sshd服务防止暴力破解

sshd防止暴力破解几种方式：

1.密码足够复杂

2.修改默认端口号

3.不适用root用户名登录。

 #是否可以禁止root身份登录？不行，因为有些程序需要使用root什么登录，另外判断一个用户是不是超级管理员，看的是用户的id是否为0
 # 例如
 [root@localhost ~]# useradd steven        //创建一个普通用户
 [root@localhost ~]# passwd steven          //给用户一个密码
 [root@localhost ~]# vi /etc/passwd         // 修改用户权限
 root:x:0:0:root:/root:/sbin/nologin          //禁止用root名登录
 //没改之前  root:x:0:0:root:/root:/bin/bash
 steven:x:0:0::/home/steven:/bin/bash     //
 //没改之前 steven:x:500:500::/home/steven:/bin/bash

3.暴力破解情况比较严重时，需要把暴力破解的ip给直接封掉。

3.1安装fail2ban

命令lastb 查看登陆失败的用户

 [root@localhost log]# lastb
 steven   ssh:notty    10.0.5.172       Sat Nov  3 08:18 - 08:18  (00:00)
 steven   ssh:notty    10.0.5.172       Sat Nov  3 02:36 - 02:36  (00:00)
 steven   ssh:notty    10.0.5.172       Fri Nov  2 23:52 - 23:52  (00:00)
 steven   ssh:notty    10.0.5.172       Fri Nov  2 23:52 - 23:52  (00:00)
 steven   ssh:notty    10.0.5.172       Fri Nov  2 23:51 - 23:51  (00:00)

ll -h /var/log/   btmp登录失败的用户信息日志  secure登录成功的用户信息日志

暴力破解就算不成功也会导致服务器负载很高，因为暴力破解的时候，系统会不断的认证用户，从而增加了系统资源的额外开销，导致公司网站速度变慢。

fail2ban可以监视你的系统日志，然后匹配日志的错误信息，执行相应的屏蔽动作，一般是防火墙，而且可以发送e-mail通知系统管理员。

fail2ban的工作原理就是通过分析一定时间内的相关服务日至，将满足动作的有关ip利用iptables加入到drop列表。

 下载软件包：
 官方地址：http://www.fail2ban.org
 建议选择stable稳定版的
 tar -zxvf 0.9.4.tar.gz  //解压 cd fail2ban-0.9.4/      python setup.py install   //此处如果没有安装Python的请先安装python，因为使用Python写的软件

3.2生成服务启动脚本

 [root@localhost fail2ban-0.9.4]# cp files/redhat-initd /etc/init.d/fail2ban   //copy redhat-initd文件夹到init.d文件夹下
 [root@localhost fail2ban-0.9.4]# chkconfig --add fail2ban    //可以看一下/etc/inin.d/fail2ban的代码

3.3怎么找到脚本文件的

 [root@localhost fail2ban-0.9.4]# grep chkconfig ./* -R --color   //通过过滤  chkconfig
 ./files/redhat-initd:# chkconfig: - 92 08  

3.4 配置文件说明

/etc/fail2ban/action.d    #动作文件夹，内含默认文件，iptables以及mail等动作。

/etc/fail2ban/fail2ban.conf    # 定义了fail2ban日志级别，日志位置以及sock文件位置

/etc/fail2ban/filter.d　　# 条件文件夹，内含默认文件，过滤日志等关键内容

/etc/fail2ban/jail.conf　　# 只要配置文件，模块化。主要设置启用ban动作的服务及动作阀

/etc/rc.d/init.d/fail2ban　　#启动脚本文件

3.5 实力应用

设置条件：ssh远程登录5分钟内3次密码验证失败，禁止ip用户访问主机1小时，1小时候自动解除，用户可以重新登录。

3.5.1 修改jail.conf

  [root@localhost fail2ban]# vi jail.conf
  [DEFAULT]   全局设置
  //ifnoreip=127.0.0.1/8  忽略的ip列表，不受限制的ip
  //bantime = 600  屏蔽时间s
  //findtime = 600  这个时间内超过规定时间会被ban掉
  //maxretry = 3 规定时间内重试次数
  //backend = auto  自动恢复

  [ssh-iptables]#单个服务检查设置，如设置bantime、findtime等和全局设置冲突，则优先级要大于全局
  enabled = false  是否启用此服务，改成true
  filter = sshd   过滤规则filter的名字，对应filt.d目录下的sshd.conf
  action = iptables[name=SSH,port=ssh,protocol=tcp] 动作参数
  sender=fail2ban@example.com,sendername='Fai2Ban'] #触发报警的收件人
  bantime = 600     # 改成要屏蔽的时间36000
  findtime = 500
  maxretry = 5
  logpath = /var/log/secure  

3.5.2 启动服务测试

 [root@localhost fail2ban]# > /var/log/secure    //清空日志
 [root@localhost fail2ban]# service fail2ban start   //或者/etc/init.d/fail2ban start
 启动fail2ban:                                              [确定]  //启动成功  

3.53 测试 故意输错三次

3.54 查看状态

 [root@localhost ~]# fail2ban-client status
 Status
 |- Number of jail:    1
 `- Jail list:    ssh-iptables

 //查看详细状态
 Status for the jail: ssh-iptables
 |- Filter
 |  |- Currently failed:    1
 |  |- Total failed:    5
 |  `- File list:    /var/log/secure
 `- Actions
    |- Currently banned:    0
    |- Total banned:    3
    `- Banned IP list: