Как к автоматическому запрету IP, когда он доступ некоторые порты?

проверки psad на сканирования портов и могут реагировать соответственно, проверить эту ссылку на краткое описание о том, как настроить ее. Я просто погуглил его, также существуют многочисленные другие учебные руководства. Это доступно в репозиториях человечности, посмотрите здесь.

Также Fail2ban мог быть чем-то для Вас, видеть их Wiki для большего количества информации. Это по существу проверяет файлы журнала на Вас и может заблокировать IP-адреса автоматически. Это доступно в репозиториях человечности, посмотрите здесь.

**

Какой рекомендуемый способ автоматической блокировки IP?

**

iptables и ufw могут работать лучше с небольшой автоматизацией. fail2ban делает это, и я бы порекомендовал его как хороший выбор. Проведите предварительную проверку,

• проверьте установленные соединения судо lsof -i -n | egrep '' | grep УСТАНОВЛЕНА судо lsof -i -n | egrep '' | grep ESTABLISHED

• проверка странных пользователей и sudo-ers

  getent group sudo | вырезать -d: -f4
  grep -Po '^sudo.+:\K.*$' /etc/group
  

Постоянные баны

С помощью небольшой настройки вы можете запретить повторные попытки и восстановить действующий запрет.

установите fail2ban,

apt install fail2ban

теперь отредактируйте файл multiport.conf в fail2ban vim или nano,

nano /etc/fail2ban/action.d/iptables-multiport.conf

добавьте эти строки к 'actionstart' (наверное, с 4-й строки)

cat /etc/fail2ban/persistent.bans | awk '/^fail2ban-<name>/ {print $2}' \
          | while read IP; do iptables -I fail2ban-<name> 1 -s $IP -j <blocktype>; done

так, чтобы он выглядел примерно так

[Definition]

# Option:  actionstart
# Notes.:  command executed once at the start of Fail2Ban.
# Values:  CMD
#
actionstart = <iptables> -N f2b-<name>
              <iptables> -A f2b-<name> -j <returntype>
              <iptables> -I <chain> -p <protocol> -m multiport --dports <port> -j f2b-<name>
        cat /etc/fail2ban/persistent.bans | awk '/^fail2ban-<name>/ {print $2}' \
          | while read IP; do iptables -I fail2ban-<name> 1 -s $IP -j <blocktype>; done

добавьте эту строку в actionban сразу после строки actionban = ... для постоянного бана по ips

echo "fail2ban-<name> <ip>" >> /etc/fail2ban/persistent.bans

теперь перезапустите fail2ban,

sudo service fail2ban restart

и дайте 'бан'

   sudo fail2ban-client set sshd banip  112.0.0.0/8  
   sudo fail2ban-client set sshd banip  222.186.0.0/16

теперь проверьте наличие эффективных постоянных банов,

tail /var/log/fail2ban.log

вы должны увидеть что-то вроде,

NOTICE  [sshd] Restore Ban 112.0.0.0/8

так повторных атак можно избежать, и теперь вы можете использовать iptables, чтобы разрешить только свой ip

PS: поскольку fail2ban постоянно блокирует злоумышленников, вы можете просто расслабиться и убедиться, что НЕТ УСТАНОВЛЕННЫХ подключений к службам, использующим,

sudo lsof -i -n | egrep '\<ssh\>'   
sudo lsof -i -n | egrep '\<sshd\>'   

( обратите внимание, что вам нужна специальная «тюрьма» для конкретной службы) и посмотрите постоянные баны

cat /etc/fail2ban/persistent.bans

Вывод:

fail2ban-sshd 112.0.0.0/8
fail2ban-sshd 218.92.0.0/16
fail2ban-sshd 218.92.0.138

Объяснение

1. actionstart: мы можем добавить некоторые команды действий, которые будут выполняться только во время запуска fail2ban. Итак, мы добавили /etc/fail2ban/persistent.bans во время запуска

2. actionban: всякий раз, когда на ip накладывается бан, этот ip добавляется в файл persist.bans, который будет действовать во время фейл2бан работает. Вы можете позже отредактировать этот файл, если считаете, что IP-адрес не участвует в вредоносных атаках.

3. вы можете вручную заблокировать рассматриваемые IP-адреса, используя

   sudo fail2ban-client set sshd banip 112.0.0.0/8
   sudo fail2ban-client установить sshd banip 222.186.0.0/16