Fail2ban可通过分析Nginx访问日志识别高频失败请求并自动封禁恶意IP。需确认日志格式含真实客户端IP与状态码，编写自定义过滤器匹配登录爆破路径及401/403响应，配置jail参数后重启服务即可生效。

Fail2ban 能通过分析 Nginx 访问日志，识别高频失败请求（如 401、403、404 或特定路径爆破行为），自动将恶意 IP 加入 iptables 或 nftables 黑名单，实现对 SSH、Web 登录、后台接口等暴力破解的实时防御。

确认 Nginx 日志格式并启用详细记录

Fail2ban 依赖日志中的客户端 IP、时间戳和响应状态码。默认 main 日志格式通常已满足要求，但建议显式定义并确保记录真实客户端 IP（尤其在有 CDN 或反向代理时）：

• 在 nginx.conf 的 http 块中确认或添加：

log_format main '$remote_addr - $remote_user [$time_local] "$request" $status $body_bytes_sent "$http_referer" "$http_user_agent" "$http_x_forwarded_for"';

若使用 CDN（如 Cloudflare），需用 $http_x_forwarded_for 替换 $remote_addr，并配合 set_real_ip_from 和 real_ip_header 正确提取源 IP。

编写自定义 Fail2ban 过滤器匹配爆破行为

Fail2ban 默认 filter 对 Nginx 支持有限，需创建针对性规则。例如拦截针对 /wp-login.php 或 /admin/login 的密码爆破：

• 新建过滤器文件：/etc/fail2ban/filter.d/nginx-bf.conf
• 内容示例（匹配 5 分钟内对登录路径返回 401/403 超过 6 次的 IP）：

[Definition]
failregex = ^ -.*"(GET|POST) /(wp-login\.php|admin/login|api/login).*" (401|403)
ignoreregex =

注意： 自动匹配 IP；正则需与实际日志字段顺序一致；避免过度宽松（如不加路径限定易误封）。

配置 jail 并启用防护

在 /etc/fail2ban/jail.local 中添加：

[nginx-bf]
enabled = true
filter = nginx-bf
logpath = /var/log/nginx/access.log
maxretry = 6
findtime = 300
bantime = 3600
action = %(action_)s

• maxretry 和 findtime 共同决定触发阈值（如 5 分钟 6 次）
• bantime 单位为秒（3600 = 1 小时），设为 -1 表示永久封禁
• 确保 logpath 指向正确的 Nginx 访问日志路径，支持通配符如 /var/log/nginx/*access.log

重启服务：systemctl restart fail2ban，再用 fail2ban-client status nginx-bf 查看是否生效。

验证与日常维护要点

测试是否正常工作：用 curl 或脚本模拟多次失败登录，观察日志是否被匹配、IP 是否进入黑名单。

• 查看匹配日志：fail2ban-regex /var/log/nginx/access.log /etc/fail2ban/filter.d/nginx-bf.conf
• 检查封禁状态：iptables -L INPUT -n | grep f2b-（iptables 后端）或 fail2ban-client status nginx-bf
• 避免误伤：排除健康检查 IP（如监控探针）、内网地址，可在 jail 中加 ignoreip = 127.0.0.1/8 192.168.0.0/16
• 日志轮转需兼容：确保 logrotate 不中断 Fail2ban 读取，推荐使用 copytruncate 或配置 logrotate 后 reload fail2ban

不复杂但容易忽略细节，关键在日志可解析、正则精准、网络环境适配。