Voir la source de Comment faire tourner fail2ban dans un conteneur Docker avec Shorewall, Nginx, SSHD, OpenVPN...

L'objectif visé ici est de faire tourner fail2ban dans un conteneur Docker.

Le défi est donc de donner à fail2ban les données (logs) dont il a besoin ET de le faire agir sur les bonnes règles '''iptables''' de l'hôte, alors qu'elles sont déjà déployées par Shorewall par ailleurs.

== Initialiser fail2ban ==

Nous avons choisi d'utiliser l'image '''[https://hub.docker.com/r/linuxserver/fail2ban linuxserver/fail2ban]'''.

Dans un premier temps, créer un conteneur "à vide" pour initialiser vos fichiers :

  $ docker run -d --rm --name=fail2ban -e PUID=1000 -e PGID=1000

Là vous décidez d'un espace de stockage persistant pour vos fichiers, par exemple '''/data/fail2ban''' et vous récupérer les fichiers idoines du conteneur :

  $ sudo docker cp -a fail2ban:/config /data/fail2ban

Maintenant vous pouvez arrêter (et détruire) votre premier conteneur :

  $ docker stop fail2ban

Vous pouvez ensuite passer au paramétrage de fail2ban

== Paramétrer fail2ban ==

Voici la configuration de base de fail2ban, à mettre dans le fichier '''/data/fail2ban/fail2ban/jail.local''' :

<pre>
[DEFAULT]
action = iptables-multiport[name="%(__name__)s", port="http,https", protocol="tcp", chain="DOCKER-USER"]

[nginx-418]
enabled  = true
filter   = nginx-418
logpath  = /remotelogs/nginx/access.log
maxretry = 10
findtime = 60
bantime  = 600

[nginx-bad-request]
enabled  = true
filter   = nginx-bad-request
logpath  = /remotelogs/nginx/access.log
maxretry = 10
findtime = 60
bantime  = 600

[nginx-botsearch]
enabled  = true
filter   = nginx-botsearch
logpath  = /remotelogs/nginx/access.log
maxretry = 10
findtime = 60
bantime  = 600

[nginx-deny]
enabled  = true
filter   = nginx-deny
logpath  = /remotelogs/nginx/access.log
maxretry = 10
findtime = 60
bantime  = 600

[nginx-forbidden]
enabled  = true
filter   = nginx-forbidden
logpath  = /remotelogs/nginx/access.log
maxretry = 10
findtime = 60
bantime  = 600

[nginx-http-auth]
enabled  = true
filter   = nginx-http-auth
logpath  = /remotelogs/nginx/access.log
maxretry = 10
findtime = 60
bantime  = 600

[nginx-limit-req]
enabled  = true
filter   = nginx-limit-req
logpath  = /remotelogs/nginx/access.log
maxretry = 10
findtime = 60
bantime  = 600

[nginx-unauthorized]
enabled  = true
filter   = nginx-unauthorized
logpath  = /remotelogs/nginx/access.log
maxretry = 10
findtime = 60
bantime  = 600

[sshd
</pre>

Si vous le souhaitez, voici deux règles utiles que j'aime bien ajouter :

'''local.jail'''

<pre>
[curl-abuse]
enabled  = true
filter   = curl-abuse
logpath  = /remotelogs/nginx/access.log
maxretry = 3
findtime = 60
bantime  = 600

[nginx-404]
enabled  = true
filter   = nginx-404
logpath  = /remotelogs/nginx/access.log
maxretry = 10
findtime = 60
bantime  = 600
</pre>

'''filter.d/curl-abuse.conf'''

<pre>
[Definition]
failregex = ^<HOST> - .* ".*" .* "curl.*"
ignoreregex =
</pre>

'''filter.d/nginx-404.conf'''

<pre>
# Fail2ban filter for Nginx 404 requests
# Blocks IPs making too many requests for non-existent pages

[Definition]

# failregex matches a 404 HTTP status code in the Nginx access log
failregex = ^<HOST> -.*"(GET|POST|HEAD).*HTTP.*" 404

ignoreregex =
</pre>

'''TODO''': rajouter la doc pour SSH et OpenVPN

== Lancer le conteneur Docker fail2ban ==

Nous allons utiliser l'image Docker '''linuxserver/fail2ban''' et le script suivant :

<pre>
#!/bin/bash

docker pull lscr.io/linuxserver/fail2ban:latest

docker run -d --rm \
  --name=fail2ban \
  --network host \
  --cap-add=NET_ADMIN \
  --cap-add=NET_RAW \
  -e PUID=1000 \
  -e PGID=1000 \
  -e TZ=Etc/UTC \
  -v $NGINX_LOGS:/remotelogs/nginx:ro \
  -v $SYSLOG_LOGS:/remotelogs/syslog:ro \
  -v /data/fail2ban:/config/ \
  lscr.io/linuxserver/fail2ban:latest
</pre>

Nous noterons deux variable '''$*_LOGS''' qui correspondent au chemin de stockage des logs de Nginx et des logs généraux ('''syslog''') sur l'hôte. Vous pouvez les remplacer par leurs valeurs ''en dur'' ou renseigner des variables d'environnement. '''Syslog''' sera utilisé (au moins) pour SSHD et OpenVPN.

Il ne vous reste qu'à exécuter votre script pour démarrer votre conteneur Docker et votre fail2ban sera opérationnel.

''Et voilà''

== En cas de pépin avec vos filtres ==

Si jamais vos essais vous mettent en difficulté, en particulier si des adresses IP se retrouvent ''en jail'' alors que fail2ban est inactif, voici une suite de commandes à lancer sur votre hôte qui pourront aider :

  $ sudo shorewall clear && sudo shorewall check && sudo shorewall stop && sudo shorewall start

Ensuite vous pourrez relancer votre conteneur fail2ban et les ''jails'' seront réellement remises à zéro.