lsiodev/fail2ban

linuxserver/fail2ban

Fail2ban 是一个用于阻止多次导致认证错误的主机的守护进程。LinuxServer.io提供的该Docker镜像支持在主机级别和Docker容器级别运行，具备定期更新、用户权限映射等特性。

!https://raw.githubusercontent.com/linuxserver/docker-templates/master/linuxserver.io/img/fail2ban-logo.png

镜像概述和主要用途

该镜像由LinuxServer.io团队维护，旨在提供一个易于部署和配置的fail2ban解决方案。通过监控应用日志文件，fail2ban能够检测并阻止IP地址，有效防止暴力破解等。镜像支持多种架构，可灵活应用于不同环境。

核心功能和特性

• 多平台支持：通过Docker manifest支持x86-64和arm64v8架构
• 用户权限映射：支持通过PUID和PGID设置容器内用户权限，避免权限问题
• 自定义基础镜像：基于s6 overlay构建，提供可靠的进程管理
• 定期更新：每周进行基础操作系统更新，减少空间占用和 downtime
• 安全更新：定期进行安全补丁更新，增强容器安全性
• 灵活日志配置：支持挂载主机和容器日志文件，实现对多种应用的监控

支持的架构

应用设置

配置文件

首次运行时，容器会在/config目录下创建多个文件夹和文件。默认配置均处于禁用状态。详细配置说明可参考https://github.com/linuxserver/fail2ban-confs/blob/master/README.md%EF%BC%8C%E4%B9%9F%E5%8F%AF%E5%9C%A8%E5%AE%B9%E5%99%A8%E7%9A%84%60/config/fail2ban/README.md%60%E4%B8%AD%E6%9F%A5%E7%9C%8B%E3%80%82

远程日志

所有jail配置都需要能够读取应用日志文件。建议将每个应用的日志文件夹作为卷挂载到容器（如文档中的可选卷所示），不推荐挂载单个日志文件。/remotelogs路径作为所有日志文件的父目录，每个日志文件应挂载到/remotelogs的子文件夹下，例如：/remotelogs/nginx/挂载包含nginx日志的文件夹。

使用方法和配置说明

docker-compose（推荐）

yaml
---
version: "2.1"
services:
  fail2ban:
    image: lscr.io/linuxserver/fail2ban:latest
    container_name: fail2ban
    cap_add:
      - NET_ADMIN
      - NET_RAW
    network_mode: host
    environment:
      - PUID=1000
      - PGID=1000
      - TZ=Etc/UTC
      - VERBOSITY=-vv #可选
    volumes:
      - /path/to/appdata/config:/config
      - /var/log:/var/log:ro
      - /path/to/airsonic/log:/remotelogs/airsonic:ro #可选
      - /path/to/apache2/log:/remotelogs/apache2:ro #可选
      - /path/to/authelia/log:/remotelogs/authelia:ro #可选
      - /path/to/emby/log:/remotelogs/emby:ro #可选
      - /path/to/filebrowser/log:/remotelogs/filebrowser:ro #可选
      - /path/to/homeassistant/log:/remotelogs/homeassistant:ro #可选
      - /path/to/lighttpd/log:/remotelogs/lighttpd:ro #可选
      - /path/to/nextcloud/log:/remotelogs/nextcloud:ro #可选
      - /path/to/nginx/log:/remotelogs/nginx:ro #可选
      - /path/to/nzbget/log:/remotelogs/nzbget:ro #可选
      - /path/to/overseerr/log:/remotelogs/overseerr:ro #可选
      - /path/to/prowlarr/log:/remotelogs/prowlarr:ro #可选
      - /path/to/radarr/log:/remotelogs/radarr:ro #可选
      - /path/to/sabnzbd/log:/remotelogs/sabnzbd:ro #可选
      - /path/to/sonarr/log:/remotelogs/sonarr:ro #可选
      - /path/to/unificontroller/log:/remotelogs/unificontroller:ro #可选
      - /path/to/vaultwarden/log:/remotelogs/vaultwarden:ro #可选
    restart: unless-stopped

docker cli

bash
docker run -d \
  --name=fail2ban \
  --net=host \
  --cap-add=NET_ADMIN \
  --cap-add=NET_RAW \
  -e PUID=1000 \
  -e PGID=1000 \
  -e TZ=Etc/UTC \
  -e VERBOSITY=-vv `#可选` \
  -v /path/to/appdata/config:/config \
  -v /var/log:/var/log:ro \
  -v /path/to/airsonic/log:/remotelogs/airsonic:ro `#可选` \
  -v /path/to/apache2/log:/remotelogs/apache2:ro `#可选` \
  -v /path/to/authelia/log:/remotelogs/authelia:ro `#可选` \
  -v /path/to/emby/log:/remotelogs/emby:ro `#可选` \
  -v /path/to/filebrowser/log:/remotelogs/filebrowser:ro `#可选` \
  -v /path/to/homeassistant/log:/remotelogs/homeassistant:ro `#可选` \
  -v /path/to/lighttpd/log:/remotelogs/lighttpd:ro `#可选` \
  -v /path/to/nextcloud/log:/remotelogs/nextcloud:ro `#可选` \
  -v /path/to/nginx/log:/remotelogs/nginx:ro `#可选` \
  -v /path/to/nzbget/log:/remotelogs/nzbget:ro `#可选` \
  -v /path/to/overseerr/log:/remotelogs/overseerr:ro `#可选` \
  -v /path/to/prowlarr/log:/remotelogs/prowlarr:ro `#可选` \
  -v /path/to/radarr/log:/remotelogs/radarr:ro `#可选` \
  -v /path/to/sabnzbd/log:/remotelogs/sabnzbd:ro `#可选` \
  -v /path/to/sonarr/log:/remotelogs/sonarr:ro `#可选` \
  -v /path/to/unificontroller/log:/remotelogs/unificontroller:ro `#可选` \
  -v /path/to/vaultwarden/log:/remotelogs/vaultwarden:ro `#可选` \
  --restart unless-stopped \
  lscr.io/linuxserver/fail2ban:latest

参数说明

Portainer注意事项

此镜像使用cap_add或sysctl以正常工作。某些版本的Portainer可能未正确实现这些功能，因此通过Portainer部署可能无法正常运行。

环境变量与Docker Secrets

可通过特殊前缀FILE__从文件设置环境变量，例如：

bash
-e FILE__MYVAR=/run/secrets/mysecretvariable

这将根据/run/secrets/mysecretvariable文件内容设置MYVAR环境变量。

应用Umask设置

可通过可选的-e UMASK=022设置覆盖容器内服务的默认umask。umask通过减法设置权限，而非加法，详情请参考umask说明。

用户/组标识符

使用卷挂载时，主机OS与容器间可能出现权限问题。通过指定PUID（用户ID）和PGID（组ID）可避免此问题。确保主机上的卷目录由指定用户拥有。使用id your_user命令查看当前用户的PUID和PGID：

bash
id your_user

示例输出：

text
uid=1000(your_user) gid=1000(your_user) groups=1000(your_user)

Docker Mods

可通过https://github.com/linuxserver/docker-mods%E5%A2%9E%E5%BC%BA%E5%AE%B9%E5%99%A8%E5%8A%9F%E8%83%BD%E3%80%82%E7%9B%B8%E5%85%B3Mods%E5%8F%AF%E9%80%9A%E8%BF%87fail2ban Mods和通用Mods查看。

支持信息

• 容器运行时的Shell访问：

  bash
  docker exec -it fail2ban /bin/bash
  

• 实时监控容器日志：

  bash
  docker logs -f fail2ban
  

• 容器版本号：

  bash
  docker inspect -f '{{ index .Config.Labels "build_version" }}' fail2ban
  

• 镜像版本号：

  bash
  docker inspect -f '{{ index .Config.Labels "build_version" }}' lscr.io/linuxserver/fail2ban:latest
  

更新说明

通过Docker Compose更新

• 更新镜像：

  • 所有镜像：

    bash
    docker-compose pull
    

  • 单个镜像：

    bash
    docker-compose pull fail2ban
    

• 更新容器：

  • 所有容器：

    bash
    docker-compose up -d
    

  • 单个容器：

    bash
    docker-compose up -d fail2ban
    

• 清理旧镜像：

  bash
  docker image prune
  

通过Docker Run更新

• 更新镜像：

  bash
  docker pull lscr.io/linuxserver/fail2ban:latest
  

• 停止运行中的容器：

  bash
  docker stop fail2ban
  

• 删除容器：

  bash
  docker rm fail2ban
  

• 使用相同参数重新创建容器（若正确映射到主机文件夹，/config和设置将保留）

通过Watchtower自动更新（仅在忘记原始参数时使用）

bash
docker run --rm \
  -v /var/run/docker.sock:/var/run/docker.sock \
  containrrr/watchtower \
  --run-once fail2ban

警告：不推荐使用Watchtower作为自动更新容器的解决方案，建议使用Docker Compose进行管理。

本地构建

如需本地修改镜像：

bash
git clone https://github.com/linuxserver/docker-fail2ban.git
cd docker-fail2ban
docker build \
  --no-cache \
  --pull \
  -t lscr.io/linuxserver/fail2ban:latest .

在x86_64硬件上构建ARM变体：

bash
docker run --rm --privileged multiarch/qemu-user-static:register --reset

然后使用-f Dockerfile.aarch64指定Dockerfile。

版本历史

• 01.06.23：添加可选VERBOSITY环境变量，允许用户设置容器日志详细程度
• 25.05.23：基于Alpine 3.18重建，弃用armhf架构
• 15.12.22：用msmtp替换未维护的ssmtp
• 15.12.22：基于Alpine 3.17重建，添加ssmtp和whois包，添加配置符号链接以支持实时重载
• 25.08.22：更新README以澄清远程日志信息
• 09.08.22：初始发布