CrowdSec ou Fail2ban ?

1. Deux outils, deux modèles #

Ce qui les distingue vraiment.

Le même point de départ #

Fail2ban et CrowdSec lisent tous deux des logs et bannissent les adresses qui abusent. Fail2ban, écrit en Python, le fait serveur par serveur : un filtre (expression régulière) compte les échecs dans une jail, puis une action pose une règle de pare-feu locale. CrowdSec sépare ces étapes et les rend partageables.

Le comparatif #

2. Lequel choisir ? #

Selon votre contexte.

Garder Fail2ban #

Fail2ban reste un excellent choix sur un petit serveur isolé, pour protéger SSH sans dépendance ni service réseau, quand vous n'avez besoin ni de tableau de bord ni de partage.

Choisir CrowdSec #

• Vous gérez plusieurs serveurs et voulez qu'une attaque vue sur l'un bloque sur tous.
• Vous voulez bloquer au reverse proxy, avec page de blocage ou captcha, et pas seulement au pare-feu.
• Vous voulez profiter de la réputation communautaire pour bloquer avant la première attaque.
• Vous voulez suivre l'activité avec Prometheus et Grafana.

3. Migrer sans risque #

Faire cohabiter puis basculer.

La méthode #

1. Installez CrowdSec sans bouncer, à côté de Fail2ban : il observe sans rien bloquer.
2. Pendant une ou deux semaines, comparez cscli alerts list à ce que bannit Fail2ban, et repérez les faux positifs.
3. Ajoutez vos adresses de confiance à une allowlist.
4. Installez le bouncer, vérifiez le blocage, puis arrêtez Fail2ban.

cscli alerts list --since 24h
sudo fail2ban-client status sshd
# Quand tout est prêt :
sudo systemctl disable --now fail2ban

Évitez les doublons. Deux outils qui gèrent les mêmes chaînes de pare-feu compliquent le diagnostic : de même, n'installez pas deux bouncers pare-feu sur une machine.

Sources #

• Fail2ban
• CrowdSec
• Shattered : CrowdSec, bloquer les attaques