fail2ban не использует тип блока DROP

Используя Ubuntu 20.04 LTS, у меня есть это в /etc/fail2ban/jail.local:

[ПО УМОЛЧАНИЮ]
бантайм = 3600
запрет = iptables
тип блока = падение


[сшд]
включено = верно
протокол = TCP
порт = ssh
фильтр = sshd
путь к журналу = /var/log/auth.log
максимальная попытка = 3

Но вот что я вижу, когда перечисляю правила iptables:

â°â# iptables -L f2b-sshd -n -v
Цепочка f2b-sshd (1 ссылка)
 pkts bytes target prot opt ​​in out source target
   13 1356 REJECT all -- * * 222.187.232.205 0.0.0.0/0 reject-with icmp-port-unreachable
   18 1516 REJECT all -- * * 221.181.185.153 0.0.0.0/0 reject-with icmp-port-unreachable
   17 1064 ОТКЛОНИТЬ все -- * * 222.186.180.130 0.0.0.0/0 777 55854 ВОЗВРАТ все -- * * 0.0.0.0/0 0.0.0.0/0

Проблема в том, что он использует REJECT (с ICMP) вместо DROP.

В action.d/iptables.conf содержится следующее:

# Опция: бан действий
# Прим.: команда выполняется при бане IP. Позаботьтесь о том, чтобы
# команда выполняется с правами пользователя Fail2Ban.
# Теги: см. справочную страницу jail.conf(5)
# Значения: CMD
#
actionban = <iptables> -I f2b-<имя> 1 -s <ip> -j <тип блока>

Это файл действия iptables по умолчанию, поставляемый с официальным пакетом apt fail2ban для этой версии ОС.

Также пытался добавить «blocktype=drop» в [sshd], но это не дало результата.

Я не знаю, как это отладить, потому что служба fail2ban не регистрирует фактические команды iptables.

Что мне не хватает?

Я принял решение @sebres, но хотел бы добавить несколько замечаний.

Для запрета iptables-allports тип блока reject может содержать пробелы внутри. Вам нужно это процитировать.

Пример:

[сшд]
banaction=iptables_allports[blocktype="REJECT --reject-with icmp-port-unreachable"]

Вторая интересная вещь: и в конфигурации бана, и в конфиге джейла есть параметр под названием «протокол». Сначала я был сбит с толку, когда приведенная ниже конфигурация не выдавала никаких ошибок, но не блокировала UDP-запросы:

[название-ddos]
banaction=iptables_allports[тип блока=DROP,протокол=все]

Это произошло из-за того, что мне не хватило настройки протокола=все из джейла. Вам нужно указать протокол = все на уровне тюрьмы:

[название-ddos]
banaction=iptables_allports[тип блока=DROP,протокол=все]
протокол=все

Причина этого в том, что секция named-ddos создает новую цепочку в iptables, а забаненные ips создают правила внутри этой цепочки. Если вы не укажете protocol=all на уровне тюрьмы, то цепочка будет определена так:

Цепочка INPUT (политика DROP 22 пакета, 952 байта)
 pkts bytes target prot opt ​​in out source target         
 1371 229K named-ddos TCP -- * * 0.0.0.0/0 0.0.0.0/0           

Это правда, что запрет создаст правила с proto=all внутри цепи, но сама цепочка не будет использоваться для пакетов, отличных от TCP. Вывод такой, что нужно указывать protocol=all как на уровне джейла, так и в банэкшене (если он его поддерживает), иначе не сработает.