Fail2ban для почты и RDP

Если на сервере открыта почта, SSH, веб-админка или удалённый рабочий стол, попытки перебора паролей — не событие, а фон. В журналах появляются неизвестные IP, странные логины, повторяющиеся ошибки авторизации. Сначала это выглядит как мусор. Потом кто-то ставит простой пароль на ящик, и мусор превращается в инцидент.

Fail2ban — старый, понятный и всё ещё полезный инструмент. Он читает логи, замечает серию неудачных входов и временно блокирует источник. Для малого бизнеса это часто первый слой защиты, который можно внедрить без покупки отдельной платформы. Но важно понимать границы: Fail2ban не делает слабые пароли сильными, не заменяет VPN и не превращает открытый RDP в хорошую идею.

Его задача скромнее: снизить шум и усложнить массовый перебор.

Где Fail2ban особенно полезен

На почтовом сервере он помогает отрезать ботов, которые пробуют тысячи комбинаций к SMTP, IMAP и веб-почте. Если у компании своя почта на Postfix/Dovecot или похожем стеке, такие попытки видны почти сразу после публикации сервера в интернет.

Для SSH Fail2ban давно стал базовой гигиеной: запретить вход root, оставить ключи, ограничить пользователей, а неудачные попытки банить. На Linux-серверах с сайтом, VPN или сервисами 1С это простой способ убрать большую часть фонового перебора из журналов.

С RDP сложнее. Сам Fail2ban работает в Linux-мире, а Windows-события нужно доставлять в обработку отдельно или использовать аналоги на стороне Windows. Но принцип тот же: не давать одному адресу бесконечно угадывать пароль. При этом открытый наружу RDP для клуба, офиса или склада — почти всегда плохой компромисс. Лучше строить доступ через VPN и ограничивать удалённый рабочий стол внутренним контуром.

Whitelist: спасение и источник ошибок

Белые списки нужны. У офиса может быть статический IP, у подрядчика — адрес VPN, у мониторинга — свой узел. Если Fail2ban заблокирует всех в разгар обновления, польза быстро станет сомнительной.

Но whitelist нельзя превращать в помойку «добавим весь диапазон провайдера, чтобы не мешало». Чем шире исключение, тем меньше смысла в защите. Хорошая практика — белить только понятные адреса, подписывать причину и периодически пересматривать список. Уволенный подрядчик с вечным доступом из белого IP — не техническая мелочь, а риск.

Для удалённой поддержки удобнее белить не домашние адреса сотрудников, которые меняются, а VPN-подсеть. Тогда доступ проходит через управляемую точку, а правила на серверах остаются спокойными. Об этом же подходе мы обычно говорим в проектах информационной безопасности: меньше прямых дыр наружу, больше контролируемых маршрутов.

Ложные срабатывания бывают

Fail2ban смотрит на логи и шаблоны. Если приложение пишет ошибки необычно, фильтр может не сработать. Если шаблон слишком широкий, можно заблокировать нормального пользователя, который три раза ошибся с паролем на телефоне. Почта особенно чувствительна: старый смартфон с неверным паролем способен устроить собственнику «атаку» на свой же ящик.

Поэтому после включения не стоит уходить в отпуск. Первые дни полезно смотреть, кто попадает в бан, какие сервисы шумят, нет ли повторяющихся внутренних адресов. Если сотрудника блокирует почтовый клиент, проблема не в Fail2ban, а в неактуальном пароле или устройстве, которое давно забыли.

Важно объяснить команде простой сценарий: если почта перестала принимать пароль на всех устройствах, не надо десять раз подряд пробовать заново. Лучше обратиться к администратору. Так вы снижаете и блокировки, и шанс угадать пароль методом раздражения.

Fail2ban плюс VPN

Самая здоровая схема для удалённого доступа — не «RDP в интернет и Fail2ban сверху», а VPN как входная дверь. WireGuard, IPsec или другой управляемый туннель ограничивает круг тех, кто вообще видит RDP, админки и внутренние панели. Fail2ban остаётся на публичных сервисах и как дополнительный слой для VPN-шлюза.

Для сети клубов это особенно важно. На площадках есть кассы, админские ПК, иногда сервер 1С, камеры, СКУД. Если подрядчик подключается к каждой точке через открытый RDP, сложно контролировать доступ и расследовать события. Если вход через VPN, можно управлять ключами, отключать доступ по завершении работ и не держать лишние порты наружу.

Fail2ban хорошо вписывается в такую архитектуру: он не главный замок, а охранник у дверей, которые по делу остаются открытыми.

Что настроить кроме бана

Проверьте пароли и политику блокировок учётных записей. Включите двухфакторную защиту там, где сервис это поддерживает. Уберите неиспользуемые аккаунты, особенно общие «admin», «test», «manager». Ограничьте географию и IP, если это допустимо для вашего бизнеса.

Для почты полезны SPF, DKIM, DMARC и нормальный антиспам, но они решают другую задачу — репутацию и подделку отправителя. От перебора входа всё равно нужны ограничения авторизации и наблюдение за журналами.

А ещё стоит мониторить сам Fail2ban: если он остановился, переполнился лог или правила перестали применяться после обновления, вы можете долго думать, что защита работает. В связке с мониторингом это быстро ловится.

Если хотите закрыть перебор на почте, SSH и удалённом доступе без хаотичных блокировок сотрудников, напишите нам. Разберём текущие входы, предложим whitelist и подскажем, где лучше сразу перейти на VPN.