Difference between revisions of "Fail2ban/fr"

db configuration show sshd

yum --enablerepo=smecontribs install smeserver-fail2ban

yum --enablerepo=smecontribs install smeserver-fail2ban

db configuration setprop masq status enabled
expand-template /etc/rc.d/init.d/masq
/etc/init.d/masq restart
signal-event fail2ban-conf

db configuration setprop masq status enabled
signal-event post-upgrade; signal-event reboot

 # config show sshd

 # config setprop sshd AutoBlock disabled
 # signal-event remoteaccess-update

# config show fail2ban 
fail2ban=service
Mail=enabled
status=enabled

db configuration setprop fail2ban Mail disabled

signal-event fail2ban-conf

db configuration setprop httpd-e-smith Fail2Ban disabled
signal-event fail2ban-conf

[root@sme8 ~]# fail2ban-client status 
Status
|- Number of jail:	10
`- Jail list:		http-overflows, http-noscript, http-auth, sogo, pam-generic, ssh-ddos, http-scan, ssh, qpsmtpd, recidive

[root@sme8 ~]# fail2ban-client status ssh

nano /root/checklist_ban

#!/bin/bash
#lancer le script en sudo 
JAILS=$(fail2ban-client status | grep " Jail list:" | sed 's/`- Jail list:\t\t//g' | sed 's/,//g')
for j in $JAILS
do
echo "$j $(fail2ban-client status $j | grep " Currently banned:" | sed 's/   |- Currently banned:\t//g')"
done

chmod 700 /root/checklist_ban

/root/checklist_ban

fail2ban-client status qpsmtpd

Status for the jail: qpsmtpd
|- filter
|  |- File list:	/var/log/qpsmtpd/current /var/log/sqpsmtpd/current 
|  |- Currently failed:	5
|  `- Total failed:	119
`- action
   |- Currently banned:	1
   |  `- IP list:	93.17.128.20 
   `- Total banned:	1

fail2ban-client status

fail2ban-client set qpsmtpd unbanip 93.17.128.20 

fail2ban-client set JAIL unbanip MYIP

/etc/e-smith/templates-custom/etc/fail2ban/jail.conf

mkdir -p  /etc/e-smith/templates-custom/etc/fail2ban/jail.conf

expand-template /etc/rc.d/init.d/masq
/etc/init.d/masq restart
signal-event fail2ban-conf

[DEFAULT]
ignoreip = 127.0.0.0/8 192.168.XXX.XXX 192.168.XXX.0/24
bantime  = 1800
findtime  = 900
maxretry = 3
usedns = yes
backend = auto

[ssh]
enabled  = true
filter   = sshd
logpath  = /var/log/sshd/current
action   = smeserver-iptables[port="22",protocol=tcp,bantime=1800]
          smeserver-sendmail[name="SSH",dest=root]

[ssh-ddos]
enabled  = true
filter   = sshd-ddos
logpath  = /var/log/sshd/current
action   = smeserver-iptables[port="22",protocol=tcp,bantime=1800]
          smeserver-sendmail[name="SSH",dest=root]

[qpsmtpd]
enabled  = true
filter   = qpsmtpd
logpath  = /var/log/*qpsmtpd/current
maxretry = 9
action   = smeserver-iptables[port="25,465",protocol=tcp,bantime=1800]
          smeserver-sendmail[name="Qpsmtpd",dest=root]

[http-overflows]
enabled  = true
filter   = apache-overflows
logpath  = /var/log/httpd/error_log
action   = smeserver-iptables[port="80,443",protocol=tcp,bantime=1800]
          smeserver-sendmail[name="Apache (overflows)",dest=root]

[http-noscript]
enabled  = true
filter   = apache-noscript
logpath  = /var/log/httpd/error_log
action   = smeserver-iptables[port="80,443",protocol=tcp,bantime=1800]
          smeserver-sendmail[name="Apache (noscript)",dest=root]

[http-scan]
enabled  = true
filter   = apache-scan
logpath  = /var/log/httpd/error_log
action   = smeserver-iptables[port="80,443",protocol=tcp,bantime=1800]
          smeserver-sendmail[name="Apache (scan)",dest=root]

[http-auth]
enabled  = true
filter   = apache-auth
logpath  = /var/log/httpd/error_log
action   = smeserver-iptables[port="80,443",protocol=tcp,bantime=1800]
          smeserver-sendmail[name="Apache (auth)",dest=root]

[pam-generic]
enabled  = true
filter   = pam-generic
logpath  = /var/log/secure
maxretry = 6
action   = smeserver-iptables[bantime=1800]
          smeserver-sendmail[name="PAM generic",dest=root]

[recidive]
enabled  = true
filter   = recidive
logpath  = /var/log/fail2ban/daemon.log
bantime  = 604800
findtime = 86400
maxretry = 5
backend  = polling
action   = smeserver-iptables[bantime=604800]
          smeserver-sendmail[name="Recidive",dest=root]

 wget https://bugs.koozali.org/attachment.cgi?id=6229 -O /etc/fail2ban/filters.d/apache-badbots.local

yum remove smeserver-fail2ban fail2ban

fail2ban-regex [LOG] [REGEX]

fail2ban-regex /var/log/qpsmtpd/current /etc/fail2ban/filter.d/qpsmtpd.conf

^\s*\d+\s*logging::logterse plugin \(deny\): ` <HOST>\s*.*90\d.*msg denied before queued$

^\s*\d+\s*logging::logterse plugin \(deny\): \` <HOST>\s*.*90\d.*msg denied before queued$

mkdir /root/bin
nano -w /root/bin/IP_list.sh

#!/bin/sh
# Définir les variables de l'interface en ligne de commande de façon à pouvoir les lire.
TYPE=$1
LOG=$2

# Définir la chaîne grep principale
SEARCH="Ban ((1?[0-9][0-9]?|2[0-4][0-9]|25[0-5])\.){3}(1?[0-9][0-9]?|2[0-4][0-9]|25[0-5])"

# Ajouter le terme de recherche
SEARCH="\[$TYPE]\ $SEARCH"

# Maintenant, cherchez dans le journal
grep -oE "\[$TYPE\] Ban ((1?[0-9][0-9]?|2[0-4][0-9]|25[0-5])\.){3}(1?[0-9][0-9]?|2[0-4][0-9]|25[0-5])" $LOG

chmod 755 /root/bin/IP_list.sh

IP_list.sh [service] [log]

IP_list.sh qpsmtpd /var/log/fail2ban/daemon.log

mkdir /root/bin
vim /root/bin/sfail2ban

#!/bin/bash
for SERVI in $(fail2ban-client status|grep 'Liste des prisons'|cut -d':' -f2|sed 's/, / /g'| sed -e 's/^[ \t]*//')
do
fail2ban-client status $SERVI |grep -E 'liste IP|Statut de la prison'|sed 'N;s/\n/:/'|cut -d: -f2,4
done

chmod 755 /root/bin/sfail2ban

sfail2ban

# sfail2ban
ftp:	 
imap:	 
pam-generic:	 
qpsmtpd:	 
recidive:	141.98.80.15
ssh:	
ssh-ddos:	
wordpress:	

mkdir -p /root/bin
vi /root/bin/bansummary.sh

#!/bin/bash
 echo -e \
 "IP             \t"\
 "BanTime             \t"\
 "UnbanTime           \t"\
 "Jail"

 for ban in $(db fail2ban show |awk -F\= ' $2=="ban" {print $1}'); 
   do
     IP=$(db fail2ban getprop $ban Host)
     Bantime=$(date +"%F %T" -d @$(db fail2ban getprop $ban BanTimestamp))
     UnBanTime=$(date +"%F %T" -d @$(db fail2ban getprop $ban UnbanTimestamp))
     LastJail=$(zgrep -H "Ban $IP" $(find /var/log/fail2ban -type f -ctime -7) |tail -1 |awk '{print $6}') 

     printf "%-15s" "$IP"
     echo -e "\t$Bantime\t$UnBanTime\t$LastJail"
   done

chmod 755 /root/bin/bansummary.sh

bansummary.sh

IP             	BanTime             	UnbanTime           	Jail
 46.246.39.228  	2017-09-09 18:45:00	2017-09-10 18:45:00	[http-scan]
 124.239.180.102	2017-09-09 12:07:32	2017-09-10 12:07:32	[http-scan]
 212.237.54.93  	2017-09-09 19:27:32	2017-09-10 19:27:32	[http-scan]

ID	Product	Version	Status	Summary (12 tasks) ⇒
12453	SME Contribs	10.0	CONFIRMED	extra coma leading to empty string fails ignore ip template fragment
12402	SME Contribs	10.0	UNCONFIRMED	Using smeserver-git makes smeserver-fail2ban ban even though whitelisted.
12285	SME Contribs	10.0	UNCONFIRMED	WARNING message in daemon log after reboot about ssh
12199	SME Contribs	10.0	CONFIRMED	add externalip /internal ip to whitelist
11805	SME Contribs	10.0	CONFIRMED	NFR: use fail2ban db to list banned host
11801	SME Contribs	10.0	CONFIRMED	NFR: add a permanent/custom or manual jail
10799	SME Contribs	Futur	CONFIRMED	NFR: Fail2ban OpenVPN routed templates
10798	SME Contribs	9.2	CONFIRMED	NFR convert long mask to bit mask if entered as long mask
10786	SME Contribs	9.2	CONFIRMED	lockout without a full masq restart
10638	SME Contribs	9.2	CONFIRMED	IgnoreIP entry created with trailing slash stopping f2b from working
10422	SME Contribs	9.2	UNCONFIRMED	NFR: portscan jail
8955	SME Contribs	9.2	UNCONFIRMED	Fail2Ban error in qpsmtpd.conf regex

@@ Line 8: / Line 8: @@
 [http://www.firewall-services.com Firewall Services]<br>
 mailto:daniel@firewall-services.com
+Veuillez débattre, apporter des retours et partager des expérimentations sur les forums [http://forums.contribs.org/index.php/topic,51127.0.html '''ici.''']
 == Description ==
@@ Line 20: / Line 22: @@
 == Systèmes requis ==
-Cette contribution a été développée et testée sur SME Server 8 et plus. Elle ne fonctionnera probablement pas sur les SME 7.
+Cette contribution a été développée et testée sur SME Server v8 et suivantes.
-{{Note box|type=Note :|l'option SME [http://wiki.contribs.org/AutoBlock AutoBlock SSH] doit être désactivée pour s'assurer que les contrôles de fail2ban du trafic SSH ne sont pas construites dans le Firewall. '''Or AutoBlock est activé par défaut dans SME 9.x.'''
+{{Note box|type=Note :|L'option [http://wiki.contribs.org/AutoBlock AutoBlock SSH] de SSH devrait être désactivée pour s'assurer que ce soit Fail2ban qui contrôle le trafic SSH et non pas le pare-feu intégré de SME.. '''Or AutoBlock est activé par défaut dans SME 9.x.'''
 Pour vérifier qu'AutoBlock est bien désactivé :
   db configuration show sshd
-Si ce n'est pas le cas, voir sur le lien ci-dessus pour le désactiver.}}
+Si ce n'est pas le cas, voir ci-dessous pour le désactiver.}}
-== Installation ==
-Configurez les dépôts Firewall-Services, rpmforge :
- db yum_repositories set fws repository \
- BaseURL http://repo.firewall-services.com/centos/\$releasever \
- EnableGroups no GPGCheck yes \
- Name "Firewall Services" \
- GPGKey http://repo.firewall-services.com/RPM-GPG-KEY \
- Visible yes status disabled
-Configurez les dépôts EPEL :
+==Koozali SME v9/v10==
+{{#smeversion: smeserver-fail2ban}}
- /sbin/e-smith/db yum_repositories set epel repository \
+== Installation sur Koozali SME==
- Name 'Epel - EL6' \
+<tabs container><tab name="Pour SME 10">
- BaseUrl 'http://download.fedoraproject.org/pub/epel/6/$basearch' \
+  yum --enablerepo=smecontribs install smeserver-fail2ban
- MirrorList 'http://mirrors.fedoraproject.org/mirrorlist?repo=epel-6&arch=$basearch' \
+</tab><tab name="Pour SME 9">
- EnableGroups no \
+* Installez les paquets
-  GPGCheck yes \
- GPGKey http://dl.fedoraproject.org/pub/epel/RPM-GPG-KEY-EPEL \
- Visible no \
- status disabled
- signal-event yum-modify
+  yum --enablerepo=smecontribs install smeserver-fail2ban
-* Redémarrez les services, installez les rpms
-  yum --enablerepo=fws --enablerepo=epel install smeserver-fail2ban
 * Appliquer la configuration nécessaire :
 Prenez soin d'exécuter ces trois commandes avec précision. Ne pas le faire peut empêcher la connexion à distance via ssh.
   db configuration setprop masq status enabled
   expand-template /etc/rc.d/init.d/masq
@@ Line 65: / Line 48: @@
 ou bien les commandes suivantes qui sont équivalentes après redémarrage :
   db configuration setprop masq status enabled
   signal-event post-upgrade; signal-event reboot
 {{warning box|type=Attention :|à défaut d'exécuter l'une de ces commandes, l'accès au réseau sera verrouillé le temps de recharger les règles d'iptables.}}
 {{warning box|type=Attention :|le service de masquage doit être activé pour que Fail2ban fonctionne correctement ; si vous le désactivez, Fail2ban ne bannira rien.}}
+</tab>
+</tabs>
+{{warning box|type=Attention : |à partir de SME10 et de smeserver-fail2ban 0.1.18-29, le changement manuel de configuration est inclus dans la sauvegarde principale, si vous utilisez des fichiers .local dans les dossiers action.d/ fail2ban.d/ filter.d/ jail.d/. Toute modification apportée au fichier .conf appartenant au paquet n'est pas ajoutée dans la sauvegarde principale. Utilisez les fichiers .local pour remplacer le fichier .conf et ils seront dans la sauvegarde. Voir http://www.fail2ban.org/wiki/index.php/MANUAL_0_8#Configuration.}}
 == Désactiver la fonctionalité AutoBlock sur SME 9.x et supérieur ==
@@ Line 77: / Line 61: @@
 . Affichez vos paramètres actuels pour la fonctionnalité AutoBlock intégrée de SME en entrant ce qui suit en ligne de commande.
-   # Config show sshd
+   # config show sshd
 . Si AutoBlock est désactivé, aucune action n'est requise. Si AutoBlock est activé, configurez-le sur désactivé avec les commandes suivantes :
-   # Config setprop sshd AutoBlock disabled
+   # config setprop sshd AutoBlock disabled
-   # Signal-event remoteaccess-update
+   # signal-event remoteaccess-update
 == Commandes DB ==
-Il n'y a pas de panneau de configuration, vous pouvez encore gérer la contribution avec db configuration, c'est assez simple.
+Bien qu'il y ait une page de configuration dans le gestionnaire du serveur, vous pouvez aussi gérer la contribution avec « db configuration », c'est assez simple.
   # config show fail2ban
@@ Line 282: / Line 266: @@
   action   = smeserver-iptables[bantime=604800]
             smeserver-sendmail[name="Recidive",dest=root]
+====Filtres locaux personnalisés====
+Vous pouvez ajouter vos règles personnalisées en ajoutant un fichier nom_de_fichier.local dans /etc/fail2ban/filters.d/
+  wget https://bugs.koozali.org/attachment.cgi?id=6229 -O /etc/fail2ban/filters.d/apache-badbots.local
+serait un exemple de règles locales de bad bots, veillez à tester pour votre cas personnel. Certaines règles avancées pourraient créer beaucoup de faux positifs et verrouiller vos utilisateurs, cf. [https://bugs.koozali.org/show_bug.cgi?id=10857].
 == Désinstallation ==
   yum remove smeserver-fail2ban fail2ban
+==Contributions des utilisateurs==
+=== Test de nouvelles expressions régulières ===
+Vous pouvez tester de nouvelles notes d'expressions régulières issues de ce [http://bugs.contribs.org/show_bug.cgi?id=8955 bogue].
+ fail2ban-regex [LOG] [REGEX]
+Vous pouvez également tester les fichiers de configuration actuels comme indiqué :
+ fail2ban-regex /var/log/qpsmtpd/current /etc/fail2ban/filter.d/qpsmtpd.conf
+Notez que certains caractères tels que « ` » peuvent avoir besoin d’être échappés sur la ligne de commande comme ceci \` mais n’ont pas besoin d’être échappés dans les fichiers de configuration.
+Par exemple, à partir du fichier qpsmptd.conf, cela fonctionne dans le fichier de configuration.
+ ^\s*\d+\s*logging::logterse plugin \(deny\): ` <HOST>\s*.*90\d.*msg denied before queued$
+Cependant, en ligne de commande, il faut l'écrire comme ceci :
+ ^\s*\d+\s*logging::logterse plugin \(deny\): \` <HOST>\s*.*90\d.*msg denied before queued$
+===Afficher les adresses IP bannies par le service===
+====Consultez le journal de fail2ban====
+Voici un autre script rapide qui vous montre les adresses IP bannies les plus récentes dans les journaux. Notez qu’elles ne le sont peut-être plus, mais il n’y a pas de vérification pour cela.
+ mkdir /root/bin
+ nano -w /root/bin/IP_list.sh
+et copiez et collez le code ci-dessous dans le fichier :
+ #!/bin/sh
+ # Définir les variables de l'interface en ligne de commande de façon à pouvoir les lire.
+ TYPE=$1
+ LOG=$2
+ # Définir la chaîne grep principale
+ SEARCH="Ban ((1?[0-9][0-9]?|2[0-4][0-9]|25[0-5])\.){3}(1?[0-9][0-9]?|2[0-4][0-9]|25[0-5])"
+ # Ajouter le terme de recherche
+ SEARCH="\[$TYPE]\ $SEARCH"
+ # Maintenant, cherchez dans le journal
+ grep -oE "\[$TYPE\] Ban ((1?[0-9][0-9]?|2[0-4][0-9]|25[0-5])\.){3}(1?[0-9][0-9]?|2[0-4][0-9]|25[0-5])" $LOG
+Enregistrez le fichier et rendez-le exécutable :
+ chmod 755 /root/bin/IP_list.sh
+Utilisation :
+ IP_list.sh [service] [log]
+Par exemple :
+ IP_list.sh qpsmtpd /var/log/fail2ban/daemon.log
+====Vérifiez l'IP bannie par fail2ban pour tous les prisons actives ====
+Par [[User:Unnilennium|Unnilennium]] ([[User talk:Unnilennium|talk]])
+ mkdir /root/bin
+ vim /root/bin/sfail2ban
+Collez-lui ceci :
+ #!/bin/bash
+ for SERVI in $(fail2ban-client status|grep 'Liste des prisons'|cut -d':' -f2|sed 's/, / /g'| sed -e 's/^[ \t]*//')
+ do
+ fail2ban-client status $SERVI |grep -E 'liste IP|Statut de la prison'|sed 'N;s/\n/:/'|cut -d: -f2,4
+ done
+puis faites :
+ chmod 755 /root/bin/sfail2ban
+Utilisation :
+ sfail2ban
+Résultat :
+ # sfail2ban
+ ftp:
+ imap:
+ pam-generic:
+ qpsmtpd:
+ recidive:	141.98.80.15
+ ssh:
+ ssh-ddos:
+ wordpress:
+====Imprimez un résumé de la base de données de fail2ban====
+ mkdir -p /root/bin
+ vi /root/bin/bansummary.sh
+Collez ceci :
+ <nowiki>#!/bin/bash
+ echo -e \
+ "IP             \t"\
+ "BanTime             \t"\
+ "UnbanTime           \t"\
+ "Jail"
+ for ban in $(db fail2ban show |awk -F\= ' $2=="ban" {print $1}');
+   do
+     IP=$(db fail2ban getprop $ban Host)
+     Bantime=$(date +"%F %T" -d @$(db fail2ban getprop $ban BanTimestamp))
+     UnBanTime=$(date +"%F %T" -d @$(db fail2ban getprop $ban UnbanTimestamp))
+     LastJail=$(zgrep -H "Ban $IP" $(find /var/log/fail2ban -type f -ctime -7) |tail -1 |awk '{print $6}')
+     printf "%-15s" "$IP"
+     echo -e "\t$Bantime\t$UnBanTime\t$LastJail"
+   done
+ </nowiki>
+Sauveagarder, puis rendre exécutable
+ chmod 755 /root/bin/bansummary.sh
+Utilisation :
+ bansummary.sh
+Sortie :
+ <nowiki>IP             	BanTime             	UnbanTime           	Jail
+.246.39.228  	2017-09-09 18:45:00	2017-09-10 18:45:00	[http-scan]
+.239.180.102	2017-09-09 12:07:32	2017-09-10 12:07:32	[http-scan]
+.237.54.93  	2017-09-09 19:27:32	2017-09-10 19:27:32	[http-scan]
+ </nowiki>
+===WordPress===
+Fail2Ban fonctionne avec WordPress mais nécessite une configuration supplémentaire. Veuillez consulter [[Wordpress#Fail2Ban |la page WordPress]] (en anglais).
 == Bogues ==
@@ Line 291: / Line 399: @@
 Aperçu ci-dessous des problèmes actuels de cette contribution {{#bugzilla:columns=id,product,version,status,summary|sort=id|order=desc|component=smeserver-fail2ban|noresultsmessage=No open bugs found.}}
+==Journal des modifications==
+Seules les versions publiées dans smecontribs sont répertoriées ici.
+{{ #smechangelog: smeserver-fail2ban}}
-==Contributions des utilisateurs==
+[[Category: Contrib/fr]][[Category: Security]]
-Voir la version en anglais de cette page [[Fail2ban#User_contributions]].
-[[Category: Contrib/fr]]

	Skill level: Facile
	Les instructions sur cette page peuvent être suivies par un débutant.

	Astuce :
	Fail2ban n'est pas seulement un outil contre les attaques par force brute sur SSH, mais il peut être un outil utile contre les attaques de protocole http ou spam sur votre serveur. Voir la section prison.

	Attention :
	à défaut d'exécuter l'une de ces commandes, l'accès au réseau sera verrouillé le temps de recharger les règles d'iptables.

	Attention :
	le service de masquage doit être activé pour que Fail2ban fonctionne correctement ; si vous le désactivez, Fail2ban ne bannira rien.

	Note :
	votre réseau et votre serveur sont dans la liste des adresses IP ignorées par fail2ban (voir IgnoreIP.)

Difference between revisions of "Fail2ban/fr"

Latest revision as of 14:34, 26 August 2022

Fail2ban pour SME Server

Mainteneur

Description

Systèmes requis

Koozali SME v9/v10

Installation sur Koozali SME

Désactiver la fonctionalité AutoBlock sur SME 9.x et supérieur

Commandes DB

Services

Bannissements sélectifs

Utilisation de Fail2ban

Lister toutes les prisons

Lister les IP bannis d'une prison spécifique

Script qui liste combien d'IP sont interdits dans toutes les prisons

Réintégrer une IP

Jail.conf

Default jail.conf

Filtres locaux personnalisés

Désinstallation

Contributions des utilisateurs

Test de nouvelles expressions régulières

Afficher les adresses IP bannies par le service

Consultez le journal de fail2ban

Vérifiez l'IP bannie par fail2ban pour tous les prisons actives

Imprimez un résumé de la base de données de fail2ban

WordPress

Bogues

Journal des modifications

Navigation menu

Search