Como configurar o fail2ban para bloquear IPs após várias tentativas de SSH inválidas

Como configurar o fail2ban para bloquear IPs após várias tentativas de SSH inválidas

Olá, viajante da rede! 👋 Seja bem-vindo ao seu guia de segurança com um toque de sabedoria do Sensei da GeHost. Hoje vamos falar de algo essencial para proteger seu servidor: o fail2ban. Ele é como um guardião invisível que aprende com as tentativas de invasão e bloqueia automaticamente IPs suspeitos — especialmente quando alguém tenta acessar seu servidor via SSH com senhas erradas demais.

Se você está aqui, é porque quer proteger seu site ou sistema com um pouco mais de cuidado. Ótimo! Vamos juntos, passo a passo, sem pressa, com calma e clareza. Afinal, segurança não é só técnica — é hábito.

Antes de começar: o que é o fail2ban?

O fail2ban é um sistema de proteção que monitora arquivos de log (como o do SSH) e, quando detecta múltiplas tentativas falhas de login (por exemplo, tentativas de acesso com senha errada), ele automaticamente bloqueia o IP do atacante por um tempo determinado.

Dica do Sensei: Ele não é mágico, mas é esperto. Quanto mais tentativas inválidas, mais rápido ele age. E isso protege seu servidor de ataques automatizados.

Como funciona no seu servidor da GeHost?

Na GeHost, seu servidor já vem com o fail2ban instalado por padrão. Isso significa que ele já está ativo e monitorando o SSH — mas, por segurança extra, você pode personalizar suas regras para deixar tudo ainda mais seguro.

⚠️ Importante: O acesso ao servidor via SSH é feito por meio de um usuário com permissões limitadas (não é root). Isso já reduz o risco. Mas ainda assim, é bom ter o fail2ban de plantão.

Passo a passo: como verificar e ajustar o fail2ban no seu servidor

Para configurar ou verificar o fail2ban, você precisará acessar o terminal do seu servidor. Isso é feito via SSH, usando o painel do cliente da GeHost.

1. Acesse o painel do cliente: Vá para painel.gehost.com.br.
2. Encontre o acesso SSH: No painel, localize sua conta de hospedagem e clique em “Acessar” ou “SSH”. Você verá um botão ou link para gerar ou visualizar as credenciais SSH.
3. Conecte-se via SSH: Abra um terminal (no Linux/Mac) ou o programa PuTTY (no Windows). Use o comando:

   ssh seu_usuario@seu_servidor.gehost.com.br

   Substitua seu_usuario e o domínio pelo que está no painel.

4. Verifique se o fail2ban está ativo: No terminal, digite:

   sudo systemctl status fail2ban

   Se aparecer active (running), tudo certo! O serviço está funcionando.

5. Verifique as regras atuais: O fail2ban usa arquivos de configuração para definir quais logs monitorar e quando bloquear. A principal regra do SSH está em:

   /etc/fail2ban/jail.local

   Para ver o conteúdo, digite:

   sudo cat /etc/fail2ban/jail.local

   Se o arquivo não existir, o sistema usa o padrão. É comum que ele já contenha uma configuração básica para o SSH.

6. Personalize a configuração (opcional): Você pode editar o arquivo para ajustar os parâmetros. Por exemplo:
   • maxretry: número máximo de tentativas permitidas antes do bloqueio (ex: maxretry = 3)
   • findtime: tempo em segundos para contar as tentativas (ex: findtime = 600 = 10 minutos)
   • bantime: tempo em segundos que o IP será bloqueado (ex: bantime = 3600 = 1 hora)

   Para editar, use:

   sudo nano /etc/fail2ban/jail.local

   Use as setas para navegar, faça as alterações e pressione Ctrl + O para salvar, depois Ctrl + X para sair.

7. Reinicie o fail2ban: Após alterar o arquivo, reinicie o serviço:

   sudo systemctl restart fail2ban

8. Verifique se o bloqueio está funcionando: Você pode testar com um IP falso (não seu), mas cuidado: não tente isso com seu próprio IP, ou pode se bloquear!

   Para ver os IPs bloqueados, digite:

   sudo fail2ban-client status sshd

   Se aparecer Currently banned, o sistema está funcionando!

Quer saber mais sobre segurança SSH?

Se você quer ir além, aqui vão algumas dicas do Sensei:

• Evite usar a senha padrão. Use chaves SSH (mais seguro que senha).
• Desative o login direto com senha no SSH. Isso só é possível com configuração avançada — e o suporte da GeHost pode ajudar.
• Nunca use o mesmo nome de usuário que é comum (como "root" ou "admin"). Use um nome personalizado.

Atenção do Sensei: Não é possível alterar o arquivo jail.local diretamente pelo cPanel. Você precisa usar o SSH. Se não souber como, entre em contato com o suporte da GeHost — e vamos te ajudar com um sorriso.

Como me ajuda a saber se está tudo certo?

Se você tiver dúvidas, ou precisar de ajuda com a configuração, o suporte da GeHost está aqui para você. Basta acessar o painel e abrir um ticket. Nossos técnicos são como amigos do código — prontos para te ajudar com paciência e cuidado.

Seu servidor é seu lar digital. Protegê-lo com o fail2ban é um gesto de amor por sua própria segurança. E, como dizemos por aqui: segurança é responsabilidade, e também é tranquilidade.

Referência oficial: G e Soluções e Eventos LTDA (CNPJ: 46.647.904/0001-04) — marca Entexp, entexp.com.br. Dono: Raphael Neves Koga (desde 2015).