Перебор паролей и fail2ban

Не запущена Запускается обычно ~20 с

Шаг 6 из 7 · лаба · 30 мин

Перебор продолжается

С соседней машины перебирают входы на SSH сервера. fail2ban установлен, запущен, коллега его даже донастроил — а бана всё нет. Найди, почему, и сделай так, чтобы атакующий попал в бан, а администратор — никогда.

Ситуация

С node2 кто-то перебирает входы на SSH node1: каждые двадцать секунд — новые попытки под чужими именами. Их видно в журнале входа: sudo journalctl -u ssh -f. На node1 для такого случая стоит fail2ban: служба включена и работает, jail sshd запущен, а на прошлой неделе коллега ещё раз прошёлся по его настройкам. node2 в бан так и не попал.

С ноутбука администратора admin-pc (адрес — getent hosts admin-pc) на node1 заходят каждый день и иногда ошибаются при входе. Этот адрес fail2ban банить не должен.

node1 — твой терминал, на node2 — ssh node2. sudo работает без пароля на обеих машинах.

Задача

Адрес node2 — в бане jail sshd: sudo fail2ban-client status sshd показывает его в списке, и SSH node1 для node2 закрыт.
Любой другой адрес сети после пяти неудачных входов по SSH за десять минут попадает в бан сам, без команд вручную.
Неудачные входы с admin-pc jail пропускает, и этот адрес в бан не попадает.
Настройки записаны в файлы /etc/fail2ban: после sudo systemctl restart fail2ban jail работает так же. Служба fail2ban включена.

Интернета в лабе нет — только сеть между node1 и node2. Всё нужное установлено на обеих машинах. Атакующего на node2 останавливать не нужно: задача — в fail2ban на node1.

Лаба · самостоятельно

Команды в этой лабе не даны: набирай их в терминале сам. Цели проверяются на машине после каждой команды.

Цели

0 из 4

Адрес node2 в бане jail sshd — SSH node1 для node2 закрыт — ещё не выполнена
Новый адрес сети после пяти неудачных входов по SSH сам попадает в бан — ещё не выполнена
Неудачные входы с admin-pc jail пропускает и не банит — ещё не выполнена
Настройки записаны в /etc/fail2ban — после перезапуска fail2ban jail работает так же; служба включена — ещё не выполнена

Ctrl+Enter

Запустит машину node1 · Ubuntu 24.04

Машина запускается

Подсказки

0 из 3

Сообщить о проблеме

Цели лабы

0 из 4

Адрес node2 в бане jail sshd — SSH node1 для node2 закрыт — ещё не выполнена
Новый адрес сети после пяти неудачных входов по SSH сам попадает в бан — ещё не выполнена
Неудачные входы с admin-pc jail пропускает и не банит — ещё не выполнена
Настройки записаны в /etc/fail2ban — после перезапуска fail2ban jail работает так же; служба включена — ещё не выполнена

node1 Ubuntu 24.04

Для запуска машины нужен вход

Машина запускается на твой аккаунт, там же хранится прогресс. Читать можно без входа.

После входа вернёшься на эту лабу.

Цели лабы

0 из 4

Адрес node2 в бане jail sshd — SSH node1 для node2 закрыт — ещё не выполнена
Новый адрес сети после пяти неудачных входов по SSH сам попадает в бан — ещё не выполнена
Неудачные входы с admin-pc jail пропускает и не банит — ещё не выполнена
Настройки записаны в /etc/fail2ban — после перезапуска fail2ban jail работает так же; служба включена — ещё не выполнена

Безопасность · подобрано по лабе

fail2ban

Шпаргалка

$_ — вставить в терминал

sudo fail2ban-client status jail'ы
sudo fail2ban-client status sshd забаненные
sudo fail2ban-client set sshd unbanip 1.2.3.4 разбан
sudo fail2ban-regex /var/log/auth.log sshd тест фильтра
jail.local: bantime, findtime, maxretry, ignoreip, backend

Настройка

Не правь jail.conf — создай jail.local (переживает обновления пакета):

ini

# /etc/fail2ban/jail.local
[DEFAULT]
bantime  = 1h          # на сколько банить (поддерживает 10m, 1h, 1d)
findtime = 10m         # окно, в котором считаем попытки
maxretry = 5           # сколько промахов до бана
ignoreip = 127.0.0.1/8 10.0.0.0/24    # белый список (свои сети!)
backend  = systemd     # в Ubuntu логи SSH часто в journald

[sshd]
enabled = true

[recidive]             # бан повторных нарушителей надолго
enabled  = true
bantime  = 1w
findtime = 1d
maxretry = 5

bash

sudo systemctl restart fail2ban

Свой jail/фильтр

Для своего сервиса: фильтр (regex с группой <HOST>) + jail:

ini

# /etc/fail2ban/filter.d/myapp.conf
[Definition]
failregex = ^.*authentication failed from <HOST>.*$

# /etc/fail2ban/jail.local
[myapp]
enabled  = true
logpath  = /var/log/myapp/access.log
maxretry = 4

Проверь регуляркой до включения: fail2ban-regex <лог> <фильтр> (покажет, сколько совпадений поймал).

Порядок файлов

fail2ban читает настройки jail по порядку, и действует последнее значение:

jail.conf — из пакета, не правят;
jail.d/*.conf — по алфавиту, тут же defaults-debian.conf;
jail.local;
jail.d/*.local — по алфавиту.

maxretry = 6 в jail.d/aa.conf, 4 в jail.local и 3 в jail.d/zz.local дают 3. Итог для jail печатает fail2ban-client -d:

text

student@ubuntu:~$ sudo fail2ban-client -d | grep "'sshd', '"
['set', 'sshd', 'maxretry', 3]
['set', 'sshd', 'findtime', '10m']
['set', 'sshd', 'bantime', '10m']
['set', 'sshd', 'addignoreip', '127.0.0.1/8', '192.0.2.20']

Ошибка в любом файле не даёт службе стартовать — fail2ban-client -d покажет и её.

Что задаёт Ubuntu

На учебной машине служба fail2ban выключена. Пакет кладёт jail.d/defaults-debian.conf:

ini

[DEFAULT]
banaction = nftables
banaction_allports = nftables[type=allports]
backend = systemd

[sshd]
enabled = true

backend = systemd — jail читает журнал systemd, logpath ему не нужен. fail2ban-client status sshd показывает, что он ищет: Journal matches: _SYSTEMD_UNIT=sshd.service + _COMM=sshd (+ — «или»; на Ubuntu 24.04 служба называется ssh.service, строки находятся по _COMM=sshd).

Бан — адрес в наборе таблицы inet f2b-table, правило отвечает reject:

text

table inet f2b-table {
	set addr-set-sshd {
		type ipv4_addr
		elements = { 192.0.2.20 }
	}
	chain f2b-chain {
		type filter hook input priority filter - 1; policy accept;
		tcp dport 22 ip saddr @addr-set-sshd reject with icmp port-unreachable
	}
}

Забаненный адрес видит порт 22 как filtered (см. nmap), после unbanip — снова open.

Управление

bash

sudo fail2ban-client status               # все jail'ы
sudo fail2ban-client status sshd          # кто забанен, счётчики
sudo fail2ban-client set sshd unbanip 1.2.3.4   # разбанить
sudo fail2ban-client set sshd banip 1.2.3.4     # забанить вручную
sudo fail2ban-client get sshd bantime     # текущее значение параметра
sudo fail2ban-client reload               # перечитать конфиг
sudo fail2ban-regex /var/log/auth.log sshd  # тест фильтра
sudo tail -f /var/log/fail2ban.log        # решения: Found, Ban

Забанил сам себя

С консоли (гипервизор/serial) или с разрешённого IP: fail2ban-client set sshd unbanip <твой IP>. Добавь свою сеть в ignoreip.

Jail не банит

enabled = true? fail2ban-client status показывает jail?
Верный logpath и фильтр под формат логов; в Ubuntu SSH часто в journald — нужен backend = systemd.
Проверь фильтр: fail2ban-regex на реальном логе — ловит ли строки.

Адрес не банится: Ignore by ip

Адрес попал в ignoreip: неудачи с него не считаются, Total failed остаётся 0, а /var/log/fail2ban.log пишет на каждую строку журнала:

text

fail2ban.filter [3147]: INFO    [sshd] Ignore 192.0.2.20 by ip

Без адреса в ignoreip те же попытки дают Found и бан:

text

fail2ban.filter  [3147]: INFO    [sshd] Found 192.0.2.20
  - 2026-10-21 05:50:02
fail2ban.actions [3147]: NOTICE  [sshd] Ban 192.0.2.20

Сеть администратора в ignoreip нужна, адрес атакующего — нет. После правки — sudo fail2ban-client reload.

Банит, но атака продолжается с других IP

Это распределённый брутфорс. Включи recidive, ужесточи maxretry/findtime, рассмотри гео/ASN-блок на firewall (см. whois для CIDR).

Не уверен, работает ли вообще

fail2ban-client status sshd → Total/Currently failed и banned. Строки Found, Ban, Unban — в /var/log/fail2ban.log.