Aşağıdaki gibi yapılandırılmış bir fail2ban var:

• 3 başarısız denemeden sonra ipi engelle
• IP'yi 300 sn zaman aşımından sonra serbest bırakın

Bu mükemmel çalışıyor ve geçerli bir kullanıcı zaman aşımından sonra giriş yapmayı denemek için bir şans elde edeceği şekilde bu şekilde tutmak istiyorum. Şimdi, aynı IP'nin saldırı olarak algılanması ve engellenmesi, 5 kez engellenmesi, IP'nin kalıcı olarak engellenmesi ve bir daha asla engellenmemesi için bir kural uygulamak istiyorum. Bu tek başına fail2ban ile yapılabilir mi yoksa bunu yapmak için kendi senaryomu yazmam gerekir mi?

Bunu centolarda yapıyorum.

0.11'den önce, bunu başarmak için fail2ban içinde bir varsayılan özellik ya da ayar yoktu . Ancak yaklaşan 0.11 sürümünden itibaren yasaklama süresi otomatik olarak hesaplanır ve uzun vadede daha fazla veya daha az kalıcı bir blok anlamına gelecek olan her yeni suçla katlanarak artar.

O zamana kadar, en iyi yaklaşımınız muhtemelen kendi günlük dosyasını izlemek için fail2ban'ı ayarlamaktır . Bu iki aşamalı bir süreçtir ...

Aşama 1

BAN 'ı günlük dosyasında kontrol etmek için bir filtre oluşturmamız gerekebilir (fail2ban'ın günlük dosyası)

Adım 2

Hapishaneyi tanımlamamız gerekiyor , aşağıdakine benzer ...

[Fail2ban]
etkin = gerçek
filter = fail2ban
action = iptables-allports [name = fail2ban]
logpath = /path/to/fail2ban.log
# findtime: 1 gün
findtime = 86400
# bantime: 1 yıl
bantime = 31536000

Teknik olarak, kalıcı bir blok değil , sadece bir yıl için bloklar (biz de artırabiliriz).

Neyse, sorunuz için (bu sadece fail2ban ile yapılabilir mi yoksa bunu yapmak için kendi senaryomu yazmam gerekir mi?) ... kendi senaryosunu yazmak iyi sonuç verebilir. Sıklıkla yasaklanan IP'leri çıkarmak için komut dosyasını ayarlamak ve bunları içine koymak /etc/hosts.deny, önerdiğim şeydir.

bantime = -1Bu yapılandırma bölümüne koyarsanız , kalıcı bir blok olduğuna inanıyorum .

Phil Hagen bu konuda mükemmel bir makale yazdı. Msgstr " Kalıcı olarak yasaklama suçlularını fail2ban ile ".

Önerisi Pothi ile aynı, ancak adım adım rehberlik ediyor.

Bu dahil:

• hapishaneye göre ayrı yasaklama listesi (ip.blocklist.ssh, ip.blocklist.xxx)
• hizmet yeniden başlatılırsa yasaklama otomatik olarak listelenir (bu yöntemin ana avantajı imho)
• Tekrarlayıcı devreye girdiyse e-posta bildirimi.

Chin'in cevabını genişletmek için bu oldukça basittir. /etc/fail2ban/jail.localTercihlerinizi eşleştirmek için sadece 2 ayarları düzenleyin .

 # ban time in seconds. Use -1 for forever. Example is 1 week.
 bantime  = 604800
 # number of failures before banning
 maxretry = 5

fail2ban zaten recidive yasaklama yasağı var. Eğer izlersen /etc/fail2ban/jail.conf, bulacaksın:

# Jail for more extended banning of persistent abusers
# !!! WARNING !!!
#   Make sure that your loglevel specified in fail2ban.conf/.local
#   is not at DEBUG level -- which might then cause fail2ban to fall into
#   an infinite loop constantly feeding itself with non-informative lines
[recidive]

enabled  = false
filter   = recidive
logpath  = /var/log/fail2ban.log
action   = iptables-allports[name=recidive]
           sendmail-whois-lines[name=recidive, logpath=/var/log/fail2ban.log]
bantime  = 604800  ; 1 week
findtime = 86400   ; 1 day
maxretry = 5

Jail.local nasıl eklenir?

[recidive]
enabled  = true
bantime  = 31536000  ; 1 year
findtime = 18144000  ; 1 month
maxretry = 2

Kontrol için sen yapabilirsin loglevel: fail2ban-client get loglevel.

• günlük seviyesini ayarla MYLEVEL : günlük seviyesini MYLEVEL olarak ayarlar. Seviyeler: ELEŞTİRİ, HATA, UYARI, BİLDİRİM, BİLGİ, DEBUG
• Wiki hakkında daha fazla komut .

Eski fail2ban sürümü ile bu hatayı alabilirsiniz .

Vim'e gidin, /etc/fail2ban/jail.conf dosyasını açın.

ve sonra sadece değiştirin fail2ban service restart:

# "bantime" is the number of seconds that a host is banned.
bantime  = ***1296000***

# A host is banned if it has generated "maxretry" during the last "findtime"
# seconds.
findtime  = ***60000***

# "maxretry" is the number of failures before a host get banned.
maxretry = ***3***