UFW + fail2ban

Aufgaben

1. 1. Default-Deny einschalten

   Begriff: Default-Policy. Die Default-Policy legt fest, was mit Verkehr passiert, für den keine Regel existiert. Sicher ist: eingehend (incoming) alles verwerfen, ausgehend (outgoing) erlauben. Ausgehend muss erlaubt bleiben, sonst kann der Server keine DNS-Anfragen oder Updates mehr machen.

   Setze die Default-Policy:

   sudo ufw default deny incoming
   sudo ufw default allow outgoing

   Kontrolle: sudo ufw status verbose zeigt deny (incoming) und allow (outgoing).

2. 2. SSH-Port 22 erlauben

   Begriff: Port-Freigabe. Bevor du die Firewall scharf schaltest, musst du SSH (Port 22) ausdrücklich erlauben — sonst kappt die Firewall im nächsten Schritt deine eigene Verbindung.

   Erlaube TCP-Port 22:

   sudo ufw allow 22/tcp

   ⚠️ Vergisst du diesen Schritt und aktivierst trotzdem die Firewall, sperrst du dich auf einem echten Server für den Rest der Sitzung aus. Auf der Lab-VM hat der Prüfer einen eigenen Zugang — du nicht.

   Kontrolle: sudo ufw status listet eine Regel für 22/tcp.

3. 3. UFW aktivieren

   Begriff: Firewall scharf schalten. Erst mit ufw enable werden Default-Policy und Regeln tatsächlich aktiv — vorher sind sie nur vorbereitet.

   Aktiviere die Firewall:

   sudo ufw --force enable

   --force überspringt die interaktive Rückfrage (nötig im Lab). Prüfe vorher mit sudo ufw status, dass Port 22 erlaubt ist.

   Kontrolle: sudo ufw status meldet Status: active.

4. 4. fail2ban-Service starten

   Begriff: Dienst (Service). fail2ban läuft als Hintergrund-Dienst. Ein Dienst muss gestartet (läuft jetzt) und aktiviert (startet automatisch beim Booten) sein. enable --now macht beides in einem Schritt.

   Starte und aktiviere fail2ban:

   sudo systemctl enable --now fail2ban

   Kontrolle: systemctl is-active fail2ban meldet active.

5. 5. sshd-Jail aktivieren

   Begriff: Jail. Ein Jail sagt fail2ban, welche Logdatei es überwachen und wann es sperren soll. Der [sshd]-Jail beobachtet die SSH-Logins: zu viele Fehlversuche von einer IP → diese IP wird zeitweise gesperrt.

   Lege /etc/fail2ban/jail.local an (sudo nano /etc/fail2ban/jail.local) mit:

   [sshd]
   enabled = true

   Danach fail2ban neu laden:

   sudo systemctl reload fail2ban

   ⚠️ Die Whitelist in /etc/fail2ban/jail.d/00-validator-whitelist.conf nicht verändern — sonst sperrst du den Plattform-Prüfer aus.

   Kontrolle: sudo fail2ban-client status sshd funktioniert (der Jail ist aktiv).

6. 6. Brute-Force-Test ausführen

   Begriff: Verifizieren statt vertrauen. „Sieht fertig aus, ist es aber nicht" ist die schlimmste Falle in der IT-Sicherheit. Statt nur die Konfiguration anzusehen, testest du live, dass fail2ban wirklich sperrt.

   Führe den eingebauten, rein defensiven Brute-Force-Simulator aus (er greift nur localhost an — kein echtes Ziel) und prüfe dann den Jail-Status:

   sudo /usr/local/bin/lab-bruteforce-simulator
   sudo fail2ban-client status sshd

   In der Ausgabe muss Total banned mindestens 1 sein — fail2ban hat den simulierten Angreifer gesperrt.

   Kontrolle: fail2ban-client status sshd zeigt mindestens eine gebannte IP (Total banned: 1 oder mehr).