fail2ban gegen Rateversuche

fail2ban liest Ihr Protokoll und sperrt für eine gewisse Zeit die IP-Adressen, die sich immer wieder falsch anmelden. Wenn Sie nur Schlüssel verwenden (siehe Anmeldung mit Passwort und als root deaktivieren), können Rateversuche ohnehin nicht mehr gelingen. fail2ban sorgt dann vor allem für ein ruhiges Protokoll und bremst Angreifer aus.

Installieren

anna@web1:~$ sudo apt install fail2ban

Unter Debian 13 und Ubuntu funktioniert die Überwachung von SSH (die Jail sshd) danach sofort. Unter Debian 12 ist eine zusätzliche Zeile nötig, siehe unten.

Unter AlmaLinux und Rocky Linux: sudo dnf install epel-release, sudo dnf install fail2ban und sudo systemctl enable --now fail2ban.

Ihre eigenen Einstellungen

Ändern Sie jail.conf nicht: Ein Update überschreibt diese Datei. Tragen Sie Ihre eigenen Einstellungen in /etc/fail2ban/jail.local ein:

[DEFAULT]
bantime  = 1h
findtime = 10m
maxretry = 5
bantime.increment = true
ignoreip = 127.0.0.1/8 ::1 198.51.100.7

[sshd]
enabled = true

• maxretry fehlgeschlagene Versuche innerhalb von findtime führen zu einer Sperre von bantime.
• bantime.increment: Wer wiederkommt, wird jedes Mal länger gesperrt.
• ignoreip: Adressen, die nie gesperrt werden, etwa die feste IP-Adresse Ihres Büros. Ersetzen Sie 198.51.100.7 durch Ihre eigene Adresse oder lassen Sie sie weg.
• Unter Debian 12 setzen Sie unter [sshd] außerdem backend = systemd und installieren das Paket python3-systemd. Dann liest fail2ban das Journal statt der fehlenden Datei auth.log. Debian 13 macht das bereits von selbst.

anna@web1:~$ sudo systemctl restart fail2ban
anna@web1:~$ sudo fail2ban-client status sshd
Status for the jail: sshd
|- Filter
|  |- Currently failed: 2
|  |- Total failed:     41
|  `- Journal matches:  _SYSTEMD_UNIT=ssh.service + _COMM=sshd
`- Actions
   |- Currently banned: 3
   |- Total banned:     7
   `- Banned IP list:   192.0.2.44 198.51.100.23 203.0.113.99

Sich selbst wieder freigeben

Haben Sie sich selbst ausgesperrt, zum Beispiel nach mehreren Versuchen mit einem falschen Schlüssel? Warten Sie, bis die Sperre abgelaufen ist, oder melden Sie sich über die Konsole oder von einer anderen Adresse aus an und geben Sie Folgendes ein:

anna@web1:~$ sudo fail2ban-client set sshd unbanip 198.51.100.7