Proxmox mit fail2ban absichern gegen Loginversuche

Wenn du einen Proxmox VE Host im Internet betreibst und die Login-Oberfläche für jeden geöffnet hast, ist es wichtig, dich vor fehlerhaften Login-Versuchen zu schützen. Allerdings muss Fail2ban zunächst lernen, wie ein fehlerhafter Login-Versuch bei Proxmox aussieht. Zu diesem Zweck erstellen wir während der Einrichtung eine kleine Konfigurationsdatei, die Fail2ban dabei unterstützt.

Falls du Fail2ban noch nicht auf deinem Proxmox Host installiert hast, solltest du dies nun mit dem folgenden Befehl tun:

fail2ban installieren:

sudo apt install fail2ban -y

fail2ban starten und für den Serverstart aktivieren:

sudo systemctl start fail2ban
sudo systemctl enable fail2ban

Jetzt überprüfen wir, ob der Dienst erfolgreich gestartet ist:

sudo systemctl status fail2ban

Lokale config-Datei erstellen

Unsere Konfiguration erstellen wir in einer separaten lokalen Datei:

sudo nano /etc/fail2ban/jail.local

Ich benutze aktuell folgende Konfiguration auf meinen Proxmox Instanzen:

[DEFAULT]
ignoreip = 127.0.0.1/8 ::1/128

[sshd]
enabled = true
logpath = /var/log/auth.log
maxretry = 5
bantime = 24h

[proxmox]
enabled = true
port = https,http,8006
filter = proxmox
logpath = /var/log/daemon.log
maxretry = 3
bantime = 21600
findtime = 21600

Unter ignoreip setze ich immer noch meine eigenen IPs von meinen Wireguard Instanzen.

Jetzt müssen wir fail2ban einmal neu starten und wir kontrollieren den Status:

sudo systemctl restart fail2ban && sudo systemctl status fail2ban