Brute-Force-Abwehr mit fail2ban: Jails, Backends, Status und Entsperren der eigenen Adresse

Ziel

Einen fail2ban-Jail für das Authentifizierungslog eines Dienstes aktivieren, dessen laufenden Status prüfen, eine Adresse entsperren und die für die Administration genutzten Adressen vor versehentlicher Sperrung schützen.

Voraussetzungen

Root-Rechte; fail2ban ist installiert und der Dienst läuft; es gibt eine Logquelle, die der fail2ban-Filter für den jeweiligen Dienst auswerten kann (z. B. das sshd-Log über journald oder eine Logdatei).

Schritte

1. jail.conf nie direkt bearbeiten: jail.conf(5) unterscheidet jail.conf/jail.d/*.conf (mitgeliefert, werden bei Upgrades überschrieben) von jail.local/jail.d/*.local (lokale Überschreibungen, die erhalten bleiben). Dafür /etc/fail2ban/jail.local oder eine Datei unter /etc/fail2ban/jail.d/ anlegen.
2. Einen Jail aktivieren und festlegen, wie er das Log überwacht: Abschnitt [sshd] mit enabled = true und backend = systemd, wenn der Dienst nur ins Journal schreibt (also weder /var/log/auth.log noch /var/log/secure existiert, wie unter Debian 12 und neuer ohne rsyslog). Der dokumentierte Standard ist backend = auto, das "will try 'pyinotify', 'systemd' before 'polling'"; bei einem dateibasierten Backend startet der Jail nicht, wenn die Logdatei nicht existiert.
3. Verwaltungsadressen schützen, bevor irgendetwas anderes aktiviert wird: ignoreip = 203.0.113.0/24 198.51.100.10 im Abschnitt [DEFAULT] eintragen. jail.conf(5) definiert ignoreip als "list of IPs not to ban" und erlaubt CIDR-Bereiche.
4. Die Konfiguration mit fail2ban-client -t prüfen und anschliessend neu laden: fail2ban-client reload sshd (oder fail2ban-client reload für alle Jails). Ein Jail mit eigenem ignoreip ersetzt die Liste aus [DEFAULT], statt sie zu ergänzen.
5. Den aktuellen Zustand jederzeit mit fail2ban-client status sshd abfragen; der Befehl zeigt die aktuelle Sperrliste und die Zähler des Jails.
6. Wird eine legitime Adresse gesperrt, die Sperre sofort aufheben: fail2ban-client unban 203.0.113.5. Dies entsperrt laut Dokumentation die angegebene IP "(in all jails and database)"; fail2ban-client unban --all hebt sämtliche Sperren auf.

Erwartetes Ergebnis

fail2ban-client status sshd zeigt steigende Fehlerzähler bei echten Brute-Force-Versuchen und führt die angreifende Adresse unter "Banned IP list", sobald der Schwellwert erreicht ist; Adressen in ignoreip erscheinen dort nie.

Grenzen und Prüfbasis

Eine Abweichung bei der Logquelle (ein dateibasiertes Backend überwacht eine Datei, die der Dienst nicht mehr beschreibt, oder ein Filter passt nicht zum aktuellen Logformat) kann dazu führen, dass der Jail läuft, aber nie einen Fehlversuch zählt. Mit fail2ban-client status <jail> bestätigen, dass der Fehlerzähler bei einem gezielten Test von einer Adresse ausserhalb von ignoreip steigt. Um einen Jail zurückzunehmen, in der lokalen Überschreibung enabled = false setzen und fail2ban-client reload ausführen; für keinen dieser Schritte ist ein Neustart des Systems nötig, lediglich ein Reload des fail2ban-Dienstes. Sperren werden als Firewall-Regeln durchgesetzt; ein Neustart von fail2ban kann in der Datenbank gespeicherte Sperren erneut anwenden.