前言
fail2ban可以监视你的系统日志，然后匹配日志的错误信息执行相应的屏蔽动作。网上大部分教程都是关于fail2ban+iptables组合，考虑到CentOS 7已经自带Firewalld，所以这里我们也可以利用fail2ban+Firewalld来防CC攻击和SSH爆破。
准备工作
1、检查Firewalld是否启用
如果您已经安装iptables建议先关闭
service iptables stop查看Firewalld状态
firewall-cmd --state启动firewalld
systemctl start firewalld设置开机启动
systemctl enable firewalld.service启用Firewalld后会禁止所有端口连接，因此请务必放行常用的端口，以免被阻挡在外，以下是放行SSH端口（22）示例，供参考：
放行22端口
firewall-cmd --zone=public --add-port=22/tcp --permanent重载配置
firewall-cmd --reload查看开放的端口
firewall-cmd --zone=public --list-ports2、安装fail2ban
fail2ban可以监控系统日志，并且根据一定规则匹配异常IP后使用Firewalld将其屏蔽，尤其是针对一些爆破/扫描等非常有效。
CentOS内置源并未包含fail2ban，需要先安装epel源
yum -y install epel-release安装fial2ban
yum -y install fail2ban安装成功后fail2ban配置文件位于/etc/fail2ban，其中jail.conf为主配置文件，相关的匹配规则位于filter.d目录，其它目录/文件一般很少用到，如果需要详细了解可自行搜索。
3、配置规则
新建jail.local来覆盖fail2ban的一些默认规则：
新建配置
vi /etc/fail2ban/jail.local默认配置
[DEFAULT]
ignoreip = 127.0.0.1/8
bantime = 86400
findtime = 600
maxretry = 5
#这里banaction必须用firewallcmd-ipset,这是fiewalll支持的关键，如果是用Iptables请不要这样填写
banaction = firewallcmd-ipset
action = %(action_mwl)s参数说明：
ignoreip：IP白名单，白名单中的IP不会屏蔽，可填写多个以（,）分隔
bantime：屏蔽时间，单位为秒（s）
findtime：时间范围
maxretry：最大次数
banaction：屏蔽IP所使用的方法，上面使用firewalld屏蔽端口防止SSH爆破
继续修改jail.local这个配置文件，在后面追加如下内容：
[sshd]
enabled = true
filter = sshd
port = 22
action = %(action_mwl)s
logpath = /var/log/secure参数说明：
[sshd]：名称，可以随便填写
filter：规则名称，必须填写位于filter.d目录里面的规则，sshd是fail2ban内置规则
port：对应的端口
action：采取的行动
logpath：需要监视的日志路径到这一步，我们jail.local的规则看起来可能像下面这样子：
[DEFAULT]
ignoreip = 127.0.0.1/8
bantime = 86400
findtime = 600
maxretry = 5
banaction = firewallcmd-ipset
action = %(action_mwl)s
[sshd]
enabled = true
filter = sshd
port = 22
action = %(action_mwl)s
logpath = /var/log/secure上面的配置意思是如果同一个IP，在10分钟内，如果连续超过5次错误，则使用Firewalld将他IP ban了。输入systemctl start fail2ban启动fail2ban来试试效果。
使用另一台服务器不断尝试连接SSH，并且不断的将密码输入错误，你会发现连续超过5次后直接连不上，说明IP被ban了，可以输入：fail2ban-client status sshd查看被ban的IP
防止CC攻击
这里仅以Nginx为例，使用fail2ban来监视nginx日志，匹配短时间内频繁请求的IP，并使用firewalld将其IP屏蔽，达到CC防护的作用。
需要先新建一个nginx日志匹配规则
vi /etc/fail2ban/filter.d/nginx-cc.conf填写以下内容
[Definition]
failregex = <HOST> -.*- .*HTTP/1.* .* .*$
ignoreregex =继续修改jail.local追加如下内容：
[nginx-cc]
enabled = true
port = http,https
filter = nginx-cc
action = %(action_mwl)s
maxretry = 20
findtime = 60
bantime = 3600
logpath = /usr/local/nginx/logs/access.log上面的配置意思是如果在60s内，同一IP达到20次请求，则将其IP ban 1小时，上面只是为了测试，请根据自己的实际情况修改。logpath为nginx日志路径。
常用命令
启动
systemctl start fail2ban停止
systemctl stop fail2ban重启
systemctl restart fail2ban开机启动
systemctl enable fail2ban关闭开机启动
systemctl disable fail2ban查看被ban IP，其中sshd为名称，比如上面的[nginx-cc]
fail2ban-client status sshd删除被ban IP
fail2ban-client set sshd delignoreip 192.168.111.111或
fail2ban-client set sshd unbanip 192.168.111.111查看日志
tail /var/log/fail2ban.log