Регистрация Войти
Рейтинг:0
avatar Server

fail2ban не может добавить iptables в правила

флаг ye
Adam Larsson

У меня проблемы с fail2ban, который не добавляет запрещенный IP-адрес в iptables.

это ошибка;

2022-01-29 15:13:48,499 fail2ban.actions [2608]: УВЕДОМЛЕНИЕ [man] Восстановить бан 212.192.246.26
2022-01-29 15:13:48,513 fail2ban.utils [2608]: ОШИБКА 7f9281692660 -- exec: iptables -w -N f2b-man
iptables -w -A f2b-man -j ВОЗВРАТ
iptables -w -I INPUT -p tcp -m multiport --dports all -j f2b-man
2022-01-29 15:13:48,514 fail2ban.utils [2608]: ОШИБКА 7f9281692660 -- stderr: «iptables: цепочка уже существует».
2022-01-29 15:13:48,514 fail2ban.utils [2608]: ОШИБКА 7f9281692660 -- stderr: "iptables v1.8.4 (устаревшая версия): указан неверный порт/служба "все""
2022-01-29 15:13:48,514 fail2ban.utils [2608]: ОШИБКА 7f9281692660 -- stderr: "Попробуйте `iptables -h' или 'iptables --help' для получения дополнительной информации."
2022-01-29 15:13:48,514 fail2ban.utils [2608]: ОШИБКА 7f9281692660 -- возвращено 2
2022-01-29 15:13:48,514 fail2ban.actions [2608]: ОШИБКА Не удалось выполнить действие ban jail 'man' 'iptables-multiport' info 'ActionInfo({'ip': '212.192.246.26', 'family' : 'inet4', 'fid': <функция Actions.ActionInfo.<lambda> по адресу 0x7f9280d62e50>, 'raw-ticket': <функция Actions.ActionInfo.<лямбда> по адресу 0x7f9280d63550>})': Ошибка запуска действия Jail(' man')/iptables-multiport: 'Ошибка сценария'

поэтому iptables не нравится;

iptables -w -I INPUT -p tcp -m multiport --dports all -j f2b-man

--dport все по-видимому, проблема, поэтому мой вопрос: почему? почему fail2ban дает неверную команду и как это исправить?

редактировать: работает сервер Ubuntu 20.04.3 без сетевого плана.

180
0 + 0
Chris avatar
флаг it
Chris
Это проблема с вашей конфигурацией fail2ban, которую вы должны показать нам. Где-то есть неправильное значение «all» для «port», когда iptables ожидает что-то вроде «0: 65535».
0
Ответить
флаг ye
Adam Larsson
@ Крис, да, я это подозревал, но в какой конфигурации вы это указываете? есть около 30 разных файлов .conf
0
Ответить
Chris avatar
флаг it
Chris
Кажется, это связано с джейл `man`, поэтому сначала эта часть в вашем `jail.local` (или `jail.conf`, если она изменена напрямую), а затем все остальные настройки, которые вы сделали для `action` и `action-multiports`
1
Ответить
флаг ye
Adam Larsson
@Chris Я не делал никаких настроек, кроме добавления фильтра для ufwprobing .. Я действительно проверил человека, и он сказал порт = любой, я изменил его на 0: 65535, и он перестал жаловаться, но создал это правило âf2b-man tcp -- везде где угодно многопортовые dports 0:65535 в цепочке ввода таблицы (отбрасывание политики) .. но нет ip.. Я думаю, что лучше все очистить, и скачать последнюю версию fail2ban и сделать чистая установка
0
Ответить
флаг ye
Adam Larsson
читает ли fail2ban и jail.conf, и jail.local, или только jail.local, если он существует?
0
Ответить
Chris avatar
флаг it
Chris
fail2ban сначала читает jail.conf, а затем, если существует, jail.local. Свойства, установленные вами в локальной версии, перезаписывают первые, остальные не изменяются. Что касается iptables, правило, которое вы показываете, является нормальным. Это ссылка на другую цепочку (f2b-man), которая *должна* содержать ip.
0
Ответить
флаг ye
Adam Larsson
@Chris, да, sudo iptables -S раскрыл ip... не видел его, когда перечислял таблицы... наверное, он просто не отображал их... но я видел больше тюрем, в которых порт = все, я лучше измените их на 0:65536, тогда проблем не будет..
0
Ответить
Рейтинг:0
sebres avatar Server
флаг il
sebres

Действие iptables-мультипорт на самом деле не подходит для блокировки всех портов, вместо этого вы можете использовать другие действия для блокировки.

Просто установите запрет для действия тюрьмы на все порты по вашему выбору (например, iptables-allports), или используйте интерполяционная переменная "banaction_allports" уже доступны в тюрьма.conf (также устанавливается или переопределяется сопровождающим вашего дистрибутива), который также может быть установлен в разделе по умолчанию вашего тюрьма.местный.

[человек]
# banaction = iptables-allports
banaction = %(banaction_allports)s

[другие-allports-тюрьма]
banaction = %(banaction_allports)s
0 + 0
флаг ye
Adam Larsson
поэтому, если я хочу, чтобы все тюрьмы запретили все порты, я должен установить `[banaction = %(banaction_allports)s` под **[DEFAULT]**, а затем не указывать какие-либо запреты для каждой тюрьмы?
0
Ответить
флаг Moldova
Admin
Этот вопрос на других языках:

Ответить или комментировать

Большинство людей не понимают, что склонность к познанию нового открывает путь к обучению и улучшает межличностные связи. В исследованиях Элисон, например, хотя люди могли точно вспомнить, сколько вопросов было задано в их разговорах, они не чувствовали интуитивно связи между вопросами и симпатиями. В четырех исследованиях, в которых участники сами участвовали в разговорах или читали стенограммы чужих разговоров, люди, как правило, не осознавали, что задаваемый вопрос повлияет — или повлиял — на уровень дружбы между собеседниками.