Fail2ban : installation, réglage et vérification

Fail2ban : installation, réglage et vérification

Fail2ban lit les journaux de vos services, repère les tentatives répétées — mots de passe SSH, formulaires de connexion, comptes de messagerie — et bannit l’adresse fautive dans votre pare-feu. C’est simple, léger, présent dans toutes les distributions Linux, et entièrement local : rien ne sort de votre serveur. Encore faut-il qu’il bannisse réellement.

🎯 Un fail2ban qui tourne n’est pas un fail2ban qui protège

Sur la majorité des serveurs où nous intervenons, fail2ban est installé, le service est « actif », et pourtant le compteur de bannissements est à zéro depuis des mois. Les causes sont toujours les mêmes : la jail lit un fichier de journal que le service n’alimente plus, une seule jail est activée alors que cinq services sont exposés, ou l’action de bannissement ne correspond pas au pare-feu réellement en place et échoue en silence.

Notre prestation ne s’arrête donc pas à l’installation. Elle se termine par un bannissement provoqué depuis une adresse externe, avec la preuve que le trafic est effectivement refusé.

✅ Ce que comprend la prestation

• Audit de l’existant : jails réellement actives, compteurs de bannissement, erreurs silencieuses dans le journal de fail2ban
• Vérification des sources de journaux : fichiers ou journal système, format, rotation — c’est là que la plupart des configurations échouent
• Configuration propre dans les fichiers prévus à cet effet, jamais dans ceux que les mises à jour écrasent
• Jails adaptées à vos services : SSH, serveur web, messagerie, CMS, back-offices
• Action de bannissement alignée sur le pare-feu réellement en service sur la machine
• Liste d’exclusion : vos adresses d’administration, votre supervision, les plages de votre hébergeur
• Réglage des seuils : nombre de tentatives, fenêtre d’observation, durée de bannissement, escalade en cas de récidive
• Test de bannissement réel depuis une adresse externe, avec la preuve à l’appui
• Documentation : débannir une adresse, ajouter une exception, lire l’état des jails

⚡ Nos trois formules

Le choix se fait sur le nombre de serveurs et sur le nombre de services à couvrir.

⚠️ Les cinq pièges d’un fail2ban

Ce sont les cinq raisons pour lesquelles un fail2ban « actif » affiche zéro bannissement.

1. La jail lit un journal que plus personne n’écrit. Sur les distributions récentes, la plupart des services envoient leurs traces au journal système plutôt que dans un fichier texte. Une jail configurée pour surveiller un fichier de journal désormais vide tourne indéfiniment à vide, sans la moindre erreur. Il faut basculer la jail sur la lecture du journal système, avec le bon critère de sélection — c’est le premier point que nous vérifions.
2. Une seule jail est active par défaut. À l’installation, seul SSH est protégé. Votre serveur web, votre messagerie, le formulaire de connexion de votre CMS : rien de tout cela n’est couvert tant que les jails correspondantes ne sont pas activées explicitement. Beaucoup d’exploitants croient être protégés partout parce que le service tourne.
3. La configuration disparaît à la prochaine mise à jour. Le fichier de configuration principal appartient au paquet : il est remplacé à chaque mise à jour de fail2ban. Toute personnalisation écrite dedans est perdue, silencieusement, un jour de mise à jour de sécurité. La configuration doit vivre dans les fichiers locaux prévus pour cela.
4. Le bannissement échoue sans rien dire. Fail2ban applique ses bans via le pare-feu, mais l’action choisie doit correspondre au moteur réellement en service sur la machine. Si la configuration fait appel à un moteur absent ou différent, chaque tentative de bannissement échoue dans un coin du journal, et l’attaquant continue tranquillement. Nous alignons l’action sur votre pare-feu réel — voir notre prestation Pare-feu Linux.
5. Derrière un proxy, vous bannissez le proxy. Si vos journaux enregistrent l’adresse de votre répartiteur de charge ou de votre CDN au lieu de celle du visiteur, fail2ban finit par bannir cette adresse unique — c’est-à-dire tout votre trafic. Le rétablissement de l’adresse d’origine se règle côté serveur web, avant de toucher aux jails.

🔗 Fail2ban ou CrowdSec ? Notre réponse honnête

Les deux font le même travail de base : lire des journaux et bannir. Ils ne doivent d’ailleurs pas cohabiter sur les mêmes journaux, sous peine de règles de pare-feu concurrentes et de diagnostics illisibles.

Fail2ban est le bon choix si vous voulez une solution entièrement locale, sans aucun échange avec l’extérieur, packagée par votre distribution et maintenue par elle ; si votre serveur n’a pas d’accès Internet sortant ; si votre contexte réglementaire vous interdit tout partage, même d’adresses IP ; ou si vous avez déjà des filtres maison qui fonctionnent et que vous souhaitez consolider.

CrowdSec est le bon choix si vous voulez bénéficier d’une liste de blocage alimentée par l’ensemble de la communauté — être protégé d’une adresse qui a attaqué quelqu’un d’autre avant qu’elle ne vous vise —, ou si vous devez appliquer les bans ailleurs qu’au pare-feu, par exemple chez votre CDN.

Dites-nous votre contexte : nous vous orientons vers l’un ou vers l’autre, pas vers les deux.

📋 Déroulement

1. Audit — jails actives, compteurs réels, erreurs dans le journal de fail2ban, pare-feu en service
2. Sources — vérification que chaque service surveillé alimente bien le journal que la jail lit
3. Configuration — jails, filtres et seuils écrits dans les fichiers locaux, liste d’exclusion posée d’abord
4. Mise en service — activation progressive, jail par jail, en surveillant les compteurs
5. Vérification — bannissement provoqué depuis une adresse externe et preuve du refus effectif
6. Réglage — suivi des faux positifs sur vos back-offices et ajustement des durées

💡 Pourquoi AbsoluInfo

• Nous partons de vos journaux réels, pas d’une configuration type recopiée d’un tutoriel.
• Nous prouvons le bannissement. Une protection qui ne se vérifie pas ne vaut rien.
• Nous écrivons au bon endroit pour que votre configuration survive aux mises à jour du paquet.
• Nous vous orientons franchement entre fail2ban et CrowdSec selon votre contexte, quitte à vendre la prestation la moins chère.

❓ Questions fréquentes

📞 Parlons de votre serveur

Indiquez-nous le système d’exploitation, les services exposés et la présence éventuelle d’un CDN ou d’un répartiteur de charge. Nous commençons toujours par regarder vos compteurs de bannissement actuels : ils disent en trente secondes si votre fail2ban travaille ou s’il dort.

TVA non applicable, article 293 B du code général des impôts : le montant affiché est celui que vous réglez.

Prestations complémentaires : Pare-feu Linux (iptables / nftables) · Sécurité informatique · Infogérance & maintenance.