Fail2Ban est un outil de sécurité qui analyse les fichiers journaux de votre serveur et bloque automatiquement les adresses IP après des tentatives de connexion échouées répétées. Dans Plesk, vous activez Fail2Ban en quelques clics et définissez pour chaque service (SSH, FTP, mail) le niveau de rigueur de la protection. Cet article explique comment le configurer et quels réglages sont judicieux.
Que fait exactement Fail2Ban
Fail2Ban surveille les fichiers journaux de services tels que SSH, FTP, Dovecot et Plesk lui-même. Lorsqu’un nombre défini de tentatives échouées est atteint dans un laps de temps donné, l’adresse IP correspondante est temporairement bloquée au niveau du pare-feu. Cela empêche un attaquant d’essayer indéfiniment des mots de passe et réduit la charge inutile sur votre serveur.
Activer Fail2Ban dans Plesk
Connectez-vous à Plesk
Ouvrez votre panneau Plesk et connectez-vous avec votre compte administrateur.
Accédez à Outils & Paramètres
Cliquez dans le menu de gauche sur “Outils & Paramètres” et recherchez la section “Fail2Ban” (parfois sous Sécurité ou Gestion du serveur).
Installez si nécessaire
Si Fail2Ban n’est pas encore présent, installez l’extension Plesk correspondante via le catalogue d’extensions.
Activez le service
Réglez Fail2Ban sur “Actif” et vérifiez que le statut s’affiche en vert.
Activez les jails par service
Activez les filtres pour les services que vous souhaitez protéger, tels que SSH, FTP, Dovecot (mail) et Plesk lui-même.
Configurer les paramètres de jail
Pour chaque jail, vous pouvez définir trois valeurs importantes :
- Max retry : nombre de tentatives échouées avant qu’une IP ne soit bloquée.
- Find time : la période durant laquelle ces tentatives sont comptabilisées.
- Ban time : la durée pendant laquelle l’IP reste bloquée.
Pour SSH, il est judicieux d’être plus strict que les valeurs par défaut, par exemple avec un max retry plus bas et un ban time plus long. Pour les services mail et FTP, vous pouvez opter pour des réglages un peu plus souples, selon le nombre d’utilisateurs se connectant depuis des réseaux variables.
Liste blanche et exceptions
Ajoutez des adresses IP fixes, comme celle de votre bureau ou de votre réseau domestique, à la liste blanche afin de ne jamais vous bloquer accidentellement vous-même. Dans Plesk, vous trouverez cette option dans les paramètres de Fail2Ban sous “Ignore IP”. Vérifiez les adresses bloquées via le fichier journal ou l’aperçu du statut dans Plesk, afin de voir si un utilisateur légitime a été bloqué à tort.
Un serveur correctement sécurisé est particulièrement important si vous utilisez également un hébergement e-mail professionnel, car les comptes mail sont une cible privilégiée des attaques par force brute. Si vous envisagez de passer à un fournisseur offrant une sécurité par défaut plus stricte, découvrez les possibilités pour migrer vers Tandata.
Questions fréquentes
Fail2Ban peut-il bloquer des utilisateurs légitimes ?
Oui, si quelqu’un saisit plusieurs fois un mot de passe incorrect. Évitez cela en utilisant des clés SSH et en ajoutant les adresses IP fixes à la liste blanche.
Comment voir quelles adresses IP sont bloquées ?
Via Plesk sous Outils & Paramètres au niveau de Fail2Ban, ou via SSH avec la commande tail -f /var/log/fail2ban.log.
Fail2Ban fonctionne-t-il avec LiteSpeed ?
Oui, Fail2Ban peut fonctionner comme une couche supplémentaire aux côtés des options de sécurité intégrées de LiteSpeed, sans impact notable sur les performances.
Puis-je étendre Fail2Ban pour des applications spécifiques ?
Oui, vous pouvez créer vos propres filtres, par exemple pour les connexions WordPress. Cela nécessite une configuration manuelle, mais Plesk propose également des filtres prêts à l’emploi pour les services les plus courants.
Conclusion
Fail2Ban dans Plesk est un moyen simple mais efficace de protéger votre serveur contre les attaques par force brute. En adaptant les paramètres de jail à votre situation et en utilisant une liste blanche, vous maintenez votre serveur sécurisé sans gêner les utilisateurs légitimes. Pour plus de conseils de configuration, consultez également notre base de connaissances.