Protección contra ataques de fuerza bruta de contraseñas con Fail2ban¶

En este artículo

• Instalación de Fail2ban
• Cómo configurar Fail2ban correctamente
• Ejemplo de configuración para la protección de SSH
• Configuración adicional
• Aplicar la configuración
• Cómo verificar que todo funcione

Si inicia sesión en el servidor con una contraseña, los atacantes pueden intentar adivinarla automáticamente: esto se denomina ataque de fuerza bruta. La mejor protección es utilizar autenticación basada en claves (sin contraseña). Pero si por alguna razón aún utiliza una contraseña, debe agregar salvaguardias adicionales. Una de las herramientas más simples y efectivas para esto es Fail2ban.

Fail2ban es un programa que monitorea los registros (registros de la actividad del servidor). Si alguien intenta iniciar sesión demasiadas veces consecutivas y falla, Fail2ban bloquea automáticamente su dirección IP durante un período de tiempo.

Instalación de Fail2ban¶

Ubuntu / Debian:

sudo apt update
sudo apt install fail2ban -y

CentOS / Rocky Linux:

sudo yum update
sudo yum install epel-release
sudo yum install fail2ban

Para un funcionamiento correcto, debe instalarse un firewall. Puede instalar, por ejemplo, iptables:

Ubuntu / Debian:

sudo apt install iptables

CentOS / Rocky Linux:

sudo yum install iptables-services

Después de la instalación, habilite el inicio automático de Fail2ban:

sudo systemctl enable fail2ban

En Ubuntu, Fail2ban protegerá SSH inmediatamente: de forma predeterminada, bloquea una IP durante 10 minutos si ha habido 5 intentos fallidos de inicio de sesión en 10 minutos.

Cómo configurar Fail2ban correctamente¶

La configuración principal se almacena en /etc/fail2ban/jail.conf y se divide en secciones.
La sección [DEFAULT] establece reglas comunes que se aplican a todos los servicios de forma predeterminada.
Los servicios individuales (por ejemplo, SSH, servidor web Apache o FTP) tienen sus propios parámetros en sus propias secciones, como [sshd], [apache‑auth], [vsftpd], etc.

No recomendamos cambiar la configuración base en este archivo. En su lugar, cree su propio archivo de configuración: jail.local:

sudo nano /etc/fail2ban/jail.local

Puede crearlo vacío: Fail2ban rellenará cualquier opción no especificada con los valores predeterminados.

Ejemplo de configuración para la protección de SSH¶

A continuación se muestra un ejemplo simple de un archivo jail.local:

[DEFAULT]
ignoreip = 123.45.67.89


[sshd]
enabled = true
maxretry = 3
findtime = 120
bantime = 43200

Qué significa esto:

• ignoreip — su dirección IP "en la lista blanca". Fail2ban nunca la bloqueará, incluso si escribe mal su contraseña. Especifique su IP aquí (si es estática). Puede agregar varias direcciones separadas por espacios.
• enabled = true — habilitar la protección para SSH.
• maxretry = 3 — máximo de 3 intentos fallidos de inicio de sesión.
• findtime = 120 — dentro de los últimos 120 segundos (2 minutos).
• bantime = 43200 — bloquear durante 12 horas (43200 segundos).

  En otras palabras: si una IP (distinta de la suya) falla al iniciar sesión 3 veces en 2 minutos, se bloqueará durante 12 horas.

Configuración adicional¶

• Si cambió el puerto de SSH (por ejemplo, de 22 a 2222), agregue a la sección [sshd]:

  port = 2222
  

• Si utiliza UFW o firewalld en lugar de iptables, especifique:

• Para UFW: action = ufw
• Para firewalld: action = firewallcmd-ipset

Pero en la mayoría de los casos puede dejar todo en los valores predeterminados: Fail2ban elegirá el método de bloqueo apropiado automáticamente.

Aplicar la configuración¶

Después de guardar el archivo, reinicie Fail2ban:

sudo systemctl restart fail2ban

Cómo verificar que todo funcione¶

1. Verificar el estado del bloqueo de SSH:

   sudo fail2ban-client status sshd
   

   Verá una lista de direcciones IP bloqueadas.

2. Ver los registros de Fail2ban:

   sudo tail /var/log/fail2ban.log
   

3. Verificar los bloqueos de iptables (si se utilizan):

   sudo iptables -L
   

Consejo: No pruebe la protección ingresando deliberadamente una contraseña incorrecta desde su propia IP: ¡podría bloquearse accidentalmente! Es mejor esperar un poco: los bots suelen comenzar a atacar los servidores dentro de la primera hora después del lanzamiento.