CrowdSec на VPS: защита умнее Fail2Ban

1. Как работает CrowdSec

CrowdSec — это open-source система защиты серверов с коллективным интеллектом. Архитектура состоит из трёх уровней:

Ключевая идея — разделение обнаружения и блокировки. Security Engine только анализирует и решает. Bouncer только блокирует. Это позволяет, например, обнаруживать на одном сервере, а блокировать на нескольких.

2. CrowdSec vs Fail2Ban

3. Установка Security Engine

Официальный способ — скрипт установки, который добавляет репозиторий и устанавливает пакет. Поддерживается Ubuntu 20.04, 22.04, 24.04 и Debian.

Шаг 1: добавить репозиторий и установить

curl -s https://install.crowdsec.net | sudo sh
sudo apt install -y crowdsec

Скрипт добавит GPG-ключ и apt-репозиторий. После установки CrowdSec запустится автоматически. Проверить статус:

sudo systemctl status crowdsec

Шаг 2: убедиться что сервис работает

sudo cscli version
sudo cscli hub list

Команда cscli hub list покажет установленные коллекции, парсеры и сценарии. При первой установке уже будут базовые парсеры для Linux.

sudo systemctl stop fail2ban
sudo systemctl disable fail2ban

4. Коллекции: SSH и Nginx

Коллекция — набор парсеров и сценариев для конкретного сервиса. CrowdSec Hub содержит 300+ готовых коллекций. Установите те, что соответствуют сервисам на вашем VPS.

Базовые коллекции

# Базовая защита Linux (syslog, sudo, и т.д.)
sudo cscli collections install crowdsecurity/linux

# Защита SSH от brute-force
sudo cscli collections install crowdsecurity/sshd

# Защита Nginx (сканирование, brute-force, SQL injection)
sudo cscli collections install crowdsecurity/nginx

# Применить изменения
sudo systemctl reload crowdsec

Если у вас запущено что-то ещё — добавьте соответствующие коллекции:

Как CrowdSec читает логи Nginx

После установки коллекции crowdsecurity/nginx CrowdSec автоматически находит лог-файлы Nginx в стандартных путях (/var/log/nginx/access.log, /var/log/nginx/error.log). Если логи в нестандартном месте — добавьте в конфиг:

filenames:
  - /var/log/nginx/*.log
labels:
  type: nginx

5. Firewall Bouncer

Firewall bouncer блокирует IP на сетевом уровне — через nftables (Ubuntu 22.04+) или iptables. Это самый эффективный тип блокировки: пакет от заблокированного IP отбрасывается ядром ещё до Nginx.

Установка (nftables — Ubuntu 22.04+)

sudo apt install -y crowdsec-firewall-bouncer-nftables
sudo systemctl enable crowdsec-firewall-bouncer
sudo systemctl start crowdsec-firewall-bouncer

Для Ubuntu 20.04 или систем с iptables используйте пакет crowdsec-firewall-bouncer-iptables.

Проверка

sudo cscli bouncers list

В списке должен появиться bouncer с типом crowdsec-firewall-bouncer и статусом valid. Пример вывода:

 Name                      IP Address  Valid  Last API pull         Type
 cs-firewall-bouncer-linux  127.0.0.1   true   2026-03-12T10:00:00Z  crowdsec-firewall-bouncer

6. Nginx Bouncer

Nginx bouncer работает на уровне веб-приложения: он встраивается в Nginx и проверяет каждый HTTP-запрос против базы CrowdSec. Заблокированные IP получают ответ 403 Forbidden или капчу. Дополняет firewall bouncer — можно использовать оба.

Установка

sudo apt install -y crowdsec-nginx-bouncer

Установщик автоматически добавит конфиг в Nginx. Проверьте что появился файл:

ls /etc/nginx/conf.d/crowdsec*.conf

Подключить к виртуальным хостам

Добавьте строку include в каждый server-блок Nginx, который нужно защитить:

server {
    listen 443 ssl;
    server_name ваш-сайт.ru;

    # Подключить защиту CrowdSec
    include /etc/nginx/conf.d/crowdsec_nginx.conf;

    # ... остальной конфиг ...
}

sudo nginx -t && sudo systemctl reload nginx

Проверить что bouncer работает

sudo cscli bouncers list

Должны отображаться оба bouncer-а — firewall и nginx — со статусом valid.

7. Мониторинг и управление

Всё управление через утилиту cscli. Вот основные команды, которые нужны в ежедневной работе:

Ручное управление блокировками

sudo cscli decisions add --ip 1.2.3.4

sudo cscli decisions add --ip 1.2.3.4 --duration 24h

sudo cscli decisions delete --ip 1.2.3.4

# Редактировать файл вайтлиста
sudo nano /etc/crowdsec/parsers/s02-enrich/whitelists.yaml

В файл вайтлиста добавьте свои IP-адреса (например, домашний) под ключ ip:

name: crowdsecurity/whitelists
description: "Whitelist trusted IPs"
whitelist:
  reason: "trusted IPs"
  ip:
    - "ВАШ_ДОМАШНИЙ_IP"
    - "IP_ОФИСА"

sudo systemctl reload crowdsec

Обновление CrowdSec

# Обновить сам пакет
sudo apt update && sudo apt upgrade crowdsec

# Обновить Hub (сценарии и парсеры)
sudo cscli hub update && sudo cscli hub upgrade
sudo systemctl reload crowdsec

8. Онлайн-дашборд

CrowdSec предлагает бесплатный онлайн-дашборд на app.crowdsec.net — карта атак, статистика по сценариям, история алертов и метрики в удобном интерфейсе. Регистрация занимает минуту.

Подключить сервер к дашборду

sudo cscli console enroll ВАШИ_КЛЮЧ_ИЗ_КАБИНЕТА
sudo systemctl restart crowdsec

Через несколько минут сервер появится в дашборде. Там будет видно: сколько атак обнаружено, какие сценарии сработали, карта географии атакующих и статистика по типам угроз.

Частые вопросы