¿Cómo Instalar FreeBSD en un VPS Paso a Paso: Guía Completa" class="internal-post-link">Cómo Instalar y Configurar un Servidor Web en un VPS Cloud en 2025: Guía Completa" class="internal-post-link">Cómo instalar y configurar Fail2ban en un VPS Ubuntu?
Proteger tu VPS de accesos no autorizados es una tarea de vital importancia. Fail2ban es una herramienta poderosa que escanea los registros en busca de actividades sospechosas, como intentos fallidos de inicio de sesión, y bloquea automáticamente las direcciones IP desde las que provienen estos intentos. En este artículo, analizaremos en detalle el proceso de instalación y configuración de Fail2ban en un VPS con Ubuntu, para proporcionar una capa adicional de seguridad para tu servidor.
Cubriremos todas las etapas, desde la instalación del paquete Fail2ban hasta la configuración de filtros para proteger contra diversos tipos de ataques. Aprenderás a definir tus propias reglas de bloqueo y a adaptar Fail2ban a las necesidades específicas de tu servidor. Esta guía está dirigida tanto a principiantes como a usuarios experimentados de Linux que buscan mejorar la seguridad de sus VPS.
Contenido
- Instalación de Fail2ban
- Configuración básica de Fail2ban
- Configuración de Jail.local para la protección SSH
- Pruebas y verificación del funcionamiento de Fail2ban
- Desbloqueo automático de direcciones IP
Instalación de Fail2ban
El primer paso para proteger tu VPS es instalar Fail2ban. Ubuntu proporciona el paquete Fail2ban en sus repositorios estándar, lo que simplifica enormemente el proceso de instalación. Para empezar, actualiza la lista de paquetes para asegurarte de tener las versiones más recientes:sudo apt updatesudo apt install fail2bansudo systemctl status fail2bansudo systemctl start fail2bansudo systemctl enable fail2bansudo apt update && sudo apt install fail2banfail2ban-client --versionsudo tail -f /var/log/fail2ban.logConfiguración básica de Fail2ban
Después de una instalación exitosa, es necesario configurar Fail2ban para proteger eficazmente tu servidor. La configuración de Fail2ban se gestiona a través de los archivos `jail.conf` y `jail.local`. Es importante comprender que `jail.conf` es el archivo de configuración predeterminado y no se recomienda modificarlo directamente, ya que las actualizaciones del paquete pueden sobrescribir tus cambios. En su lugar, debes utilizar el archivo `jail.local` para redefinir los parámetros de `jail.conf`. Primero, crea el archivo `jail.local` a partir de `jail.conf`:sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.localsudo nano /etc/fail2ban/jail.local- `bantime`: Define durante cuántos segundos se bloqueará la dirección IP. Por ejemplo, `bantime = 600` significa un bloqueo de 10 minutos.
- `findtime`: Define durante cuánto tiempo Fail2ban rastreará los intentos de inicio de sesión. Por ejemplo, `findtime = 600` significa que Fail2ban tendrá en cuenta los intentos de inicio de sesión realizados en los últimos 10 minutos.
- `maxretry`: Define cuántos intentos fallidos de inicio de sesión son permisibles durante `findtime` antes de bloquear la dirección IP. Por ejemplo, `maxretry = 3` significa que después de tres intentos fallidos de inicio de sesión, la dirección IP se bloqueará.
- `destemail`: Especifica la dirección de correo electrónico a la que se enviarán las notificaciones de bloqueo.
- `sendername`: El nombre del remitente en los correos electrónicos de notificación.
[DEFAULT]
bantime = 3600
findtime = 600
maxretry = 5
destemail = your_email@example.com
sendername = Fail2ban
sudo systemctl restart fail2ban[DEFAULT]
bantime = 7200 ; Bloqueo durante 2 horas
maxretry = 4 ; 4 intentos fallidos
[DEFAULT]
destemail = admin@example.com
sendername = Fail2ban VPS
mta = sendmail
action = %(action_mwl)s
[DEFAULT]
logfile = /var/log/my_custom_log.log
Configuración de Jail.local para la protección SSH
Fail2ban utiliza «jails» (prisiones) para definir las reglas de bloqueo para varios servicios. Cada prisión está asociada con un servicio específico (por ejemplo, SSH, Apache, Nginx) y define qué registros deben monitorearse, qué patrones deben buscarse y qué acciones deben tomarse al detectar actividad sospechosa. De forma predeterminada, en el archivo `jail.conf` ya se definen algunas prisiones, pero a menudo están desactivadas. Para activar y configurar la prisión para la protección SSH, debes realizar cambios en el archivo `jail.local`. Abre el archivo `jail.local` para editarlo:sudo nano /etc/fail2ban/jail.local[sshd]
enabled = true
port = ssh
logpath = %(sshd_log)s
backend = systemd
- `enabled = true`: Habilita la prisión sshd.
- `port = ssh`: Especifica el puerto que Fail2ban protegerá. En este caso, es el puerto SSH estándar (22). Si utilizas un puerto SSH no estándar, reemplaza `ssh` con el número de tu puerto (por ejemplo, `port = 2222`).
- `logpath = %(sshd_log)s`: Especifica la ruta al archivo de registro SSH. `%(sshd_log)s` es una variable definida en `jail.conf` que apunta al archivo de registro SSH estándar.
- `backend = systemd`: Especifica cómo Fail2ban rastreará los cambios en el archivo de registro. `systemd` es el sistema de inicialización utilizado en Ubuntu. Otros valores posibles: `polling`, `gamin`, `inotify`. `systemd` suele ser la forma más eficaz y fiable.
sudo systemctl restart fail2ban[sshd]
enabled = true
port = 2222
logpath = %(sshd_log)s
backend = systemd
[sshd]
enabled = true
port = ssh
logpath = %(sshd_log)s
backend = systemd
filter = sshd
[sshd]
enabled = true
port = ssh
logpath = %(sshd_log)s
backend = systemd
bantime = 86400 ; Bloqueo durante 24 horas
Pruebas y verificación del funcionamiento de Fail2ban
Después de instalar y configurar Fail2ban, es necesario verificar su funcionalidad para asegurarte de que protege eficazmente tu servidor. Hay varias maneras de hacerlo:- Verificación del estado de la prisión: Puedes verificar el estado de una prisión específica con el comando `fail2ban-client`.
- Análisis del registro de Fail2ban: La visualización del registro de Fail2ban te permite ver qué direcciones IP se han bloqueado y por qué.
- Emulación de un ataque: Puedes emular intentos fallidos de inicio de sesión para verificar que Fail2ban bloquea correctamente la dirección IP.
sudo fail2ban-client status sshd- Estado (habilitada o deshabilitada)
- Cantidad de direcciones IP bloqueadas
- Lista de direcciones IP bloqueadas
sudo tail -f /var/log/fail2ban.logsudo fail2ban-client set sshd unbanip 192.168.1.100sudo iptables -L FAIL2BAN-SSHDsudo fail2ban-client reloadDesbloqueo automático de direcciones IP
En algunos casos, puede ser necesario desbloquear automáticamente las direcciones IP después de un período de tiempo determinado. Fail2ban, de forma predeterminada, bloquea las direcciones IP durante el tiempo especificado (`bantime`), pero a veces es necesario que una dirección IP se desbloquee automáticamente antes, por ejemplo, si el bloqueo se produjo por error o si la dirección IP dinámica ha cambiado. Para implementar el desbloqueo automático, se pueden utilizar varios enfoques:- Establecimiento de un tiempo de bloqueo corto: La forma más sencilla es establecer un valor pequeño para el parámetro `bantime`. Sin embargo, esto puede hacer que tu servidor sea más vulnerable a los ataques, ya que un atacante podría repetir los intentos de inicio de sesión en un corto período de tiempo.
- Uso de scripts para el desbloqueo automático: Un enfoque más complejo, pero también más flexible, es el uso de scripts que desbloquean automáticamente las direcciones IP después de un período de tiempo determinado.
#!/bin/bash
# Tiempo en segundos, después del cual se deben desbloquear las direcciones IP
UNBAN_TIME=3600
# Prisiones para las que se debe realizar el desbloqueo automático
JAILS="sshd"
for JAIL in $JAILS; do
fail2ban-client status $JAIL | grep "Banned IP list:" | awk '{print $4}' | tr -d '[]' | tr ',' '\n' | while read IP; do
BAN_TIME=$(fail2ban-client get $JAIL banip $IP | grep "Ban since" | awk '{print $3 " " $4 " " $5 " " $6 " " $7}')
BAN_TIMESTAMP=$(date -d "$BAN_TIME" +%s)
CURRENT_TIMESTAMP=$(date +%s)
ELAPSED_TIME=$((CURRENT_TIMESTAMP - BAN_TIMESTAMP))
if [ "$ELAPSED_TIME" -gt "$UNBAN_TIME" ]; then
fail2ban-client set $JAIL unbanip $IP
echo "$(date) - Desbloqueada la IP $IP en la prisión $JAIL" >> /var/log/fail2ban-auto-unban.log
fi
done
done
- Define el tiempo en segundos después del cual se deben desbloquear las direcciones IP (`UNBAN_TIME`).
- Define una lista de prisiones para las que se debe realizar el desbloqueo automático (`JAILS`).
- Recorre la lista de direcciones IP bloqueadas para cada prisión.
- Define la hora de bloqueo de la dirección IP.
- Si el tiempo de bloqueo supera el valor especificado (`UNBAN_TIME`), desbloquea la dirección IP.
- Guarda información sobre el desbloqueo en un archivo de registro.
sudo chmod +x /usr/local/bin/fail2ban-auto-unban.shsudo crontab -e0 * * * * /usr/local/bin/fail2ban-auto-unban.sh[DEFAULT]
bantime = 300 ; Bloqueo durante 5 minutos
; Ejecución del script una vez por minuto para el desbloqueo
- * * * * /usr/local/bin/fail2ban-auto-unban.sh
JAILS="sshd apache"
echo "$(date) - Desbloqueada la IP $IP en la prisión $JAIL" >> /var/log/fail2ban-auto-unban.log
