Fail2ban 是 Linux 系统安全的“智能防火墙”，它通过分析日志自动封禁恶意 IP，是防御暴力破解、扫描攻击的必备工具。

---

一、知识体系总览

模块	核心内容
1. Fail2ban 定位与作用	实时监控日志，自动封禁恶意 IP
2. 核心机制	日志分析 + 正则匹配 + 动作执行
3. 组件详解	jail, filter, action, logpath
4. 底层原理：inotify + 正则 + iptables/firewalld
5. 防御场景	SSH 暴力破解、HTTP 扫描、FTP 攻击
6. 配置文件结构	jail.conf, jail.local, filter.d, action.d
7. 常用过滤器	sshd, nginx, apache, postfix
8. 动作（Actions）	iptables, systemd, email, slack
9. 与 firewalld 的关系	CentOS/RHEL 默认集成
10. 与 iptables 的关系	封禁 IP 的底层工具
11. 性能与资源占用	轻量、低开销
12. 故障排查	日志不匹配、IP 未封禁
13. 最佳实践	使用 jail.local、设置 bantime、启用邮件告警
14. 源码级解析	Python 实现、事件驱动架构

---

二、核心定位：Fail2ban 是什么？

一个基于日志的入侵防御系统（IDS），它：

• 监控系统日志（如 /var/log/secure）
• 匹配失败登录记录（如 Failed password）
• 自动调用防火墙（iptables 或 firewalld）封禁 IP
• 支持自定义规则和动作

✅ 不是防火墙，而是“防火墙的智能控制器”

---

三、核心组件详解

✅ 1. jail（监狱）

• 定义要监控的服务和规则
• 每个 jail 对应一个服务（如 sshd）

[sshd]
enabled = true
port = ssh
filter = sshd
logpath = /var/log/secure
maxretry = 3
findtime = 600
bantime = 3600

• maxretry = 3：3 次失败就封
• findtime = 600：10 分钟内
• bantime = 3600：封 1 小时

---

✅ 2. filter（过滤器）

• 定义日志中要匹配的正则表达式
• 位于 /etc/fail2ban/filter.d/sshd.conf

[Definition]
failregex = ^%(__prefix_line)s(?:error: PAM: )?[aA]uthentication (?:failure|error) for .* from <HOST>( via \S+)?\s*$
            ^%(__prefix_line)s(?:error: PAM: )?User not known to the underlying authentication module for .* from <HOST>\s*$

• <HOST> 是正则占位符，匹配 IP

---

✅ 3. action（动作）

• 定义封禁 IP 的方式
• 可组合多个动作

action = %(action_)s
         sendmail-whois[name=SSH, dest=root, sender=fail2ban@example.com]

常见动作：

• iptables：添加 DROP 规则
• firewalld：使用 firewalld rich rule
• systemd：集成 systemd 服务
• email：发送告警邮件
• slack：发消息到 Slack

---

✅ 4. logpath

• 指定要监控的日志文件
• 支持通配符：

  logpath = /var/log/auth.log
          /var/log/secure
  

---

四、底层原理详解

✅ 1. 工作流程

1. Fail2ban 启动，读取 jail 配置
     ↓
2. 监控 logpath 指定的日志文件（使用 inotify）
     ↓
3. 实时读取新日志行
     ↓
4. 用 filter 的正则匹配失败事件
     ↓
5. 统计同一 IP 的失败次数
     ↓
6. 达到 maxretry → 触发 action
     ↓
7. 执行 iptables/firewalld 命令封禁 IP
     ↓
8. 记录封禁日志

---

✅ 2. inotify 机制（高效监控）

• 使用 Linux 内核的 inotify 接口
• 文件有新内容 → 立即通知 Fail2ban
• 避免轮询，低开销

# 查看 inotify 限制
cat /proc/sys/fs/inotify/max_user_watches

---

✅ 3. 正则匹配（filter）

• Fail2ban 用 Python 正则引擎匹配日志
• <HOST> 被替换为 IP 匹配模式
• 支持复杂模式（如时间窗口、多行日志）

---

✅ 4. 封禁机制（action）

(1) iptables 模式

iptables -I INPUT -s 1.2.3.4 -j DROP

(2) firewalld 模式

firewall-cmd --add-rich-rule='rule family="ipv4" source address="1.2.3.4" reject'

✅ 封禁是动态的，重启后失效（除非配置持久化）

---

五、防御场景

服务	配置名称	日志文件
SSH	[sshd]	/var/log/secure 或 /var/log/auth.log
Nginx	[nginx-http-auth]	/var/log/nginx/error.log
Apache	[apache-auth]	/var/log/apache2/error.log
Postfix	[postfix]	/var/log/mail.log
MySQL	[mysqld-auth]	/var/log/mysqld.log

✅ 可防御：

• SSH 暴力破解
• Web 登录爆破
• 邮件服务器攻击
• 端口扫描

---

六、配置最佳实践

✅ 1. 使用 jail.local（推荐）

# /etc/fail2ban/jail.local
[sshd]
enabled = true
maxretry = 3
bantime = 1h
findtime = 10m

[nginx-http-auth]
enabled = true

✅ 避免修改 jail.conf，防止升级覆盖

---

✅ 2. 启用邮件告警

destemail = admin@company.com
sender = fail2ban@server.com
action = %(action_mwl)s

• action_mwl：封禁 + 发送日志

---

✅ 3. 白名单（避免误封）

ignoreip = 127.0.0.1/8
           192.168.1.0/24
           10.0.0.0/8

---

七、故障排查

问题	原因	解决方案
IP 未封禁	日志路径错误	检查 logpath
正则不匹配	日志格式变化	用 fail2ban-regex 测试
firewalld 冲突	规则优先级	使用 firewalld action
资源不足	inotify 限制	echo fs.inotify.max_user_watches=524288 >> /etc/sysctl.conf

---

八、总结

Fail2ban 的本质

一个基于日志的“自动化安全守卫”——它用正则监控日志，用防火墙封禁 IP，实现对暴力破解的实时防御

核心原理

• inotify：高效监控日志文件
• 正则匹配：从日志中提取攻击 IP
• jail 配置：定义服务、阈值、封禁时间
• action 动作：调用 iptables 或 firewalld 封禁
• 模块化设计：filter + action 可扩展

成功关键

✅ 理解 jail、filter、action 三要素
✅ 使用 jail.local 避免配置丢失
✅ 配置邮件告警和白名单
✅ 用 fail2ban-client status sshd 监控状态
✅ 结合 auditd 实现纵深防御

---

一句话总结：

Fail2ban 不是“防火墙”，而是“安全AI”——它读日志、识攻击、自动封IP，让服务器在你睡觉时也能自卫。

掌握它，你就能构建真正自动化的 Linux 安全防线。