在Ubuntu 8.04上加装iptables和fail2ban提高安全性

1. 安装iptables

1）apt-get install iptables

因为iptable不需要启动脚本，规则一旦设置，立即生效，关机后有自动清零。所以远程登录时，更改设置要小心，切勿将默认值全都改为Drop，以免丢失SSH连接。编写以下脚本可以便于修改，调试。

2）然后可以在用户目录下编写如下脚本 ～/iptables-init.sh （假设服务器对外网卡的设备号是eth0）

iptables -A INPUT -m state –state ESTABLISHED,RELATED -j ACCEPT #保证已经打开的Session都有效，对于远程调试登录的情况下起保护作用，因为iptables的改动是实时生效的
iptables -A INPUT -i lo -j ACCEPT ＃打开Loopback, 及localhost, 127.0.0.1
iptables -A INPUT -p tcp -i eth0 –dport ssh -j ACCEPT #允许SSH远程登录
iptables -A INPUT -p tcp -i eth0 –dport 80 -j ACCEPT ＃允许外界访问www服务器
iptables -A INPUT -p tcp -i eth0 –dport 21 -j ACCEPT ＃允许外界访问ftp服务器
iptables -A INPUT -j DROP
iptables-save > /etc/iptables.rules

然后赋予脚本执行权限 chmod +x ./iptables-init.sh
运行脚本 ./iptables-init.sh

3）设置网卡启动时加载防火墙规则 （这步要很小心，否则网卡加载失败，系统就无法登录了）

最好先用
iptables-restore iptables -L -v 仔细检查下数据，必要时，重新开一个putty窗口，验证以下是否还能登录。
然后修改脚本/etc/network/interfaces，使系统能自动应用这些规则，最后一行就是要添加的，加载文件应该和上面脚本中保存规则的文件名一致，并且要用绝对路径。
auto eth0
iface eth0 inet dhcp
pre-up iptables-restore < /etc/iptables.rules

注意：之所以在加载网卡设备后，刷新iptables列表，
而不是象有些地方建议的在/etc/rc.local或是其他地方放置iptables-init这样的脚本，是因为自网卡启动后到系统执行rc.local仍然有一段时间，会使防火墙无效，所以以上的方法是最好的。

本来为了是FTP能够支持PASV模式，方便防火墙后面的客户端连接服务器，可以在何时的启动脚本里执行
modprobe ip_conntrack_ftp
但是Linnode上的Ubuntu内核编译时，并没有带上这个模块，所以只得放弃，好在PASV模式的安全性也不如Active模式(Port模式）
参考文章
1.

2. 安装fail2ban

1) apt-get install fail2ban

2) 查看/etc/fail2ban/jail.conf，核对一下logpath = /var/log/auth.log或/var/log/vsftpd.log的路径是否正确。然后编辑/etc/fail2ban/jail.local, 打开以下开关： （这样可以避免升级时，开关被关闭)

[DEFAULT]
bantime=7200 #至少封2小时IP
[ssh]
enabled = true
filter = sshd
[vsftpd]
enabled = true
filter = vsftpd

查看/etc/vsftpd.conf, 确保以下配置正确，如果修改了，需要重启ftp服务，/etc/init.d/vsftpd restart。fail2ban虽然也可以和Wu-FTP配合，然考虑到思维一致性，我们上边只配了vsftpd的过滤，只能识别vsftpd的日志，所以vsftpd的日志也要采取其自身的格式：

xferlog_enable=YES
vsftpd_log_file=/var/log/vsftpd.log

确保以下两行被注释掉，否则log的格式是wu-ftpd 不能被fail2ban识别！！
xferlog_file=/var/log/vsftpd.log
xferlog_std_format=YES

然后/etc/init.d/fail2ban start 启动服务就可以了。
fail2ban每次都会在iptables的INPUT Chain中添加一条记录，专门指向fail2ban的一条Chain, 用来存放封禁ip的记录。 所以/etc/iptables.rules只要独自管理静态规则就可以了

3. FTP客户端的设置

FTP的客户端要复杂一些，因为PORT模式下需要客户端来告诉FTP服务器自己的公网IP，如果用户自己也在防火墙后面的局域网里，一般的客户端是做不到的。很有可能会告诉FTP服务器，Port 192.168.0.x 这样的指令。结果得到550 illegal port command的信息。但是FileZilla最新版可以选择利用获知IP，这个问题就迎刃而解了

4. 查看被封禁的IP

fail2ban-client status ssh -iptables
fail2ban-client status vsftpd  -iptables

参考文章：
2.