Mitigación de fuerza bruta con fail2ban: jails, backends, estado, y desbloquear la propia dirección

Objetivo

Habilitar una jail de fail2ban contra el registro de autenticación de un servicio, comprobar su estado en vivo, desbloquear una dirección, y proteger las direcciones usadas para la administración frente a un bloqueo por error.

Requisitos previos

Privilegios de root; fail2ban instalado y su servicio en ejecución; una fuente de registro que el filtro de fail2ban para ese servicio pueda analizar (por ejemplo, el registro de sshd mediante journald o un archivo de registro).

Pasos

1. No editar nunca jail.conf directamente — jail.conf(5) distingue jail.conf/jail.d/*.conf (empaquetados, sobrescritos en cada actualización) de jail.local/jail.d/*.local (anulaciones locales que persisten). Crear /etc/fail2ban/jail.local o un archivo bajo /etc/fail2ban/jail.d/.
2. Habilitar una jail y elegir cómo vigila el registro: sección [sshd] con enabled = true, y backend = systemd cuando el servicio registra únicamente en el journal (sin /var/log/auth.log ni /var/log/secure, como ocurre en Debian 12 y posteriores sin rsyslog). El valor por defecto documentado es backend = auto, que «probará 'pyinotify', 'systemd' antes que 'polling'»; con un backend basado en archivo, la jail se niega a iniciarse si su archivo de registro no existe.
3. Proteger las direcciones de gestión antes de habilitar cualquier otra cosa: añadir ignoreip = 203.0.113.0/24 198.51.100.10 a la sección [DEFAULT]; jail.conf(5) define ignoreip como la «lista de IP que no se deben bloquear», y acepta rangos CIDR.
4. Comprobar la configuración con fail2ban-client -t, y luego recargarla: fail2ban-client reload sshd (o fail2ban-client reload para todas las jails). Una jail que establece su propio ignoreip sustituye la lista de [DEFAULT] en lugar de añadirse a ella.
5. Comprobar el estado en vivo en cualquier momento: fail2ban-client status sshd, que informa de la lista de bloqueos actual de la jail y de sus contadores.
6. Si se bloquea una dirección legítima, eliminar el bloqueo de inmediato: fail2ban-client unban 203.0.113.5, documentado como el desbloqueo de la IP indicada «(en todas las jails y en la base de datos)»; fail2ban-client unban --all elimina todos los bloqueos.

Resultado esperado

fail2ban-client status sshd muestra contadores de fallo crecientes ante intentos reales de fuerza bruta y, una vez alcanzado el umbral, la dirección infractora bajo «Banned IP list»; las direcciones de ignoreip nunca aparecen allí.

Límites y base de verificación

Un desajuste en la fuente del registro (un backend de archivo que vigila un archivo en el que el servicio ya no escribe, o un filtro que no coincide con el formato de registro actual) puede dejar la jail en ejecución sin que llegue a contar nunca un fallo — hay que confirmar con fail2ban-client status <jail> que el contador de fallos aumenta durante una prueba deliberada desde una dirección que no esté en ignoreip. Para deshabilitar una jail, establecer enabled = false en la anulación local y ejecutar fail2ban-client reload; ninguno de estos pasos necesita reiniciar, solo recargar el servicio fail2ban. Los bloqueos se aplican como reglas de firewall; un reinicio de fail2ban puede volver a aplicar los bloqueos almacenados en su base de datos.