darathor/fail2ban

关于

本镜像基于Alpine Linux构建，包含Fail2ban 0.11版本（一款用于防止暴力破解的安全工具）。更多信息及源码可查看仓库。

致谢

本镜像分叉自https://hub.docker.com/r/crazymax/fail2ban%E3%80%82

支持的架构

• x86-64
• arm（含arm32v7、arm32v8）

Docker配置

环境变量

• TZ：容器时区（默认UTC）
• F2B_LOG_LEVEL：日志输出级别（默认INFO）
• F2B_DB_PURGE_AGE：封禁记录的清理时间（默认1d）
• F2B_MAX_RETRY：触发封禁的失败次数（默认5）
• F2B_DEST_EMAIL：配置文件中使用的目标***（默认root@localhost）
• F2B_SENDER：动作使用的发件***（默认root@$(hostname -f)）
• F2B_ACTION：封禁时的默认动作（默认%(action_)s）
• F2B_IPTABLES_CHAIN：Fail2Ban规则添加的iptables链（默认DOCKER-USER）
• SSMTP_HOST：SMTP服务器地址
• SSMTP_PORT：SMTP服务器端口（默认25）
• SSMTP_HOSTNAME：完整主机名（默认$(hostname -f)）
• SSMTP_USER：SMTP用户名
• SSMTP_PASSWORD：SMTP密码
• SSMTP_TLS：是否启用SSL/TLS（默认NO）

:warning: 若需封禁后发送邮件，需配置SSMTP环境变量，并将F2B_ACTION设为%(action_mw)s或%(action_mwl)s。

卷

• /data：存储自定义jail规则、动作、过滤器及Fail2ban持久化数据库
• /var/log：只读挂载主机日志目录（用于监控）

使用方法

Docker Compose（推荐）

bash
# Fail2ban的Docker Compose配置文件
version: "3.7"

services:
  fail2ban:
    image: darathor/fail2ban:latest
    container_name: fail2ban
    network_mode: "host"
    cap_add:
      - NET_ADMIN
      - NET_RAW
    volumes:
      - "./data:/data"
      - "/var/log:/var/log:ro"
    restart: always
    # environment:
    # 在此处添加需要配置的环境变量

命令行

bash
docker run -d --name fail2ban --restart always \
  --network host \
  --cap-add NET_ADMIN \
  --cap-add NET_RAW \
  -v $(pwd)/data:/data \
  -v /var/log:/var/log:ro \
  darathor/fail2ban:latest

注意事项

DOCKER-USER链

Docker 17.06及以上版本支持DOCKER-USER链，Fail2Ban规则会在Docker自动规则前加载，确保持久化。若使用旧版本Docker，可将F2B_IPTABLES_CHAIN改为FORWARD，但规则会应用于所有转发流量。详情见Docker文档。

DOCKER-USER与INPUT链

若容器使用DOCKER-USER链，规则仅适用于容器流量，INPUT链的流量会绕过规则（如sshd jail无法生效）。可创建额外容器解决，参考示例。

使用fail2ban-client

可通过容器执行Fail2ban命令，例如手动封禁IP：

bash
docker exec -t <容器名> fail2ban-client set <JAIL名称> banip <IP地址>

自定义动作与过滤器

可在/data/action.d和/data/filter.d添加自定义动作或过滤器，若与默认文件重名将覆盖。修改后需重启容器生效。

Jail规则示例

可在examples/jails查看适用于本镜像的jail规则示例。