Fail2Ban iptables 条目拒绝 HTTPS 不会停止对 Amazon Linux 2 上 Docker 容器的请求

Question

作为@tater 在上面的评论中指出，fail2ban 默认将自身插入到 INPUT 链中，但到 Docker 容器的流量使用 FORWARD 链进行路由，该链的路由不会触及 INPUT 链。您可以在此处看到：

$ sudo iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination
f2b-HTTPS  tcp  --  anywhere             anywhere             tcp dpt:https
...

我们可以测试通过在 FORWARD 链中插入类似的 fail2ban 规则来使 fail2ban 与 Docker 协同工作，如下所示（注意：这是不是长期解决方案):

$ sudo iptables -I FORWARD 1 -p tcp -j f2b-HTTPS

用英语来说，这个命令的意思是“在 FORWARD 链中，在位置 1（即第一条规则），对于 TCP 协议上的所有流量，插入对该f2b-HTTPS链的引用”，其效果是包括该位置上该链的所有规则。

完成后，FORWARD 链应该在顶部包含新规则：

$ sudo iptables -L
...
Chain FORWARD (policy DROP)
target     prot opt source               destination
f2b-HTTPS  tcp  --  anywhere             anywhere
DOCKER-USER  all  --  anywhere             anywhere
...

然后使用 fail2ban 在 f2b-HTTPS 链下自动管理的规则来拒绝发往 Docker 的流量。

但是，我们希望 fail2ban 自动为我们执行此操作，而不是必须创建我们自己的 iptables 规则。解决方案是在以下文件中的 jail 配置中添加第二个操作jail.d/：

action = iptables[actname=iptables-input,   name=HTTPS,                       port=https, protocol=tcp]
         iptables[actname=iptables-forward, name=HTTPS-DOCKER, chain=FORWARD, port=8080, protocol=tcp]

可能只需添加chain=FORWARD到我原来的规则就足够了，但我决定同时保留 INPUT 规则。

笔记：规则中的端口iptables-forward是 8080，因为这是我的 Docker 容器正在监听的位置，并且它是 iptables 在 FORWARD 规则上匹配的目标转发端口（似乎），而不是入站端口。

我在解决这个问题时还发现了另外两件事：

安装时，fail2ban 默认不启用。要启用它，请运行：

sudo systemctl enable fail2ban

如果你的系统在禁令生效期间重新启动，fail2ban 会将其规则插入到 FORWARD 链的顶部前Docker 将其规则插入 FORWARD 链的顶部。这意味着 Docker 规则将覆盖 fail2ban 规则，并且禁令将不起作用。（您可以通过执行来模拟此操作sudo service docker restart。）为了克服这个问题，您需要在 Docker 建立其网络后启动 fail2ban。我通过更改“/etc/lib/systemd/system/fail2ban.service”来实现这一点：

将“docker.service”添加到“After:”列表中
删除 PartOf=firewalld.service 行
[Service]在等待端口 443 打开的部分中添加以下内容：ExecStartPre=/bin/bash -c '(while ! nc -z -v -w1 localhost 443 > /dev/null; do echo "Waiting for port 443 to open..."; sleep 2; done); sleep 2'
（注意：您还需要nc安装）

Answer 1