Chuyển tới nội dung chính

aaPanel: Tăng Cường Bảo Mật Server với Fail2ban

Giới Thiệu​

Trong thế giới số ngày nay, bảo mật là yếu tố tối quan trọng đối với bất kỳ máy chủ nào. Các cuộc tấn công brute-force, nơi kẻ xấu cố gắng đăng nhập bằng cách thử hàng ngàn mật khẩu khác nhau, là một mối đe dọa phổ biến đối với các dịch vụ như SSH, FTP hoặc bảng điều khiển quản trị web. Fail2ban là một công cụ mạnh mẽ giúp bạn chống lại những cuộc tấn công này bằng cách tự động cấm (ban) các địa chỉ IP có hành vi đáng ngờ.

Khi được cấu hình đúng cách trên một máy chủ chạy aaPanel, Fail2ban sẽ giám sát các tệp nhật ký của bạn (log files) và chặn các địa chỉ IP thực hiện quá nhiều lần thử đăng nhập không thành công trong một khoảng thời gian nhất định. Điều này không chỉ bảo vệ máy chủ của bạn mà còn giúp giảm tải tài nguyên hệ thống do các nỗ lực tấn công gây ra.

📋 Thời gian: Khoảng 15-25 phút | Độ khó: Cơ bản

Yêu Cầu​

Để thực hiện theo hướng dẫn này, bạn cần:

  • Một máy chủ (VPS hoặc Dedicated Server) đang chạy aaPanel.
  • Truy cập SSH vào máy chủ với quyền root hoặc người dùng có quyền sudo.
  • Kiến thức cơ bản về việc sử dụng dòng lệnh Linux.

Các Bước Thực Hiện​

Bước 1: Kiểm Tra và Cài Đặt Fail2ban​

Đầu tiên, chúng ta cần kiểm tra xem Fail2ban đã được cài đặt trên hệ thống của bạn chưa. Nếu chưa, hãy tiến hành cài đặt.

Kiểm tra trạng thái Fail2ban:

sudo systemctl status fail2ban

Nếu Fail2ban đang chạy, bạn sẽ thấy trạng thái "active (running)". Nếu không, bạn cần cài đặt nó.

Cài đặt Fail2ban: Đối với các hệ điều hành dựa trên Debian/Ubuntu:

sudo apt update
sudo apt install fail2ban -y

Đối với các hệ điều hành dựa trên CentOS/Fedora (aaPanel thường dùng CentOS):

sudo yum update -y
sudo yum install epel-release -y # Cần EPEL repo cho Fail2ban trên CentOS/RHEL
sudo yum install fail2ban -y

Kích hoạt và khởi động Fail2ban: Sau khi cài đặt, hãy đảm bảo Fail2ban được kích hoạt và khởi động cùng hệ thống:

sudo systemctl enable fail2ban
sudo systemctl start fail2ban
sudo systemctl status fail2ban # Kiểm tra lại để xác nhận

✅ Nếu bạn thấy trạng thái "active (running)", Fail2ban đã sẵn sàng hoạt động.

Bước 2: Cấu Hình Fail2ban Cơ Bản​

Fail2ban sử dụng các tệp cấu hình nằm trong thư mục /etc/fail2ban/. Tệp cấu hình chính là jail.conf. Tuy nhiên, không nên chỉnh sửa trực tiếp jail.conf vì các thay đổi có thể bị mất khi cập nhật Fail2ban. Thay vào đó, chúng ta sẽ tạo một tệp jail.local để ghi đè các cài đặt mặc định.

Tạo tệp cấu hình jail.local:

sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
sudo nano /etc/fail2ban/jail.local

Trong tệp jail.local, bạn sẽ tìm thấy một số cài đặt quan trọng:

  • ignoreip: Danh sách các địa chỉ IP hoặc dải IP sẽ không bao giờ bị cấm.

    ignoreip = 127.0.0.1/8 ::1 192.168.1.0/24 # Thêm IP của bạn vào đây nếu cần

    💡 Mẹo: Luôn thêm địa chỉ IP tĩnh của bạn vào đây để tránh bị khóa tài khoản của chính mình.

  • bantime: Thời gian (tính bằng giây) một IP bị cấm. Mặc định là 10 phút (600 giây).

    bantime = 3600 # Cấm trong 1 giờ

  • findtime: Khoảng thời gian (tính bằng giây) mà Fail2ban sẽ xem xét các lần thử không thành công. Mặc định là 10 phút (600 giây).

    findtime = 600

  • maxretry: Số lần thử không thành công tối đa trước khi một IP bị cấm. Mặc định là 5.

    maxretry = 5

Kích hoạt jail SSH (sshd): Cuộn xuống phần [sshd] trong jail.local. Đảm bảo rằng nó được kích hoạt:

[sshd]
enabled = true
port = ssh # Hoặc số port SSH tùy chỉnh của bạn
filter = sshd
logpath = /var/log/auth.log # Hoặc /var/log/secure trên CentOS
maxretry = 3
bantime = 3600

⚠️ Lưu ý: aaPanel thường chạy trên CentOS, vì vậy logpath sẽ là /var/log/secure. Nếu bạn đã thay đổi cổng SSH mặc định (port 22) thì hãy cập nhật port tương ứng.

Sau khi chỉnh sửa, lưu tệp (Ctrl+X, Y, Enter nếu dùng nano) và khởi động lại Fail2ban:

sudo systemctl restart fail2ban

Bước 3: Tích Hợp Fail2ban với Các Dịch Vụ của aaPanel​

aaPanel sử dụng Nginx hoặc Apache làm web server và Pure-FTPd làm FTP server. Chúng ta cần cấu hình Fail2ban để giám sát các dịch vụ này.

Fail2ban sử dụng các "filter" để nhận diện các mẫu lỗi trong log và các "jail" để áp dụng quy tắc cấm. Các filter có sẵn thường nằm trong /etc/fail2ban/filter.d/.

1. Bảo vệ Nginx/Apache (nếu có xác thực HTTP cơ bản hoặc tấn công vào trang đăng nhập): aaPanel thường không có xác thực HTTP cơ bản cho trang web, nhưng các cuộc tấn công vào các trang đăng nhập CMS (WordPress, Joomla, v.v.) là phổ biến. Để bảo vệ, bạn có thể tạo một jail tùy chỉnh.

  • Tìm log của Nginx/Apache:

    • Nginx: /www/wwwlogs/your_domain.com.log (access log) và /www/wwwlogs/your_domain.com_error.log (error log).
    • Apache: Thường là /var/log/httpd/access_log và /var/log/httpd/error_log hoặc trong thư mục /www/wwwlogs/.

  • Tạo jail cho Nginx/Apache (ví dụ cho Nginx): Chúng ta sẽ tạo một jail để giám sát các lỗi 404 hoặc các yêu cầu đáng ngờ.

    sudo nano /etc/fail2ban/jail.d/nginx-badbots.local

    Thêm nội dung sau:

    [nginx-badbots]
    enabled = true
    port = http,https
    filter = nginx-badbots # Filter này đã có sẵn trong Fail2ban
    logpath = /www/wwwlogs/*access.log # Giám sát tất cả các access log của Nginx
    maxretry = 20 # Có thể tăng số lần thử cho lỗi 404
    bantime = 86400 # Cấm trong 24 giờ
    findtime = 600

    Nếu bạn muốn bảo vệ trang đăng nhập WordPress (wp-login.php), bạn có thể tạo filter tùy chỉnh hoặc sử dụng filter có sẵn (nếu có):

    sudo nano /etc/fail2ban/jail.d/wordpress.local
    [wordpress]
    enabled = true
    port = http,https
    filter = wordpress # Filter này cần tồn tại hoặc bạn phải tự tạo
    logpath = /www/wwwlogs/*access.log
    maxretry = 3
    bantime = 3600

    Nếu filter = wordpress không có sẵn, bạn cần tạo nó trong /etc/fail2ban/filter.d/wordpress.conf với regex phù hợp để nhận diện các lần thử đăng nhập thất bại.

2. Bảo vệ Pure-FTPd (FTP Server của aaPanel): Pure-FTPd ghi log vào /var/log/messages (CentOS) hoặc /var/log/syslog (Ubuntu).

  • Tạo jail cho Pure-FTPd: 
    sudo nano /etc/fail2ban/jail.d/pure-ftpd.local
    Thêm nội dung sau: 
    [pure-ftpd]
    enabled = true
    port = ftp,ftp-data
    filter = pure-ftpd # Filter này đã có sẵn
    logpath = /var/log/messages # Hoặc /var/log/syslog trên Ubuntu
    maxretry = 3
    bantime = 3600
    ⚠️ Lưu ý: Đảm bảo logpath chính xác với hệ điều hành của bạn.

Sau khi thêm các jail mới, hãy khởi động lại Fail2ban:

sudo systemctl restart fail2ban

Bước 4: Quản Lý Fail2ban​

Bạn có thể sử dụng lệnh fail2ban-client để quản lý Fail2ban và kiểm tra trạng thái các jail.

  • Xem trạng thái chung của Fail2ban và các jail đang hoạt động:

    sudo fail2ban-client status

    Bạn sẽ thấy danh sách các jail đang chạy (sshd, pure-ftpd, nginx-badbots, v.v.).

  • Xem trạng thái của một jail cụ thể (ví dụ: sshd):

    sudo fail2ban-client status sshd

    Lệnh này sẽ hiển thị các IP hiện đang bị cấm bởi jail sshd.

  • Bỏ cấm một địa chỉ IP (unban IP): Nếu bạn vô tình bị cấm hoặc cần bỏ cấm một IP nào đó, hãy dùng:

    sudo fail2ban-client set <jailname> unbanip <IP_ADDRESS>
    # Ví dụ:
    sudo fail2ban-client set sshd unbanip 192.0.2.1

  • Kiểm tra logs của Fail2ban:

    sudo tail -f /var/log/fail2ban.log

    Lệnh này sẽ hiển thị các sự kiện gần đây của Fail2ban, bao gồm cả việc cấm và bỏ cấm IP.

Bước 5: Kiểm Tra và Theo Dõi​

Để đảm bảo Fail2ban hoạt động hiệu quả, hãy kiểm tra định kỳ:

  • Kiểm tra tệp log của Fail2ban:

    sudo cat /var/log/fail2ban.log | grep Ban
    sudo cat /var/log/fail2ban.log | grep Unban

    Bạn sẽ thấy các thông báo khi một IP bị cấm hoặc bỏ cấm.

  • Kiểm tra các quy tắc iptables/firewalld: Fail2ban thêm các quy tắc vào firewall của hệ thống. Trên CentOS/RHEL (sử dụng firewalld):

    sudo firewall-cmd --list-all --zone=public

    Trên Debian/Ubuntu (sử dụng iptables):

    sudo iptables -L -n

    Bạn sẽ thấy các chuỗi (chains) như f2b-sshd, f2b-pure-ftpd với các quy tắc DROP cho các IP bị cấm.

  • Thử nghiệm (cẩn thận): Bạn có thể thử đăng nhập SSH hoặc FTP sai mật khẩu vài lần từ một địa chỉ IP khác (không phải IP của bạn đã được ignoreip) để xem liệu Fail2ban có cấm IP đó không. Sau đó, hãy nhớ bỏ cấm IP đó nếu cần.

Troubleshooting​

  • Fail2ban không khởi động hoặc báo lỗi:

    • ⚠️ Kiểm tra cú pháp: Lỗi phổ biến nhất là sai cú pháp trong tệp .local của bạn. Hãy kiểm tra sudo journalctl -u fail2ban hoặc /var/log/fail2ban.log để tìm thông báo lỗi cụ thể.
    • Sai đường dẫn log: Đảm bảo logpath trong các jail của bạn trỏ đến đúng tệp nhật ký của dịch vụ.

  • IP không bị cấm mặc dù đã thử đăng nhập sai nhiều lần:

    • Kiểm tra maxretry, findtime, bantime: Đảm bảo các giá trị này phù hợp với mong muốn của bạn.
    • Kiểm tra filter: Đảm bảo filter được sử dụng đúng và có thể nhận diện được các mẫu lỗi trong log. Bạn có thể kiểm tra một filter bứng lệnh: 
      sudo fail2ban-regex /var/log/auth.log /etc/fail2ban/filter.d/sshd.conf
      Thay thế đường dẫn log và filter bằng của bạn.

  • Bị cấm nhầm IP của chính mình:

    • Sử dụng sudo fail2ban-client set <jailname> unbanip <IP_ADDRESS> để bỏ cấm.
    • Đảm bảo thêm IP của bạn vào danh sách ignoreip trong jail.local.

Kết Luận​

Việc cấu hình Fail2ban trên aaPanel là một bước quan trọng để tăng cường bảo mật cho máy chủ của bạn. Bằng cách tự động hóa việc chặn các địa chỉ IP có hành vi đáng ngờ, bạn giảm thiểu nguy cơ bị tấn công brute-force và bảo vệ tài nguyên hệ thống.

Best practices:

  • Thường xuyên kiểm tra log: Đảm bảo Fail2ban đang hoạt động như mong đợi và không có IP nào bị cấm oan.
  • Điều chỉnh cấu hình: Các giá trị bantime, findtime, maxretry có thể cần được điều chỉnh theo nhu cầu và mức độ chịu đựng rủi ro của bạn.
  • Sao lưu cấu hình: Luôn sao lưu các tệp .local của bạn để dễ dàng khôi phục khi cần.
  • Cập nhật Fail2ban: Đảm bảo Fail2ban luôn được cập nhật phiên bản mới nhất để nhận các bản vá bảo mật và cải tiến.

Với Fail2ban, máy chủ aaPanel của bạn sẽ được bảo vệ tốt hơn đáng kể khỏi các mối đe dọa phổ biến trên internet.