Fail2Ban 自动解封策略：怎样配置过期时间与逻辑

Fail2Ban自动解封由配置参数驱动：bantime决定封禁时长（如1h），-1为永久封禁；findtime与maxretry共同定义攻击判定窗口；解封依赖防火墙动作正确执行，可通过fail2ban-client验证状态。

Fail2Ban 的自动解封不是“开关式”功能，而是由配置参数严格驱动的内置机制——只要正确设置，到期就自动移除 IP，无需手动干预或额外脚本。

封禁时长（bantime）决定解封时间点

这是最核心的参数，定义单次封禁持续多久。单位是秒，也支持后缀如 1h、24h、7d。

• 默认值通常是 600（即 10 分钟），对轻度试探够用，但面对轮询式爆破可能太短
• 设为 bantime = 1h 表示该 IP 被封 1 小时后自动放行
• 设为 bantime = -1 表示永久封禁（需配合 action_ 中的持久化动作，且不推荐用于生产环境）
• 注意：这个时间从触发封禁那一刻开始倒计时，不是从日志最后一条失败记录算起

时间窗口（findtime）影响是否重复触发

它不直接控制解封，但和 maxretry 共同决定“什么才算一次有效攻击事件”，间接影响解封节奏。

• findtime = 3600 意味着 Fail2Ban 只看过去 1 小时内的失败记录
• 如果某 IP 在第 0 分钟失败 2 次，第 59 分钟再失败 1 次，满足 maxretry = 3 就会封禁
• 但如果它在第 61 分钟又失败，由于超出 findtime 窗口，计数重置，不会立即再次触发封禁
• 这样可避免攻击者用“间隔略超窗口”的方式绕过，也让解封后有一段“冷静期”再被评估

解封逻辑依赖服务与动作配置

自动解封能否生效，关键在于 Fail2Ban 是否能准确管理防火墙规则。

• 使用 iptables 时，Fail2Ban 通过 iptables -D 删除对应规则，前提是规则由它自己添加且未被其他工具覆盖
• 对接 UFW 时，需明确设置 banaction = ufw，并确保 UFW 日志路径（/var/log/ufw.log）和规则插入顺序（ufw insert 1 deny from X.X.X.X）正确
• 若混用 firewalld 和 iptables，或规则被其他安全模块改写，可能导致封禁残留或解封失效
• 可通过 fail2ban-client status sshd 查看当前封禁列表及剩余时间，验证解封逻辑是否运行正常

进阶：递增封禁与白名单协同

单纯固定时长有时不够灵活，结合以下配置可让解封策略更贴合实际威胁。

• bantime.increment = true 开启后，同一 IP 多次违规，封禁时间会逐次翻倍（如 10m → 20m → 40m）
• ignoreip 列出可信 IP（如运维跳板机、监控出口），它们永远不会被封，也不参与计数
• destemail + sender 配合邮件通知，每次解封虽不发信，但封禁动作发生时你能及时知晓，便于人工复核异常模式