如何在搬瓦工服务器上安装ufw防火墙和Fail2ban来防止黑客暴力破解

在上一篇教程中，我们成功将服务器重装为了 Debian 12 系统。

Debian 12 (Bookworm) 相比旧版本做了一个重要的底层变更：默认不再安装 rsyslog，这意味着 /var/log/auth.log 这种传统的文本日志文件在默认状态下是不存在的。

这导致很多网上的旧版 Fail2Ban 教程在 Debian 12 上会失效（常见报错为 Failed to access socket path 或无法封禁 IP）。

本篇教程将基于 Debian 12 的新特性，带大家部署 UFW 防火墙，并配置使用 Systemd 驱动的 Fail2Ban，为你的 VPS 提供严谨、有效的安全防护。

---

第一步：基础环境更新

安全的第一步永远是保持软件最新。连接 SSH 后，执行以下命令更新软件包列表：

apt update && apt upgrade -y

---

第二步：配置 UFW 防火墙

UFW (Uncomplicated Firewall) 是管理 iptables 的前端工具，配置简单且不易出错。

1. 安装 UFW

apt install ufw -y

2. 放行 SSH 端口（核心步骤）

注意：在启动防火墙之前，必须显式放行 SSH 端口，否则会直接切断你当前的连接。

• 默认端口：如果你没改过端口，执行：

ufw allow 22/tcp

• 自定义端口：如果你修改了 SSH 端口（例如 29999），请务必改为：

ufw allow 29999/tcp

3. 放行 Web 服务（可选）

如果你后续计划部署博客或网站，建议提前放行 HTTP 和 HTTPS 端口：

ufw allow 80/tcp
ufw allow 443/tcp

4. 启用防火墙

确认规则添加无误后，启用 UFW：

ufw enable

系统会提示可能会中断 SSH 连接，输入 y 并回车确认。

---

第三步：部署 Fail2Ban (适配 Debian 12)

Fail2Ban 通过监控日志来发现恶意行为（如频繁输错密码），并自动调用防火墙封禁来源 IP。

1. 安装 Fail2Ban

apt install fail2ban -y

2. 创建自定义配置文件

为了保持配置的整洁和持久性（防止软件升级覆盖配置），我们不要直接修改 /etc/fail2ban/jail.conf，而是在 jail.d 目录下新建一个高优先级的配置文件。

使用 vim 或 nano 编辑新文件：

nano /etc/fail2ban/jail.d/defaults-debian.conf

3. 写入核心配置（Systemd 模式）

这是最关键的一步。

针对 Debian 12 默认没有 auth.log 的情况，我们需要指定 backend = systemd，让 Fail2Ban 直接从系统日志接口读取数据。

请将以下内容复制并粘贴到文件中：

[DEFAULT]
# 忽略的 IP 白名单（将 1.1.1.1 替换为你自己的常用 IP，或者删除该行）
ignoreip = 127.0.0.1/8 ::1

# 封禁时长：1小时 (-1 为永久封禁)
bantime = 1h

# 判定时间窗口：10分钟内输错 N 次即封禁
findtime = 10m

# 最大尝试次数
maxretry = 5

# [重要] 指定封禁动作使用 ufw
banaction = ufw

[sshd]
enabled = true
# [核心] Debian 12 必须指定 backend 为 systemd 才能读取日志
backend = systemd
port    = ssh

• 按 Ctrl + O 保存，按 Ctrl + X 退出编辑器。*

4. 启动并验证服务

配置完成后，重启 Fail2Ban 服务以应用更改：

systemctl restart fail2ban
systemctl enable fail2ban

验证服务状态：

输入以下命令查看 SSH 监控模块的运行情况：

fail2ban-client status sshd

正确的结果应该类似下方输出，且不会出现 ERROR 或 Failed to access socket 的报错：

Status for the jail: sshd
|- Filter
|  |- Currently failed: 0
|  |- Total failed:     0
|  `- Journal matches:  _SYSTEMD_UNIT=sshd.service + _COMM=sshd
`- Actions
   |- Currently banned: 0
   |- Total banned:     0
   `- Banned IP list:

如果看到 Journal matches 或类似的日志源提示，说明 Fail2Ban 已经成功挂载到 systemd 日志流上，开始正常工作了。

---

总结

至此，UFW防火墙和Fail2ban都设置完成。 index.php?title=Category:500 常见应用指南 — Application Guides