Wechsel von fail2ban zu CrowdSec - Carsten Rieger IT-Services

Mit Hilfe des nachfolgenden Skripts wechseln Sie auf einem Ubuntu 22/24.x- oder Debian 12-Server von fail2ban zu crowdsec und sichern so Ihr System „moderner“ und „effizienter“ ab. Melden Sie sich als Benutzer mit priviligierten Beutzerrechten an:

sudo -s

Laden Sie das Skript herunter:

wget -O ips.sh https://codeberg.org/criegerde/nextcloud-zero/raw/branch/master/ips.sh

Führen Sie das Skript aus:

chmod +x ips.sh

Starten Sie die Installation:

./ips.sh

Zum Abschluß wird Ihnen eine Übersicht angezeigt.

Um die Schritte manuell durchzuführen, folgen Sie dieser Anleitung, also stoppen und entfernen zuerst fail2ban:

systemctl stop fail2ban.service
systemctl disable fail2ban.service
systemctl mask fail2ban.service
apt remove fail2ban --purge -y

Laden Sie die Quellen von Crowdsec herunter und installieren die Software

curl -s https://packagecloud.io/install/repositories/crowdsec/crowdsec/script.deb.sh | sudo bash

Nur für Ubuntu 24:

sed -i 's/noble/jammy/' /etc/apt/sources.list.d/crowdsec_crowdsec.list

Ab hier geht es wieder sowohl für Debian 12 als auch für Ubuntu 22/24.x weiter:

apt update
apt install crowdsec crowdsec-firewall-bouncer-nftables -y

Aktivieren Sie den Grundschutz durch crowdsec:

systemctl enable --now crowdsec.service

Erweitern Sie den Grundschutz um die Nextcloud-, nginx- und SSH-Collections:

cscli collections install crowdsecurity/nextcloud
cscli collections install crowdsecurity/nginx
cscli collections install crowdsecurity/sshd
systemctl reload crowdsec
systemctl restart crowdsec

Um das Nextcloud Logfile interpretieren zu können erweitern Sie die crowdsec-Datei „acquis.yaml“

cp /etc/crowdsec/acquis.yaml /etc/crowdsec/acquis.yaml.bak
cat <<EOF >>/etc/crowdsec/acquis.yaml
#Nextcloud by c-rieger.de
filenames:
 - /var/log/nextcloud/nextcloud.log
labels:
  type: Nextcloud
---
EOF

Zum Abschluß restarten wir den Dienst

systemctl reload crowdsec.service && systemctl restart crowdsec.service

und lassen uns die crowdsec Metrics anzeigen:

cscli metrics

Bitte haben Sie Geduld, bis alle Logdateien eingelesen worden sind – das kann einige Zeit in Anspruch nehmen! Mit Hilfe des Befehls

cscli decision list

können Sie sich aktive Sperren anzeigen lassen. Weiterführende Informationen finden Sie hier:
https://www.crowdsec.net/
https://hub.crowdsec.net/

Wir hoffen Ihnen einen ersten Einblick in die Möglichkeiten von IPS / CrowdSec gegeben zu haben und wünschen Ihnen viel Spaß mit Ihrem gehärteten Server. Über Ihre Unterstützung (diese wird ordnungsgemäß versteuert!) würden sich meine Frau, meine Zwillinge und ich sehr freuen!

Kontakt