Fail2ban kurulumu ve ayarları

Bu rehberde ne yapacağız?

Bu rehberde Fail2ban kurulumu yapacak, jail.local ile temel ayarları belirleyecek, SSH ve web servisi için koruma etkinleştirecek ve engellenen IP adreslerini yöneteceksiniz. Fail2ban günlük dosyalarını izleyip tekrarlayan başarısız girişleri yapan adresleri geçici olarak güvenlik duvarında engeller.

Tahmini süre: 20 dakika.

Gereksinimler

• Debian/Ubuntu veya AlmaLinux/Rocky sunucu ve sudo yetkisi
• Çalışan bir güvenlik duvarı (UFW, firewalld veya nftables/iptables)
• Kendi IP adresinizi bilmek; yanlışlıkla kendinizi engellememek için ignoreip listesine ekleyeceksiniz
• Açık bir ikinci SSH oturumu ya da konsol erişimi

Adım adım Fail2ban kurulumu ve ayarları

1. Fail2ban’ı kurun

# Debian/Ubuntu
sudo apt update
sudo apt install fail2ban
# AlmaLinux/Rocky
sudo dnf install epel-release
sudo dnf install fail2ban
sudo systemctl enable --now fail2ban

RHEL tabanlı sistemlerde firewalld ile uyum için fail2ban-firewalld paketi de sunulabilir; sürümünüzdeki paket adlarını dnf search fail2ban ile kontrol edin.

2. jail.local dosyasını oluşturun

Varsayılan jail.conf dosyasını değiştirmeyin; güncellemelerde ezilir. Ayarları jail.local dosyasına yazın. Aşağıda kendi IP adresinizi ignoreip satırına ekleyin.

sudo tee /etc/fail2ban/jail.local > /dev/null <<'EOF'
[DEFAULT]
bantime = 1h
findtime = 10m
maxretry = 5
ignoreip = 127.0.0.1/8 ::1

[sshd]
enabled = true
EOF

• bantime: Engelin süresi
• findtime: Hataların sayıldığı zaman aralığı
• maxretry: Engellenmeden önce izin verilen hata sayısı
• ignoreip: Asla engellenmeyecek adresler (boşlukla ayırın, kendi IP adresinizi ekleyin)

3. Günlük kaynağını doğru seçin

Yeni Debian ve Ubuntu sürümlerinde SSH günlükleri /var/log/auth.log yerine yalnızca systemd günlüğünde olabilir. Bu durumda sshd jail için arka ucu systemd yapın: ikinci bir [sshd] bölümü açmak yerine, 2. adımda oluşturduğunuz [sshd] bölümüne backend satırını ekleyin. Bu arka uç python3-systemd paketini gerektirir. RHEL tabanlı sistemlerde de systemd arka ucu genellikle sorunsuz çalışır.

[sshd]
enabled = true
backend = systemd

4. Servisi yeniden başlatın ve durumu görün

sudo systemctl restart fail2ban
sudo fail2ban-client status
sudo fail2ban-client status sshd

5. Web uygulaması jail’i ekleyin

Fail2ban birçok hazır süzgeç içerir. Örneğin Nginx HTTP temel kimlik doğrulaması hatalarını izleyen jail aşağıdaki gibi etkinleştirilir. Günlük yolunu kendi kurulumunuza göre doğrulayın.

[nginx-http-auth]
enabled = true
port = http,https
logpath = /var/log/nginx/error.log

Hazır süzgeçleri /etc/fail2ban/filter.d/ dizininde, hazır jail örneklerini jail.conf içinde bulabilirsiniz. Kendi uygulamanız için süzgeç yazdığınızda önce regex’i deneyin.

sudo fail2ban-regex /var/log/nginx/error.log /etc/fail2ban/filter.d/nginx-http-auth.conf

6. Tekrarlayan saldırganlar için uzun engel kullanın

recidive jail’i, Fail2ban’ın kendi günlüğüne bakarak tekrar tekrar engellenen adresleri daha uzun süre engeller. Alternatif olarak, sürümünüzde mevcutsa [DEFAULT] altındaki bantime.increment = true seçeneği tekrar eden adreslerin engel süresini kademeli artırır. recidive, Fail2ban’ın kendi günlük dosyasını (/var/log/fail2ban.log) okur; [DEFAULT] altında backend = systemd tanımlarsanız bu jail’e backend = auto yazarak dosya tabanlı izlemeyi koruyun.

[recidive]
enabled = true
bantime = 1w
findtime = 1d
maxretry = 3

7. Engelleri yönetin

sudo fail2ban-client status sshd
sudo fail2ban-client set sshd unbanip 203.0.113.10
sudo fail2ban-client set sshd banip 203.0.113.20
sudo tail -n 30 /var/log/fail2ban.log

Doğrulama

• fail2ban-client status çıktısında etkin jail’ler listelenmeli
• Başka bir makineden bilerek yanlış parola veya anahtar ile birkaç kez SSH denemesi yaptığınızda, o adres engellenmiş adresler listesine girmeli (kendi yönetim IP adresinizle denemeyin)
• /var/log/fail2ban.log içinde Ban satırı görülmeli

sudo fail2ban-client status sshd
sudo grep -i ban /var/log/fail2ban.log | tail

Sık karşılaşılan sorunlar

• Jail başlamıyor, günlük dosyası bulunamadı: logpath yanlıştır veya günlük yalnızca systemd’dedir; backend = systemd kullanın.
• Engel var ama saldırgan bağlanmaya devam ediyor: Banaction güvenlik duvarınızla uyumsuzdur; UFW veya firewalld’ye uygun banaction seçin.
• Kendi IP adresim engellendi: unbanip komutuyla kaldırın ve ignoreip listesine ekleyin.
• Yapılandırma hatası: sudo fail2ban-client -t ile testi çalıştırın, journalctl -u fail2ban ile hatayı okuyun.
• Docker konteynerlerine gelen saldırılar engellenmiyor: Docker’a yönlendirilen trafik INPUT yerine FORWARD zincirinden geçer; ilgili jail’de engelin DOCKER-USER zincirine yazılması (örneğin iptables tabanlı eylemlerde chain = DOCKER-USER) gerekir.

Güvenlik ve bakım notları

• Fail2ban tek başına koruma değildir; anahtar girişi ve güncel yama ile birlikte kullanın
• ignoreip listesine geniş ağ aralıkları eklemeyin
• Yeni servis kurduğunuzda ilgili jail’i etkinleştirmeyi unutmayın
• Günlük döndürme sonrası Fail2ban’ın izlemeye devam ettiğini kontrol edin
• Yanlış pozitifleri önlemek için maxretry ve findtime değerlerini ortamınıza göre ayarlayın
• Büyük saldırılarda hızlı güvenlik duvarı kurallarını ve hız sınırlamayı da değerlendirin