Chuyển tới nội dung chính

Tối Ưu Fail2ban Cho Bảo Mật SSH Mạnh Mẽ

Giới Thiệu​

Trong thế giới số ngày nay, bảo mật máy chủ là ưu tiên hàng đầu. Một trong những điểm yếu phổ biến nhất là cổng SSH, thường xuyên bị nhắm mục tiêu bởi các cuộc tấn công brute-force từ tin tặc. Fail2ban là một công cụ mạnh mẽ, được thiết kế để tự động phát hiện và ngăn chặn các cuộc tấn công này bằng cách quét các file log và cấm địa chỉ IP của kẻ tấn công.

Bài viết này sẽ hướng dẫn bạn cách tối ưu Fail2ban để bảo vệ cổng SSH của mình một cách hiệu quả, giúp máy chủ của bạn an toàn hơn trước các mối đe dọa trực tuyến. 📋 Thời gian: 20 phút | Độ khó: Trung bình

Yêu Cầu​

Trước khi bắt đầu, hãy đảm bảo bạn có các điều kiện tiên quyết sau:

  • Một máy chủ Linux (Ubuntu, CentOS, Debian, v.v.).
  • Quyền truy cập sudo hoặc root trên máy chủ.
  • Fail2ban đã được cài đặt. Nếu chưa, chúng tôi sẽ hướng dẫn bạn cách cài đặt trong bước đầu tiên.
  • Hiểu biết cơ bản về dòng lệnh Linux và chỉnh sửa file văn bản.

Các Bước Thực Hiện​

Bước 1: Kiểm tra và Cài đặt Fail2ban (Nếu Chưa Có)​

Đầu tiên, hãy kiểm tra xem Fail2ban đã được cài đặt và đang chạy trên hệ thống của bạn chưa.

# Kiểm tra trạng thái dịch vụ Fail2ban
sudo systemctl status fail2ban

Nếu Fail2ban chưa được cài đặt hoặc không chạy, bạn có thể cài đặt nó bằng các lệnh sau tùy thuộc vào hệ điều hành của bạn:

Trên Debian/Ubuntu:

sudo apt update
sudo apt install fail2ban -y
sudo systemctl enable fail2ban
sudo systemctl start fail2ban

Trên CentOS/RHEL:

sudo yum install epel-release -y  # Cần EPEL repo cho Fail2ban
sudo yum install fail2ban -y
sudo systemctl enable fail2ban
sudo systemctl start fail2ban

✅ Sau khi cài đặt, hãy kiểm tra lại trạng thái để đảm bảo dịch vụ đang hoạt động.

Bước 2: Sao Lưu Cấu Hình Gốc và Tạo jail.local​

Fail2ban sử dụng file cấu hình chính là /etc/fail2ban/jail.conf. Tuy nhiên, để tránh mất các thay đổi khi cập nhật Fail2ban, chúng ta nên tạo một bản sao tên là jail.local và thực hiện các chỉnh sửa trên đó. jail.local sẽ ghi đè lên các cài đặt trong jail.conf.

# Sao lưu file cấu hình chính jail.conf
sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.conf.bak

# Tạo file jail.local từ jail.conf
sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

Bây giờ, tất cả các thay đổi cấu hình sẽ được thực hiện trong /etc/fail2ban/jail.local.

Bước 3: Cấu hình jail.local cho SSH​

Đây là bước quan trọng nhất để tối ưu Fail2ban cho SSH. Chúng ta sẽ mở file jail.local và chỉnh sửa các tham số mặc định cũng như cấu hình jail cho SSH.

# Mở file jail.local để chỉnh sửa bằng trình soạn thảo nano
sudo nano /etc/fail2ban/jail.local

Trong file jail.local, bạn sẽ tìm thấy phần [DEFAULT] và các [jail] cụ thể. Hãy tìm và chỉnh sửa hoặc thêm các dòng sau:

[DEFAULT]
# Thời gian cấm IP (tính bằng giây). Mặc định là 10 phút (600 giây).
# Bạn có thể tăng lên 1 giờ (3600) hoặc 1 ngày (86400) để ngăn chặn hiệu quả hơn.
bantime = 3600

# Thời gian mà một IP phải thực hiện đủ số lần thử sai để bị cấm (tính bằng giây).
# Nếu một IP thử sai trong khoảng thời gian này, nó sẽ bị cấm.
findtime = 600

# Số lần thử sai tối đa trước khi bị cấm.
maxretry = 3

# Các địa chỉ IP sẽ được bỏ qua và không bao giờ bị cấm.
# Thêm địa chỉ IP tĩnh của bạn (hoặc dải IP) vào đây để tránh bị khóa.
# Ví dụ: ignoreip = 127.0.0.1/8 ::1 192.168.1.0/24 203.0.113.42
ignoreip = 127.0.0.1/8 ::1 YOUR_STATIC_IP_ADDRESS

# Cấu hình cho jail SSH
[sshd]
enabled = true
port = ssh
filter = sshd
logpath = /var/log/auth.log
maxretry = 3
bantime = 3600

Giải thích các tham số:

  • bantime: Thời gian mà một IP bị cấm. Giá trị 3600 (1 giờ) là một điểm khởi đầu tốt. Bạn có thể tăng lên 86400 (1 ngày) nếu thấy các cuộc tấn công dai dẳng.
  • findtime: Khoảng thời gian mà Fail2ban sẽ theo dõi các lần thử sai. Nếu một IP thực hiện maxretry lần thử sai trong findtime, nó sẽ bị cấm.
  • maxretry: Số lần thử sai tối đa trước khi một IP bị cấm. Giá trị 3 là khá tốt để cân bằng giữa bảo mật và tránh cấm nhầm.
  • ignoreip: ⚠️ Rất quan trọng! Hãy thêm địa chỉ IP tĩnh của bạn vào đây để tránh bị Fail2ban cấm khỏi máy chủ của chính bạn. Nếu bạn có nhiều IP hoặc một dải IP, hãy liệt kê chúng cách nhau bởi dấu cách.
  • [sshd]: Đây là phần cấu hình cụ thể cho dịch vụ SSH.
    • enabled = true: Kích hoạt jail này.
    • port = ssh: Chỉ định cổng SSH. Nếu bạn đã thay đổi cổng SSH mặc định (22) sang một cổng khác (ví dụ: 2222), hãy thay đổi thành port = 2222. 💡 Mẹo: Thay đổi cổng SSH mặc định là một biện pháp bảo mật tốt.
    • filter = sshd: Chỉ định bộ lọc được sử dụng để phát hiện các cuộc tấn công SSH.
    • logpath = /var/log/auth.log: Đường dẫn đến file log SSH. Trên hầu hết các hệ thống Debian/Ubuntu, nó là /var/log/auth.log. Trên CentOS/RHEL, nó thường là /var/log/secure. Hãy kiểm tra file log của hệ thống bạn.
    • maxretry và bantime trong phần [sshd] sẽ ghi đè lên các giá trị [DEFAULT] chỉ cho jail sshd.

Sau khi chỉnh sửa, lưu file và thoát (trong nano, nhấn Ctrl+O để lưu, Enter, sau đó Ctrl+X để thoát).

Bước 4: Kiểm tra và Tùy chỉnh Filter (Nâng cao)​

Fail2ban sử dụng các "filter" để nhận diện các mẫu tấn công trong file log. Filter mặc định sshd thường hoạt động tốt. Tuy nhiên, nếu bạn muốn hiểu rõ hơn hoặc cần tạo filter tùy chỉnh cho các dịch vụ khác, bạn có thể kiểm tra filter hiện có.

# Xem nội dung của filter sshd mặc định
sudo cat /etc/fail2ban/filter.d/sshd.conf

# Kiểm tra xem filter có hoạt động với log của bạn không
# Thay thế đường dẫn log nếu cần thiết.
# Lệnh này giúp kiểm tra xem các dòng log có khớp với regex của filter hay không.
sudo fail2ban-regex /var/log/auth.log /etc/fail2ban/filter.d/sshd.conf

Lệnh fail2ban-regex sẽ cho bạn biết có bao nhiêu dòng log khớp với filter và bao nhiêu dòng không. Điều này hữu ích để gỡ lỗi nếu bạn nghi ngờ Fail2ban không phát hiện các cuộc tấn công đúng cách.

Bước 5: Khởi động lại và Kiểm tra Trạng thái Fail2ban​

Sau khi đã thực hiện các thay đổi, bạn cần khởi động lại dịch vụ Fail2ban để áp dụng cấu hình mới.

# Khởi động lại dịch vụ Fail2ban
sudo systemctl restart fail2ban

# Kiểm tra trạng thái dịch vụ một lần nữa để đảm bảo nó đang chạy
sudo systemctl status fail2ban

Để kiểm tra các jail đang hoạt động và xem danh sách các IP bị cấm, bạn có thể sử dụng lệnh fail2ban-client:

# Xem các jail đang hoạt động
sudo fail2ban-client status

# Xem trạng thái cụ thể của jail sshd
sudo fail2ban-client status sshd

# Xem danh sách các IP hiện đang bị cấm bởi jail sshd
sudo fail2ban-client get sshd banip

Nếu bạn cần gỡ cấm một địa chỉ IP cụ thể (ví dụ: bạn vô tình bị cấm), hãy sử dụng lệnh sau:

# Gỡ cấm một IP cụ thể (thay thế YOUR_IP_ADDRESS bằng địa chỉ IP cần gỡ cấm)
sudo fail2ban-client set sshd unbanip YOUR_IP_ADDRESS

✅ Bạn đã tối ưu Fail2ban cho SSH thành công!

Troubleshooting​

  • Fail2ban không khởi động hoặc báo lỗi cấu hình:
    • Lỗi thường gặp: Lỗi cú pháp trong file jail.local hoặc jail.conf.
    • Cách xử lý: Kiểm tra file log của Fail2ban để tìm lỗi cụ thể: sudo journalctl -u fail2ban hoặc sudo cat /var/log/fail2ban.log. Thường là một dấu ngoặc vuông bị thiếu, một từ khóa sai chính tả, hoặc một đường dẫn log không chính xác.
  • Địa chỉ IP của tôi bị cấm:
    • Lỗi thường gặp: Bạn đã nhập sai mật khẩu SSH nhiều lần và bị Fail2ban cấm.
    • Cách xử lý: Thêm địa chỉ IP của bạn vào danh sách ignoreip trong jail.local và khởi động lại Fail2ban. Nếu bạn đã bị cấm, hãy sử dụng một IP khác để truy cập máy chủ (hoặc truy cập qua console máy ảo) và sử dụng lệnh sudo fail2ban-client set sshd unbanip YOUR_IP_ADDRESS để gỡ cấm.
  • Không thấy IP nào bị cấm mặc dù có các cuộc tấn công:
    • Lỗi thường gặp: logpath không chính xác, filter không khớp, hoặc maxretry/findtime quá cao.
    • Cách xử lý:
      1. Kiểm tra lại logpath trong jail.local để đảm bảo nó trỏ đúng đến file log SSH của hệ thống bạn (thường là /var/log/auth.log hoặc /var/log/secure).
      2. Sử dụng fail2ban-regex để kiểm tra xem filter có nhận diện được các dòng log tấn công hay không.
      3. Giảm maxretry hoặc findtime để Fail2ban phản ứng nhanh hơn.
  • Fail2ban không hoạt động trên cổng SSH tùy chỉnh:
    • Lỗi thường gặp: Bạn đã thay đổi cổng SSH nhưng chưa cập nhật trong cấu hình Fail2ban.
    • Cách xử lý: Đảm bảo giá trị port trong phần [sshd] của jail.local khớp với cổng SSH hiện tại của bạn (ví dụ: port = 2222).

Kết Luận​

Việc tối ưu Fail2ban là một bước quan trọng để tăng cường bảo mật cho máy chủ SSH của bạn. Bằng cách điều chỉnh bantime, findtime, maxretry và đặc biệt là thiết lập ignoreip, bạn có thể tạo ra một lá chắn mạnh mẽ chống lại các cuộc tấn công brute-force.

Các biện pháp tốt nhất (Best Practices):

  • Xem xét log thường xuyên: Định kỳ kiểm tra /var/log/fail2ban.log và /var/log/auth.log (hoặc /var/log/secure) để nắm bắt các hoạt động đáng ngờ và điều chỉnh cấu hình nếu cần.
  • Cân bằng bantime và maxretry: Không nên đặt maxretry quá thấp hoặc bantime quá cao ngay từ đầu. Hãy bắt đầu với các giá trị hợp lý và điều chỉnh dựa trên tình hình tấn công thực tế.
  • Sử dụng mật khẩu mạnh và SSH keys: Fail2ban là một lớp bảo mật tuyệt vời, nhưng không thể thay thế cho việc sử dụng mật khẩu mạnh, duy nhất và xác thực bằng SSH key.
  • Thay đổi cổng SSH mặc định: Di chuyển SSH khỏi cổng 22 mặc định có thể giảm đáng kể lượng "tiếng ồn" từ các bot quét tự động.
  • Cập nhật Fail2ban: Luôn giữ Fail2ban và hệ điều hành của bạn được cập nhật để hưởng lợi từ các bản vá bảo mật mới nhất.
  • Kết hợp với Firewall: Fail2ban hoạt động tốt khi kết hợp với một firewall như UFW (Uncomplicated Firewall) hoặc firewalld để kiểm soát lưu lượng truy cập mạng ở cấp độ rộng hơn.

Bằng cách áp dụng các hướng dẫn này, bạn sẽ cải thiện đáng kể khả năng phòng thủ của máy chủ trước các mối đe dọa từ internet.