Fail2Ban: Brute-Force-Attacken automatisch blocken

Fail2Ban scannt Logfiles nach Login-Fehlversuchen und blockt die IPs automatisch. Setzen und vergessen. Hier ist die Setup-Anleitung.

Was macht Fail2Ban?

Fail2Ban liest Logfiles (z.B. /var/log/auth.log für SSH) und blockt IPs nach X Fehlversuchen für Y Minuten.

Beispiel: Nach 5 falschen SSH-Logins → IP für 10 Minuten gebannt.

Perfekt gegen Brute-Force-Bots.

Installation

Auf Ubuntu/Debian:

sudo apt update
sudo apt install fail2ban

# Service starten:
sudo systemctl start fail2ban
sudo systemctl enable fail2ban

SSH absichern (Standard-Config)

Fail2Ban schützt SSH automatisch nach Installation. Default-Settings:

• 5 Fehlversuche → Ban
• Ban-Time: 10 Minuten
• Findtime: 10 Minuten (Zeitfenster)

Das reicht für die meisten.

Custom Config erstellen

Nie /etc/fail2ban/jail.conf direkt editieren! Nutze jail.local:

sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
sudo nano /etc/fail2ban/jail.local

# Ändere:
[sshd]
enabled = true
bantime = 3600    # 1 Stunde Ban
findtime = 600
maxretry = 3      # Nur 3 Versuche

# Fail2Ban neu starten:
sudo systemctl restart fail2ban

Nginx/Apache schützen

Fail2Ban kann auch Webserver-Logs überwachen:

# In jail.local:
[nginx-http-auth]
enabled = true

[nginx-noscript]
enabled = true

[nginx-badbots]
enabled = true

Status checken

Aktive Jails und gebannte IPs anzeigen:

# Alle Jails:
sudo fail2ban-client status

# Spezifische Jail:
sudo fail2ban-client status sshd

# IP manuell entbannen:
sudo fail2ban-client set sshd unbanip 123.456.789.0

Fazit

Fail2Ban ist ein Must-Have für jeden VPS. Setup in 2 Minuten, danach läuft es still im Hintergrund.