La seguridad de un servidor Linux es esencial, especialmente contra ataques de fuerza bruta que buscan acceder a servicios como SSH, HTTP o FTP. Fail2Ban es una herramienta poderosa que monitoriza los registros del sistema y bloquea automáticamente las IPs sospechosas. En esta guía aprenderás cómo instalarlo, configurarlo y asegurarte de que tu servidor esté protegido, todo explicado con un toque de humor. 😅

Lo que Necesitarás

• Un servidor Linux funcional (Ubuntu, Debian, CentOS, etc.).
• Acceso SSH con permisos sudo.
• Conocimientos básicos sobre edición de archivos y terminal.

Pro tip: Piensa en Fail2Ban como el portero de un club exclusivo. Si alguien intenta entrar demasiadas veces con la contraseña incorrecta, este «portero» lo expulsa de la cola por un rato. 🎉

¿Qué es Fail2Ban?

Fail2Ban es una herramienta de seguridad que analiza los archivos de registro (logs) en busca de intentos de acceso fallidos repetidos. Si detecta un comportamiento sospechoso, como varios intentos fallidos en SSH, bloquea la IP atacante temporalmente usando el firewall.

Ventajas de Usar Fail2Ban

1. Automatización de Bloqueos: No necesitas revisar manualmente los logs.
2. Configuración Flexible: Personaliza las reglas para diferentes servicios.
3. Protección Multiservicio: Compatible con SSH, HTTP, FTP, y más.
4. Mejora del Rendimiento: Reduce la carga de intentos maliciosos en el servidor.

Instalación de Fail2Ban

Paso 1: Instalación del Paquete

En distribuciones Debian/Ubuntu:

sudo apt update
sudo apt install fail2ban -y

En distribuciones Red Hat/CentOS:

sudo yum install epel-release -y
sudo yum install fail2ban -y

Paso 2: Verificar la Instalación

Confirma que Fail2Ban está instalado:

fail2ban-client --version

Deberías ver información sobre la versión instalada.

Configuración Básica de Fail2Ban

Paso 1: Crear el Archivo Local

Nunca edites directamente el archivo de configuración principal (/etc/fail2ban/jail.conf). En su lugar, crea un archivo local:

sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

Paso 2: Configurar SSH (Protección Básica)

Edita el archivo local:

sudo nano /etc/fail2ban/jail.local

Busca la sección [sshd] y asegúrate de que esté habilitada:

[sshd]
enabled = true
port = ssh
filter = sshd
logpath = /var/log/auth.log
maxretry = 5
bantime = 600
findtime = 600

• maxretry: Número de intentos fallidos permitidos antes de bloquear la IP.
• bantime: Tiempo en segundos que una IP permanecerá bloqueada (10 minutos en este caso).
• findtime: Ventana de tiempo en la que se cuentan los intentos fallidos (10 minutos).

Paso 3: Reiniciar Fail2Ban

Aplica los cambios reiniciando el servicio:

sudo systemctl restart fail2ban

Monitoreo de Fail2Ban

Verificar el Estado

Para asegurarte de que Fail2Ban está funcionando correctamente:

sudo fail2ban-client status

Esto mostrará una lista de «jails» activos (reglas de protección).

Monitorear Intentos Bloqueados

Para revisar qué IPs han sido bloqueadas en una jail específica (por ejemplo, SSH):

sudo fail2ban-client status sshd

Nota divertida: Es como una lista negra en la puerta del club; puedes ver a todos los que no están invitados. 😉

Configuraciones Avanzadas

Habilitar Notificaciones por Correo

Configura Fail2Ban para enviarte alertas por correo cuando una IP sea bloqueada.

Edita el archivo local:

sudo nano /etc/fail2ban/jail.local

Busca la sección [DEFAULT] y agrega o modifica estas líneas:

[DEFAULT]
action = %(action_mwl)s
sender = [email protected]
destemail = [email protected]
mta = sendmail

• action: Define el nivel de información enviada (incluye los logs).
• destemail: Tu dirección de correo para recibir alertas.

Proteger Otros Servicios

Puedes proteger más servicios agregando nuevas «jails». Por ejemplo, para Apache:

[apache]
enabled = true
port = http,https
filter = apache-auth
logpath = /var/log/apache2/error.log
maxretry = 3

Crear Filtros Personalizados

Si necesitas bloquear patrones específicos, crea un filtro personalizado.

1. Crea un nuevo archivo de filtro:

sudo nano /etc/fail2ban/filter.d/mi_servicio.conf

2. Agrega una expresión regular para detectar intentos fallidos:

[Definition]
failregex = <HOST> - - .* 401

3. Configura la jail correspondiente en jail.local.

Probar Fail2Ban

Para verificar que Fail2Ban está funcionando, intenta fallar varios accesos a SSH desde otra máquina y luego revisa el estado de la jail sshd.

Si necesitas desbloquear una IP (porque, bueno, a veces el portero se equivoca):

sudo fail2ban-client unban IP_DE_BLOQUEO

Resumen

Fail2Ban es como tu guardián personal, siempre vigilando los accesos maliciosos y bloqueándolos antes de que puedan causar daño. Con configuraciones básicas y avanzadas, puedes personalizarlo para proteger servicios críticos y mantener tu servidor seguro.

• Automatiza la seguridad con bloqueos automáticos.
• Protege múltiples servicios como SSH, Apache o FTP.
• Personaliza las reglas según tus necesidades.

🛡️ Implementa Fail2Ban y duerme tranquilo sabiendo que tu servidor está protegido.