Поймите, что именно делает Fail2ban

Сервис связывает фильтр событий с действием: читает файл журнала или systemd journal, считает совпадения и передает адрес в firewall-механизм. Настройки задаются через jail. В стандартном файле Fail2ban советует оставлять поставляемые .conf без изменений и хранить свои параметры в .local-файлах.

Убедитесь, что журнал аутентификации содержит события sshd и доступен службе. Разные версии Ubuntu, SSH-конфигурации и backend journald/file требуют разных значений backend, logpath или journalmatch. Пустой logpath может помешать запуску jail.

Настройте правило не закрывая текущий сеанс

Для начала проверьте раздел [sshd] и его реальные значения в локальной документации установленной версии. Не копируйте чужое число попыток или длительность блокировки как рекомендацию: администратор должен учитывать адреса сотрудников, NAT и привычные сценарии входа.

Если ограничиваете доступ, оставьте открытой текущую SSH-сессию и подготовьте консоль провайдера. Сверьте allowlist адресов: за NAT много людей могут выглядеть как один IP, а собственный динамический адрес администратора может измениться. Исключение для широкого диапазона способно ослабить правило.

Проверьте jail и журнал

После проверки конфигурации посмотрите fail2ban-client status и состояние jail sshd, если он включен. Для анализа соответствия фильтра журналу используйте fail2ban-regex на известном примере логов. Проверяйте результат только на контролируемой среде; тестовая строка не подтверждает работу firewall на вашем хосте.

Fail2ban снижает частоту некоторых ошибочных попыток, но не делает слабый пароль безопасным и не защищает приложения от всех атак. Используйте ключи или второй фактор там, где это возможно, ограничьте сетевой доступ и регулярно проверяйте логи. Для общего порядка посмотрите настройку SSH на VPS и Linux firewall. Сверьтесь с руководством Fail2ban, проверенным 8 октября 2026 года. Правила сервера не менялись.