Защита Nginx Proxy Manager от атак с помощью fail2ban на личном VPS

Nginx Proxy Manager — это веб-панель для управления обратным прокси и SSL-сертификатами на вашем личном сервере. fail2ban — инструмент для автоматической блокировки IP-адресов, которые пытаются подобрать пароли или атаковать веб-интерфейс. В связке они защищают панель управления прокси от брутфорса и сканирования. Если у вас уже есть личный VPS от SANSARA, настройка занимает несколько минут и не требует работы в терминале.

Коротко:

• Nginx Proxy Manager управляет прокси-правилами и SSL через веб-интерфейс.
• fail2ban следит за логами и блокирует IP, которые слишком часто пытаются войти в панель.
• С SANSARA вы получаете готовый личный VPS с данными для импорта в клиент без ручной установки панелей.
• Настройка fail2ban для Nginx Proxy Manager сводится к созданию фильтра и jail-правила.
• Работает на любом устройстве: iPhone, Android, Windows, macOS.
• После настройки вы получаете защищённый шлюз с автоматической блокировкой подозрительных IP.

Что это такое и зачем нужно

Nginx Proxy Manager — это обёртка над Nginx, которая позволяет настраивать обратный прокси, перенаправления и SSL-сертификаты через графический интерфейс. Вы добавляете домены, указываете, куда перенаправлять трафик, и панель сама генерирует конфиги и обновляет сертификаты.

fail2ban — система защиты сервера от атак. Она читает логи сервисов (например, логи входа в панель Nginx Proxy Manager), ищет подозрительные паттерны (много неудачных попыток входа) и временно блокирует IP-адреса через фаерволл.

Зачем это нужно:

• Веб-панель Nginx Proxy Manager доступна из интернета по умолчанию.
• Боты постоянно сканируют интернет на наличие открытых панелей и пытаются подобрать пароли.
• Без fail2ban ваш сервер может подвергаться брутфорсу, что увеличивает нагрузку и риск компрометации.
• С fail2ban после нескольких неудачных попыток входа IP автоматически блокируется на заданное время.

На личном VPS от SANSARA вы получаете выделенный узел, который обслуживает только ваш канал. Добавление fail2ban делает его ещё безопаснее, не мешая обычной работе.

Как настроить с SANSARA (пошагово)

SANSARA предоставляет личный VPS с готовым подключением: вы регистрируетесь, получаете данные в кабинете и импортируете их в клиент на своём устройстве. Панели управления и базовые настройки уже установлены, терминал для этого не нужен.

Если вы хотите защитить веб-панель Nginx Proxy Manager с помощью fail2ban, шаги будут такими:

1. 01Убедитесь, что Nginx Proxy Manager установлен и доступен.

Обычно на VPS от SANSARA панель уже доступна по определённому порту (например, http://ваш-ip:81). Проверьте, что можете зайти в неё.

1. 01Установите fail2ban на сервер.

Если он ещё не установлен, это делается одной командой (на примере Ubuntu/Debian): sudo apt update && sudo apt install fail2ban

1. 01Создайте фильтр для Nginx Proxy Manager.

Fail2ban должен понимать, какие строки в логах означают неудачную попытку входа. Создайте файл, например /etc/fail2ban/filter.d/nginx-proxy-manager.conf, с содержимым:

`ini [Definition] failregex = ^.\[error\] 403.email:.*$ ignoreregex = `

Здесь failregex ловит строки с ошибкой 403 и упоминанием email — типичный признак неудачной авторизации в панели.

1. 01Настройте jail для Nginx Proxy Manager.

В файле /etc/fail2ban/jail.local добавьте блок:

`ini [nginx-proxy-manager] enabled = true port = 80,443,81 filter = nginx-proxy-manager logpath = /path/to/nginx-proxy-manager/logs/error.log maxretry = 5 bantime = 3600 findtime = 600 `

• port — порты, на которых работает панель (обычно 81 для админки, 80 и 443 для прокси).
• logpath — путь к логу ошибок Nginx Proxy Manager (уточните его в настройках панели или в докер-контейнере).
• maxretry — сколько неудачных попыток допустить до бана.
• bantime — на сколько секунд блокировать IP (здесь 1 час).
• findtime — окно времени, за которое считаются попытки.

1. 01Перезапустите fail2ban и проверьте статус.

`bash sudo systemctl restart fail2ban sudo fail2ban-client status nginx-proxy-manager `

Вы должны увидеть, что jail активен и список забаненных IP (пока пустой).

1. 01Проверьте работу.

Попробуйте несколько раз ввести неверный пароль в панели Nginx Proxy Manager. Через несколько попыток ваш IP должен быть заблокирован на указанное время. Проверить можно командой sudo fail2ban-client status nginx-proxy-manager.

После этого панель управления вашим прокси-шлюзом будет защищена от массовых попыток входа. Ваш личный VPS продолжит работать как обычно, но станет устойчивее к автоматическим атакам.

Устройства: iPhone, Android, Windows, macOS

Настройка fail2ban выполняется на стороне сервера — на вашем личном VPS от SANSARA. Клиентские устройства подключаются к уже защищённому шлюзу, поэтому для них ничего дополнительно настраивать не нужно.

• iPhone, Android:

Используйте приложения для работы с защищёнными каналами (например, клиенты с поддержкой импорта конфигов). После регистрации в SANSARA вы получаете данные для подключения в кабинете. Импортируйте их в приложение — и канал будет работать через ваш защищённый прокси-шлюз.

• Windows, macOS:

На компьютерах также используются клиенты, которые поддерживают импорт конфигураций. Вы загружаете профиль из кабинета SANSARA, активируете его — и весь трафик идёт через ваш личный сервер с защищённой панелью управления.

Преимущество SANSARA в том, что вам не нужно вручную устанавливать панели управления или работать в терминале на клиентских устройствах. Вся серверная часть уже готова, а клиентская сводится к импорту готового профиля.

Практический чек-лист на 7–10 пунктов

Чтобы быстро разобраться с темой и настроить решение, используйте этот чек-лист:

1. 01Понять, зачем вам Nginx Proxy Manager.

Нужен ли вам обратный прокси для доменов, SSL-сертификаты и удобное управление через веб-панель.

1. 01Выбрать личный VPS с поддержкой прокси-панелей.

SANSARA предоставляет готовые конфигурации, где панель уже установлена.

1. 01Проверить доступ к панели Nginx Proxy Manager.

Откройте её в браузере по указанному порту и убедитесь, что можете войти.

1. 01Установить fail2ban на сервер.

Одна команда для установки, если его ещё нет.

1. 01Настроить фильтр для логов панели.

Создать файл с failregex, который ловит неудачные попытки входа.

1. 01Добавить jail для Nginx Proxy Manager в конфиг fail2ban.

Указать порты, путь к логам, количество попыток и время блокировки.

1. 01Перезапустить fail2ban и проверить статус jail.

Убедиться, что он активен и следит за логами.

1. 01Протестировать блокировку.

Сделать несколько неудачных попыток входа и проверить, что IP попадает в бан-лист.

1. 01Настроить клиенты на устройствах.

Импортировать конфиг из кабинета SANSARA в приложение на iPhone, Android, Windows или macOS.

1. 01Регулярно проверять логи и настройки.

Убеждаться, что fail2ban работает, и при необходимости корректировать параметры (например, увеличить bantime при частых атаках).

FAQ

Итог

• Используйте Nginx Proxy Manager для удобного управления обратным прокси и SSL на личном VPS.
• Добавьте fail2ban, чтобы автоматически блокировать IP, которые атакуют веб-панель.
• Настройте фильтр и jail для логов Nginx Proxy Manager, указав порты, путь к логам и параметры блокировки.
• Проверьте работу, сделав несколько неудачных попыток входа и убедившись, что IP попадает в бан-лист.
• Подключайтесь к защищённому шлюзу с любых устройств через импорт конфигурации из кабинета SANSARA.