Я настроил fail2ban для блокировки неудачных попыток ssh. Я проверил правило с помощью fail2ban-regex и выдержки из моих журналов, все работает нормально.
Я также проверил журналы на наличие уведомления «Бан» и рассматриваемого IP-адреса, и он там:
zgrep 'Бан.*202.29.214.13' /var/log/fail2ban.log*
/var/log/fail2ban.log:2021-08-23 01:27:19,023 fail2ban.actions [1460]: УВЕДОМЛЕНИЕ [sshd] Запрет 202.29.214.13
Однако мои журналы ssh/auth по-прежнему показывают попытки с этого IP-адреса. после рассматриваемая временная метка:
23 августа, 01:27:23 myhost123 sshd[4526]: сообщение повторяется 2 раза: [Неверный пароль для root с порта 202.29.214.13 47633 ssh2]
23 августа, 01:27:23 myhost123 sshd [4526]: ошибка: превышено максимальное количество попыток аутентификации для root с порта 202.29.214.13 47633 ssh2 [preauth]
23 августа, 01:27:23 myhost123 sshd[4526]: отключение аутентификации пользователя root 202.29.214.13, порт 47633: слишком много ошибок аутентификации [preauth]
23 августа, 01:27:31 myhost123 sshd[4533]: сообщение повторяется 2 раза: [Неверный пароль для root с порта 202.29.214.13 50424 ssh2]
23 августа, 01:27:31 myhost123 sshd [4533]: ошибка: превышено максимальное количество попыток аутентификации для root с порта 202.29.214.13 50424 ssh2 [preauth]
23 августа, 01:27:31 myhost123 sshd[4533]: отключение аутентификации пользователя root 202.29.214.13, порт 50424: слишком много ошибок аутентификации [preauth]
23 августа, 01:27:39 myhost123 sshd [4535]: ошибка: превышено максимальное количество попыток аутентификации для root с порта 202.29.214.13 53056 ssh2 [preauth]
23 августа, 01:27:39 myhost123 sshd[4535]: отключение аутентификации пользователя root 202.29.214.13, порт 53056: слишком много ошибок аутентификации [preauth]
23 августа, 01:27:48 myhost123 sshd [4542]: ошибка: превышено максимальное количество попыток аутентификации для root с порта 202.29.214.13 55901 ssh2 [preauth]
23 августа, 01:27:48 myhost123 sshd[4542]: отключение аутентификации пользователя root 202.29.214.13, порт 55901: слишком много ошибок аутентификации [preauth]
23 августа, 01:27:55 myhost123 sshd [4551]: ошибка: превышено максимальное количество попыток аутентификации для root с порта 202.29.214.13 58908 ssh2 [preauth]
23 августа, 01:27:55 myhost123 sshd[4551]: отключение аутентификации пользователя root 202.29.214.13, порт 58908: слишком много ошибок аутентификации [preauth]
23 августа, 01:28:03 myhost123 sshd [4565]: ошибка: превышено максимальное количество попыток аутентификации для root с порта 202.29.214.13 61129 ssh2 [preauth]
23 августа, 01:28:03 myhost123 sshd[4565]: отключение аутентификации пользователя root 202.29.214.13, порт 61129: слишком много ошибок аутентификации [preauth]
23 августа, 01:28:23 myhost123 sshd [4577]: ошибка: превышено максимальное количество попыток аутентификации для недействительного пользователя-администратора с порта 202.29.214.13 3511 ssh2 [preauth]
23 августа, 01:29:24 myhost123 sshd [4613]: ошибка: превышено максимальное количество попыток аутентификации для недействительного пользовательского оракула с порта 202.29.214.13 24149 ssh2 [preauth]
23 августа, 01:30:07 myhost123 sshd [4641]: ошибка: превышено максимальное количество попыток аутентификации для недопустимого пользователя usuario с порта 202.29.214.13 37311 ssh2 [preauth]
23 августа, 01:30:15 myhost123 sshd [4647]: ошибка: превышено максимальное количество попыток аутентификации для недопустимого пользователя usuario с порта 202.29.214.13 39486 ssh2 [preauth]
23 августа, 01:30:58 myhost123 sshd [4684]: ошибка: превышено максимальное количество попыток аутентификации для недопустимого теста пользователя с порта 202.29.214.13 52882 ssh2 [preauth]
23 августа, 01:31:33 myhost123 sshd [4699]: ошибка: превышено максимальное количество попыток аутентификации для недопустимого пользователя с 202.29.214.13, порт 64849 ssh2 [preauth]
Должен ли fail2ban полностью блокировать все запросы с этого IP-адреса? Любые подсказки о том, что проверить, приветствуются.
