Ubuntu 18.04上Nginx部署Meteor应用的fail2ban使用疑问

我来一步步拆解你的疑问，帮你理清这些工具的作用和配置方式：

1. Fail2Ban能否检测Meteor的登录失败尝试？当然可以！ #

Fail2Ban的核心逻辑是监控日志文件，匹配预设的失败规则，然后封禁恶意IP——只要你的Meteor应用能把登录失败的记录输出到某个日志文件里，Fail2Ban就能对其进行监控。

具体实现步骤： #

第一步：让Meteor输出登录失败日志

Meteor默认的日志输出（比如console.error）会被Passenger捕获，你需要配置Passenger将应用日志写入指定文件：

• 在你的Nginx server块里添加Passenger日志配置：

  passenger_app_log_file /var/log/meteor/myapp.log;
  passenger_app_logs_enabled on;
  

• 然后在Meteor的登录验证代码中，主动记录失败尝试（以accounts-password包为例）：

  import { Accounts } from 'meteor/accounts-base';
  
  Accounts.validateLoginAttempt((attempt) => {
    if (!attempt.allowed) {
      // 记录登录失败的IP和用户名
      console.error(`Login failed for user: ${attempt.user?.username || attempt.methodArguments[0].username} from IP: ${attempt.connection.clientAddress}`);
    }
    return attempt.allowed;
  });
  

  这样每次登录失败，Meteor都会把包含客户端IP的日志输出到/var/log/meteor/myapp.log。

第二步：创建Fail2Ban自定义Filter

在/etc/fail2ban/filter.d/下新建meteor-login.conf文件，写入匹配日志的正则规则：

[Definition]
failregex = ^.*Login failed for user: .* from IP: <HOST>$
ignoreregex =

这里的<HOST>是Fail2Ban的内置占位符，会自动匹配日志中的IP地址。

第三步：配置Fail2Ban Jail

在/etc/fail2ban/jail.d/下新建meteor.conf文件，启用这个监控规则：

[meteor-login]
enabled = true
filter = meteor-login
logpath = /var/log/meteor/myapp.log
maxretry = 5  # 5次失败后封禁
bantime = 3600  # 封禁1小时
findtime = 600  # 10分钟内统计失败次数
action = iptables-multiport[name=meteor, port="http,https", protocol=tcp]

第四步：重启Fail2Ban生效

sudo systemctl restart fail2ban

你可以用fail2ban-client status meteor-login查看监控状态。

2. Fail2Ban的核心作用是什么？ #

它不止能检测服务器本身的登录（比如SSH、FTP），还能监控任何能生成结构化日志的服务：

• 对于你的场景，即使禁用了SSH密码登录，它依然能监控：
  • SSH密钥登录的失败尝试（虽然概率低，但仍有恶意扫描）
  • Nginx层面的恶意请求（比如你配置的return 404的路径扫描）
  • 刚才配置的Meteor应用登录失败
• 本质是通过封禁IP，减少暴力攻击、恶意扫描对服务器和应用的压力。

3. Nginx网站区域密码保护（HTTP Basic Auth）的作用，以及和Meteor的配合 #

这是应用层面登录之外的另一层防护：

• 它的作用是在请求到达Meteor应用之前，先通过Nginx验证用户的账号密码，相当于给网站的特定区域加了一道"前置门"。
• 是否需要？看你的应用场景：
  • 如果是内部使用的应用：非常推荐，能有效阻止爬虫、恶意用户直接访问Meteor的登录接口，减少攻击面。
  • 如果是公开面向用户的应用：不建议，会增加用户的登录步骤（先过Nginx的Basic Auth，再过Meteor的登录），影响体验。
• 和Meteor配合的配置示例（比如给/login路径加Basic Auth）：

  location /login {
      auth_basic "Restricted Access";
      auth_basic_user_file /etc/nginx/.htpasswd;  # 这里是生成的密码文件
      # 保留原有的Meteor/Passenger配置
      passenger_enabled on;
      passenger_app_root /var/www/myapp/bundle;
      passenger_nodejs /usr/bin/node;
  }
  

  密码文件可以用htpasswd工具生成：sudo htpasswd -c /etc/nginx/.htpasswd your-username。

内容的提问来源于stack exchange，提问作者Little Brain