он ищет: Journal matches: _SYSTEMD_UNIT=sshd.service + _COMM=sshd (+ — «или»; на Ubuntu 24.04 служба называется ssh.service, строки находятся по _COMM=sshd).

Бан — адрес в наборе таблицы inet f2b-table, правило отвечает reject:

text

table inet f2b-table {
	set addr-set-sshd {
		type ipv4_addr
		elements = { 192.0.2.20 }
	}
	chain f2b-chain {
		type filter hook input priority filter - 1; policy accept;
		tcp dport 22 ip saddr @addr-set-sshd reject with icmp port-unreachable
	}
}

Забаненный адрес видит порт 22 как filtered (см. nmap), после unbanip — снова open.

Управление

bash

sudo fail2ban-client status               # все jail'ы
sudo fail2ban-client status sshd          # кто забанен, счётчики
sudo fail2ban-client set sshd unbanip 1.2.3.4   # разбанить
sudo fail2ban-client set sshd banip 1.2.3.4     # забанить вручную
sudo fail2ban-client get sshd bantime     # текущее значение параметра
sudo fail2ban-client reload               # перечитать конфиг
sudo fail2ban-regex /var/log/auth.log sshd  # тест фильтра
sudo tail -f /var/log/fail2ban.log        # решения: Found, Ban

Забанил сам себя

С консоли (гипервизор/serial) или с разрешённого IP: fail2ban-client set sshd unbanip <твой IP>. Добавь свою сеть в ignoreip.

Jail не банит

enabled = true? fail2ban-client status показывает jail?
Верный logpath и фильтр под формат логов; в Ubuntu SSH часто в journald — нужен backend = systemd.
Проверь фильтр: fail2ban-regex на реальном логе — ловит ли строки.

Адрес не банится: Ignore by ip

Адрес попал в ignoreip: неудачи с него не считаются, Total failed остаётся 0, а /var/log/fail2ban.log пишет на каждую строку журнала:

text

fail2ban.filter [3147]: INFO    [sshd] Ignore 192.0.2.20 by ip

Без адреса в ignoreip те же попытки дают Found и бан:

text

fail2ban.filter  [3147]: INFO    [sshd] Found 192.0.2.20
  - 2026-10-21 05:50:02
fail2ban.actions [3147]: NOTICE  [sshd] Ban 192.0.2.20

Сеть администратора в ignoreip нужна, адрес атакующего — нет. После правки — sudo fail2ban-client reload.

Банит, но атака продолжается с других IP

Это распределённый брутфорс. Включи recidive, ужесточи maxretry/findtime, рассмотри гео/ASN-блок на firewall (см. whois для CIDR).

Не уверен, работает ли вообще

fail2ban-client status sshd → Total/Currently failed и banned. Строки Found, Ban, Unban — в /var/log/fail2ban.log.