Proteger VPS Linux com Fail2Ban: bloqueando bruteforce no SSH

Qualquer VPS Linux com SSH exposto na internet recebe centenas de tentativas de bruteforce por dia. Bots automatizados varrem o IPv4 inteiro testando combinações comuns como root/admin, ubuntu/123456 e listas de senhas vazadas. Mesmo que sua senha seja forte, o ruído nos logs, o consumo de CPU e o risco de uma credencial fraca em algum usuário secundário tornam essas tentativas um problema real.

O Fail2Ban resolve isso lendo logs de autenticação em tempo real, identificando falhas repetidas vindas do mesmo IP e adicionando regras temporárias no firewall pra bloquear esse IP. É leve (sub-50 MB de RAM em uso típico), está nos repositórios oficiais do Debian e Ubuntu e funciona com qualquer firewall padrão.

Este tutorial cobre instalação no Ubuntu/Debian, configuração de uma jail customizada pro SSH, integração com UFW e ajuste fino de banimento progressivo. Tempo estimado: 15-20 minutos.

Pré-requisitos

Se você não sabe seu IP público de onde administra a VPS, rode curl -4 ifconfig.me na sua máquina local antes de começar. Anote — você vai precisar dele.

Instalando o Fail2Ban

A instalação é direta pelo gerenciador de pacotes. Não é necessário compilar nada nem adicionar repositórios externos.

sudo apt update

sudo apt install -y fail2ban

sudo systemctl status fail2ban

Criando jail.local para SSH

O Fail2Ban tem dois arquivos de configuração: jail.conf (default do pacote, pode ser sobrescrito em updates) e jail.local (suas customizações, preservado em updates). Nunca edite jail.conf — sempre crie jail.local.

sudo nano /etc/fail2ban/jail.local

[DEFAULT]
# IPs que nunca são banidos (whitelist)
ignoreip = 127.0.0.1/8 ::1 SEU.IP.AQUI

# Tempo de banimento: 1 hora
bantime  = 3600

# Janela de observação: 10 minutos
findtime = 600

# Tentativas antes de banir
maxretry = 5

# Banimento progressivo (multiplica em reincidências)
bantime.increment = true
bantime.factor = 2
bantime.maxtime = 604800

# Backend: systemd em distribuições modernas
backend = systemd

[sshd]
enabled  = true
port     = ssh
filter   = sshd
logpath  = %(sshd_log)s
maxretry = 5

sudo systemctl restart fail2ban

Integrando com UFW

Por padrão, o Fail2Ban usa iptables pra aplicar banimentos. Se você usa UFW (interface mais amigável sobre iptables), os bloqueios funcionam mas aparecem em uma chain separada — o que pode confundir auditoria. A integração correta delega o bloqueio ao próprio UFW.

banaction = ufw
banaction_allports = ufw

sudo systemctl restart fail2ban

Verificação

Confirmar que o Fail2Ban está realmente ativo e monitorando SSH leva 30 segundos.

sudo fail2ban-client status sshd

Status for the jail: sshd
|- Filter
|  |- Currently failed: 0
|  |- Total failed:     0
|  `- File list:        /var/log/auth.log
`- Actions
   |- Currently banned: 0
   |- Total banned:     0
   `- Banned IP list:

Resolução de problemas

Fail2Ban não bane mesmo após várias falhas

Causa mais comum: o backend não está lendo o log certo. Em Ubuntu 22.04+ o auth.log foi movido pro journald e pode não existir como arquivo. Confirme com ls -la /var/log/auth.log. Se não existir, mantenha backend = systemd no jail.local — o que já está no exemplo acima.

Outra causa: filtro regex desatualizado. Rode sudo fail2ban-regex /var/log/auth.log /etc/fail2ban/filter.d/sshd.conf e veja se “matched” tem número > 0.

”Unable to start jail” no log

Quase sempre permissão. O Fail2Ban roda como usuário fail2ban (ou root em distros antigas) e precisa ler /var/log/auth.log. Cheque com sudo -u fail2ban cat /var/log/auth.log | head — se der negado, ajuste o ACL.

Me tranquei fora e não tenho IP fixo

Próximos passos

O Fail2Ban resolve uma camada do problema — bruteforce ruidoso. Pra uma postura de segurança completa, considere também:

• Desabilitar login com senha: edite /etc/ssh/sshd_config setando PasswordAuthentication no após confirmar que sua chave pública funciona. Bruteforce contra chaves é matematicamente inviável.
• Mudar a porta SSH padrão: porta diferente de 22 elimina 95% do scan automatizado (atacantes sérios encontram, mas bots burros não). Lembre-se de atualizar o UFW antes.
• Habilitar 2FA no SSH com Google Authenticator: adiciona um TOTP de 6 dígitos na cadeia de autenticação.
• Monitorar banimentos: configure notificação por email no Fail2Ban (action = %(action_mwl)s) pra receber detalhes de cada banimento.
• Estender pra outros serviços: se você expõe Nginx ou Postfix, ative os jails correspondentes no mesmo jail.local.

Se você está rodando aplicação crítica em produção, uma VPS Hostini já vem com proteção DDoS de borda integrada — o Fail2Ban continua útil pra bruteforce na camada de aplicação, mas ataques volumétricos são filtrados antes de chegarem no kernel da sua máquina. Conheça os planos em /vps.