Fail2ban

定义

Fail2ban 是用 Python 编写的开源入侵防御工具,通过实时监控服务日志,识别反复登录失败等恶意行为,并自动调用防火墙临时封禁来源 IP,是 Linux 服务器抵御暴力破解的常用防线。

原理

核心概念是 jail(监狱):每个 jail 绑定一个日志文件、一组匹配失败行为的正则过滤器(filter)和一个执行封禁的动作(action)。当某 IP 在 findtime 时间窗内的失败次数达到 maxretry 阈值,Fail2ban 即通过 iptables/nftables 或 firewalld 将其封禁 bantime 时长,到期自动解封。

应用

最典型的是 sshd jail,拦截 SSH 弱口令扫描;也常用于保护 Nginx 认证、邮件服务(Postfix/Dovecot)、FTP、面板登录等;fail2ban-client status sshd 可查看封禁情况,支持白名单(ignoreip)避免误封自己。