fail2ban是通过扫描log来异步判断是否用iptable封禁的，所以对原系统影响比较小，而且不需要重新配置nginx。不过不知道访问量太大是否撑得住。
首先在/etc/fail2ban/jail.conf里加入
[it300-get-dos]
enabled = true
port = http,https
filter = nginx-bansniffer
action = iptables[name=IT300, port=http, protocol=tcp]
sendmail-whois[name=IT300, dest=xxxxx@qq.com, sender=xxxxxx@163.com]
logpath = /home/wwwlogs/www.it300.com.log
maxretry = 300
findtime = 60
bantime = 3600 然后创建文件/etc/fail2ban/filter.d/nginx-bansniffer.conf，内容如下：
[Definition] failregex = <HOST> -.*- .*HTTP/1.* .* .*$ ignoreregex =最后重启
fail2ban服务即可，在上面的配置中，我们对每60秒有超过300次访问的ip，封禁1小时。
测试fail2ban的效果
可以用下面的命令模拟攻击者连续访问不存在的URL, 看看fail2ban的效果:
while true ; do wget http://www.xxx.com/404 ; done
# type Ctrl-C when you stuck at "Connecting to www.xxx.com:80... "
看fail2ban的日志是否记录了上述攻击:
# grep Ban /var/log/fail2ban.log
2014-03-11 01:03:41,295 fail2ban.actions: WARNING [it300-get-dos] Ban 183.136.223.236
用iptables命令看fail2ban添加的IP封禁规则:
# iptables -L
结果省略。。。
评论