fail2ban 保护 nginx 方案

Docker Nginx (Host Mode) + Fail2Ban 完整指南

本教程适用于使用 --network host 模式运行 Nginx 容器的场景。在此模式下，Fail2Ban 配置比 Bridge 模式更简单，因为不需要处理 Docker 的 NAT 转发链。

环境信息

• 运行模式：Docker (Host Network)
• 日志路径：/root/nginx/log/access.log
• 监听端口：宿主机直接监听 80/443

第一步：确认容器运行状态

请确保您已使用 Host 模式启动容器：

# 停止并删除旧容器 docker rm -f nginx01 # 启动新容器（ Host 模式） docker run -d \ --name nginx01 \ --restart always \ --network host \ -v "/root/nginx/conf/nginx.conf:/etc/nginx/nginx.conf" \ -v "/root/nginx/html:/usr/share/nginx/html" \ -v "/root/nginx/cert:/etc/nginx/cert" \ -v "/root/nginx/log:/var/log/nginx" \ --add-host=host.docker.internal:host-gateway \ nginx 

第二步：配置 Fail2Ban 过滤器

我们需要创建规则来告诉 Fail2Ban 什么是恶意行为。

1. 防恶意扫描（ Bad Request ）

拦截扫描敏感文件（如 .env, wp-login.php）的攻击者。

sudo nano /etc/fail2ban/filter.d/nginx-bad-request.conf 

[Definition] failregex = ^<HOST> - - .* "(GET|POST|HEAD) .*\.(php|asp|aspx|jsp|cgi|env|git|yml|sql|bak|tar|gz|zip|rar|sh) HTTP.*" (400|401|403|404) .*$ ^<HOST> - - .* "(GET|POST|HEAD) .*/(phpmyadmin|admin|setup|manager|dashboard|wp-login|xmlrpc).* HTTP.*" (400|401|403|404) .*$ ignoregex = 

2. 防高频 CC 攻击（ Anti-Flood ）

拦截请求频率过高的 IP ，但排除静态资源（图片、CSS 等）以免误封。

sudo nano /etc/fail2ban/filter.d/nginx-cc.conf 

[Definition] failregex = ^<HOST> - - .* "(GET|POST|HEAD).*HTTP.*" .*$ # 忽略图片、CSS 、JS 等静态资源 ignoregex = \.(jpg|jpeg|png|gif|ico|css|js|woff|woff2|ttf|svg|mp4|webm) HTTP 

第三步：配置监狱（jail.local）

这是 Host 模式与 Bridge 模式最大的区别点。**Host 模式下，我们不需要指定 chain = DOCKER-USER**。

sudo nano /etc/fail2ban/jail.local 

[DEFAULT] # 白名单 IP：即使这些 IP 触发规则也不会被封 # 建议加上 localhost ignoreip = 127.0.0.1/8 192.168.0.0/16 10.0.0.0/8 # 默认封禁时间：1 小时 bantime = 1h # 查找时间窗口：10 分钟 findtime = 10m # 最大尝试次数：5 次 maxretry = 5 # --- Host 模式动作配置 --- # 直接使用标准 iptables-multiport 即可，无需指定 chain banaction = iptables-multiport # ========================================== # 规则 1：防止恶意扫描 # ========================================== [nginx-bad-request] enabled = true logpath = /root/nginx/log/access.log filter = nginx-bad-request port = 80,443 maxretry = 3 bantime = 24h # ========================================== # 规则 2：防止 CC 攻击 # ========================================== [nginx-cc] enabled = true logpath = /root/nginx/log/access.log filter = nginx-cc port = 80,443 findtime = 60 # 允许每分钟 120 次非静态资源请求 maxretry = 120 bantime = 2h 

第四步：重启与验证

1. 重启 Fail2Ban

sudo systemctl restart fail2ban 

2. 验证状态

sudo fail2ban-client status 

应看到以下两个监狱处于活动状态：

• nginx-bad-request
• nginx-cc

3. 验证防火墙规则

检查 INPUT 链（ Host 模式走这里）：

sudo iptables -L INPUT -n 

确认规则中出现针对目标 IP 的 DROP 或 REJECT 记录，表示封禁生效。

完成！
您的 Nginx 容器已在 Host 模式下成功集成 Fail2Ban ，具备抵御恶意扫描与 CC 攻击的能力。