Firewalldとfail2banを連携させる。

CentOS7.4の環境でFirewalldとfail2banを連携させてみようと思います。Firewalldで公開しているsshサービスに対してfail2banが実行されるようにします。なおsshの公開ポートは「22」から「50000」に変更しています。rootユーザーで作業します。
前回の記事の続きです。

1. fail2banのインストール

fail2banはepelリポジトリにあるため、まずepelリポジトリのインストールを行います。それからfail2banのインストールを行います。

epelリポジトリのインストール
# yum install epel-release

fail2banのインストール
# yum install fail2ban fail2ban-systemd

2. fail2banの設定ファイルの確認

fail2banをインストールすると「/etc/fail2ban/jail.d」配下に「00-firewalld.conf」、「00-systemd.conf」というファイルができます。それぞれのファイルには以下のような記載があります。

00-firewalld.confの記載内容
====================
[DEFAULT]
banaction = firewallcmd-ipset
====================

00-systemd.confの記載内容
====================
[DEFAULT]
backend=systemd
====================

上記は「fail2banがbanしたときにfirewalldと連携する」および「fail2banがsystemdとも連携する」という設定の記載です。今回はsshのポートを変えているので、その情報もfail2banの設定ファイルに追記する必要があります(後述)。

3. fail2banの設定ファイルの修正

「/etc/fail2ban/jail.d」配下に「00-sshd.conf」というファイルを新規に作成して、以下の内容を書き込みます。

# cd /etc/fail2ban/jail.d
# vi 00-sshd.conf

書き込む内容
====================
[sshd]
enabled = true
port = 50000
blocktype = DROP
====================

「enabled = true」とすることでfail2banでsshの監視を有効にします。「port = 50000」というのはfail2banがsshのデフォルトポートを「22」ではなく「50000」として認識するようにする設定です。最後の「blocktype = DROP」というのはbanの規定回数に達したときにパケットをREJECT(拒否)ではなくDROP(破棄) するという設定です。DROPに変えている理由は、REJECTだと送信元のIPにエラーメッセージを返してしまうためbanしたことを教えてしまうことになり、セキュリティ上良くないからです。

ほかにも「00-sshd.conf」にfindtime、maxRetry、bantimeを設定できます(findtime、maxRetry、bantimeは /etc/fail2ban/jail.conf にデフォルト値が定義されていますが上書きできます)。ちなみにfindtime、maxRetry、bantimeの意味は、findtime秒内にmaxRetry回のsshログインの失敗をしたら、bantime秒ブロックさせる、ということです。

4. fail2banの起動

設定ファイルが作成できたのでfail2banを起動させます。

fail2banの起動
# systemctl start fail2ban

fail2banの自動起動の設定
# systemctl enable fail2ban

fail2banが起動するとsshのログインの監視が始まります。

5. 実際のbanとbanの解除

試しにsshのログインを(規定回数以上)間違えてbanされたかどうか確認してみました。banが発動するとfail2banのログ「/var/log/fail2ban.log」に「NOTICE [sshd] Ban 192.168.1.1」(192.168.1.1はIPアドレス)のログが出ました。banした内容を確認してみます。

banした内容の確認
# fail2ban-client status sshd

結果は以下のように表示されます。


Status for the jail: sshd
|- Filter
|  |- Currently failed:	0
|  |- Total failed:	0
|  `- Journal matches:	_SYSTEMD_UNIT=sshd.service + _COMM=sshd
`- Actions
   |- Currently banned:	1
   |- Total banned:	1
   `- Banned IP list:	192.168.1.1

手動でbanされたIPアドレスを解除してみます。

banされたIPアドレスの解除
# fail2ban-client set sshd unbanip 192.168.1.1
※「192.168.1.1」はbanされたIPアドレス

もう一度「fail2ban-client status sshd」でbanの状態を確認します。IPアドレスが解除されているのがわかります。


# fail2ban-client status sshd
Status for the jail: sshd
|- Filter
|  |- Currently failed:	0
|  |- Total failed:	0
|  `- Journal matches:	_SYSTEMD_UNIT=sshd.service + _COMM=sshd
`- Actions
   |- Currently banned:	0
   |- Total banned:	1
   `- Banned IP list:	

スポンサーリンク

コメントを残す

メールアドレスが公開されることはありません。