پیکربندی Fail2ban روی VPS لینوکسی

Fail2ban لاگ‌های سرویس‌های شما را زیر نظر می‌گیرد و آدرس‌های IP که رفتار سوءاستفاده‌گرانه دارند (تلاش‌های مکرر SSH، اسکن‌های HTTP و غیره) را به‌طور موقت مسدود می‌کند. این ابزار مکملی مفید برای فایروال UFW و پیکربندی امن SSH است.

پیش‌نیازها

• Ubuntu/Debian (یا مشتقات آن) با sudo
• سرویسی که باید محافظت شود از قبل برقرار باشد (مثلاً sshd، nginx)

نصب

Bash
1sudo apt update && sudo apt install -y fail2ban
2sudo systemctl enable fail2ban
3sudo systemctl start fail2ban

پیکربندی پایه

فایل‌های سفارشی در /etc/fail2ban/jail.d/ قرار می‌گیرند تا با به‌روزرسانی‌ها بازنویسی نشوند.

فایل /etc/fail2ban/jail.d/local.conf را بسازید:

INI
1[DEFAULT]
2bantime  = 1h
3findtime = 10m
4maxretry = 5
5ignoreip = 127.0.0.1/8 ::1
6
7[sshd]
8enabled = true
9port    = ssh
10logpath = %(sshd_log)s
11backend = %(sshd_backend)s

اگر پورت SSH را تغییر داده‌اید، port = ssh را با پورت خود جایگزین کنید (مثلاً port = 2222).

Fail2ban را بارگذاری مجدد کنید:

Bash
1sudo systemctl restart fail2ban
2sudo fail2ban-client status
3sudo fail2ban-client status sshd

محافظت از Nginx (فیلتر HTTP بیش‌ازحد سخت‌گیر)

در صورت نیاز (بسته به توزیع) بسته فیلترها را نصب کنید، سپس برای نمونه این را اضافه کنید:

INI
[nginx-http-auth]
enabled = true
port    = http,https
logpath = /var/log/nginx/error.log

مسیرهای لاگ را با نصب خود تطبیق دهید.

بهترین روش‌ها

• IP ثابت خود را در ignoreip اضافه کنید تا هنگام آزمایش خودتان مسدود نشوید.
• پس از استقرار، sudo fail2ban-client status sshd را زیر نظر داشته باشید.
• مسدودسازی‌ها موقت هستند (bantime)؛ بر اساس میزان تحمل خود تنظیم کنید.

رفع مسدودیت دستی یک IP

Bash
1sudo fail2ban-client set sshd unbanip 198.51.100.10

عیب‌یابی

• هیچ مسدودسازی انجام نمی‌شود: بررسی کنید enabled = true باشد، مسیر logpath درست باشد و سرویس، تلاش‌های ناموفق را لاگ کند.
• خودتان مسدود شده‌اید: از کنسول پنل ارائه‌دهنده میزبانی / IPMI یا یک IP دیگر برای اتصال استفاده کنید و ignoreip را تنظیم کنید یا مسدودیت را بردارید.