Регистрация Войти
Рейтинг:0
Moso avatar Server

fail2ban работает, но сервер по-прежнему получает попытки подключения

флаг my
Moso

загадка fail2ban!

Вроде бы все работает и хорошо настроено, но сервер по-прежнему принимает попытки подключения.

[moso@matrix ~]$ sudo systemctl статус fail2ban
fail2ban.service - Сервис Fail2Ban
     Загружено: загружено (/usr/lib/systemd/system/fail2ban.service; включено; предустановка поставщика: отключена)
     Активно: активно (работает) с сб 2022-04-16 22:10:45 -03; 13ч назад
       Документы: man:fail2ban(1)
    Процесс: 332 ExecStartPre=/bin/mkdir -p /run/fail2ban (код=выход, статус=0/УСПЕХ)
   Основной PID: 335 (fail2ban-сервер)
      Заданий: 5 (лимит: 19183)
     Память: 17,9 Мб
        ЦП: 1 мин 945 мс
     Группа CG: /system.slice/fail2ban.service
             ââ335 /usr/bin/python /usr/bin/fail2ban-server -xf start

16 апреля 22:10:45 matrix systemd[1]: Запуск службы Fail2Ban...
16 апреля 22:10:45 matrix systemd[1]: Запущена служба Fail2Ban.
16 апр 22:10:45 matrix fail2ban-server[335]: сервер готов



[moso@matrix ~]$ sudo cat /etc/fail2ban/jail.d/sshd.local
[сшд]
  включено = верно
  фильтр = sshd
  запрет = iptables
  серверная часть = системный
  максимальная попытка = 3
  время нахождения = 1д
  бантайм = 2 нед
  ignoreip = 127.0.0.1/8 x1.y1.z1.w1/32 x2.y2.z2.w2/32



[moso@matrix ~]$ sudo fail2ban-клиент статус sshd
Статус для джейла: sshd
|- Фильтр
| |- В настоящее время не удалось: 1
| |- Всего неудачно: 10
| `- Журнал соответствует: _SYSTEMD_UNIT=sshd.service + _COMM=sshd
`- Действия
|- В настоящее время забанено: 1
|- Всего забанено: 1
`- Список запрещенных IP-адресов: 179.43.156.154



[moso@matrix ~]$ sudo iptables -L -n | группа 179.43.156.154
REJECT all -- 179.43.156.154 0.0.0.0/0



[moso@matrix ~]$ sudo cat /var/log/fail2ban.log
2022-04-16 22:10:45,655 fail2ban.server [335]: ИНФОРМАЦИЯ Запуск Fail2ban v0.11.2
2022-04-16 22:10:45,657 fail2ban.observer [335]: INFO Observer start...
2022-04-16 22:10:45,667 fail2ban.database [335]: ИНФОРМАЦИЯ Подключено к постоянной базе данных fail2ban '/var/lib/fail2ban/fail2ban.sqlite3'
2022-04-16 22:10:45,670 fail2ban.database [335]: ПРЕДУПРЕЖДЕНИЕ Создана новая база данных. Версия «4»
2022-04-16 22:10:45,670 fail2ban.jail [335]: ИНФОРМАЦИЯ Создание новой тюрьмы «sshd»
2022-04-16 22:10:45,706 fail2ban.jail [335]: INFO Jail 'sshd' использует systemd {}
2022-04-16 22:10:45,706 fail2ban.jail [335]: INFO Инициирован бэкэнд systemd
2022-04-16 22:10:45,707 fail2ban.filter [335]: INFO maxLines: 1
2022-04-16 22:10:45,723 fail2ban.filtersystemd [335]: INFO [sshd] Добавлено совпадение журнала для: '_SYSTEMD_UNIT=sshd.service + _COMM=sshd'
2022-04-16 22:10:45,723 fail2ban.filter [335]: INFO maxRetry: 3
2022-04-16 22:10:45,723 fail2ban.filter [335]: INFO findtime: 86400
2022-04-16 22:10:45,724 fail2ban.actions [335]: INFO banTime: 1209600
2022-04-16 22:10:45,724 fail2ban.filter [335]: кодировка INFO: UTF-8
2022-04-16 22:10:45,725 fail2ban.jail [335]: INFO Jail 'sshd' запущен
2022-04-16 22:53:09,239 fail2ban.filter [335]: INFO [sshd] Found 179.43.156.154 - 2022-04-16 22:53:08
2022-04-17 00:33:22,995 fail2ban.filter [335]: INFO [sshd] Found 179.43.156.154 - 2022-04-17 00:33:22
2022-04-17 01:31:38,980 fail2ban.filter [335]: INFO [sshd] Found 179.43.156.154 - 2022-04-17 01:31:38
2022-04-17 01:31:39,266 fail2ban.actions [335]: УВЕДОМЛЕНИЕ [sshd] Бан 179.43.156.154
2022-04-17 02:58:45,765 fail2ban.filter [335]: INFO [sshd] Found 179.43.156.154 - 2022-04-17 02:58:45
2022-04-17 05:40:59,243 fail2ban.filter [335]: INFO [sshd] Found 179.43.156.154 - 2022-04-17 05:40:58
2022-04-17 07:13:51,766 fail2ban.filter [335]: INFO [sshd] Found 179.43.156.154 - 2022-04-17 07:13:51
2022-04-17 07:13:52,130 fail2ban.actions [335]: ПРЕДУПРЕЖДЕНИЕ [sshd] 179.43.156.154 уже забанен
2022-04-17 07:49:33,667 fail2ban.filter [335]: INFO [sshd] Found 179.43.156.154 - 2022-04-17 07:49:33
2022-04-17 08:20:44,205 fail2ban.filter [335]: INFO [sshd] Found 179.43.156.154 - 2022-04-17 08:20:44
2022-04-17 08:44:07,980 fail2ban.filter [335]: INFO [sshd] Found 179.43.156.154 - 2022-04-17 08:44:07
2022-04-17 08:44:08,129 fail2ban.actions [335]: ПРЕДУПРЕЖДЕНИЕ [sshd] 179.43.156.154 уже забанен
2022-04-17 09:44:54,464 fail2ban.filter [335]: INFO [sshd] Found 179.43.156.154 - 2022-04-17 09:44:54
...



[moso@matrix ~]$ journalctl _SYSTEMD_UNIT=sshd.service
16 апр 22:10:15 матрица sshd[151093]: получен сигнал 15; прекращение.
-- Загрузка aa222dfff23f467ab30cd5125c7c3a55 --
16 апреля 22:10:45 matrix sshd[333]: Сервер прослушивает порт 0.0.0.0 2206.
16 апреля 22:53:08 матрица sshd[656]: подключение с 179.43.156.154 порт 40138 на 38.105.209.109 порт 2206 rdomain ""
16 апреля, 22:53:08, матрица sshd[656]: неверный пользователь root root с порта 40138 179.43.156.154.
16 апреля 22:53:08 матрица sshd [656]: соединение закрыто недопустимым пользователем root root 179.43.156.154 порт 40138 [preauth]
17 апреля 00:33:22 matrix sshd[685]: подключение с 179.43.156.154 порт 34498 на 38.105.209.109 порт 2206 rdomain ""
17 апреля 00:33:22 матрица sshd [685]: недействительный пользователь root root с порта 34498 179.43.156.154
17 апреля 00:33:22 матрица sshd [685]: соединение закрыто недопустимым пользователем root root 179.43.156.154 порт 34498 [preauth]
17 апреля 01:31:38 matrix sshd[699]: подключение с 179.43.156.154 порт 59372 на 38.105.209.109 порт 2206 rdomain ""
17 апреля, 01:31:38, матрица sshd[699]: неверный пользователь root root с порта 179.43.156.154 59372
17 апреля 01:31:38 матрица sshd [699]: соединение закрыто недопустимым пользователем root root 179.43.156.154 порт 59372 [preauth]
17 апреля 02:58:44 matrix sshd[722]: подключение с 179.43.156.154 порт 57448 на 38.105.209.109 порт 2206 rdomain ""
17 апреля 02:58:45 матрица sshd [722]: недействительный пользователь root root с порта 179.43.156.154 57448
17 апреля 02:58:45 матрица sshd [722]: соединение закрыто недопустимым пользователем root root 179.43.156.154 порт 57448 [preauth]
17 апреля 05:40:58 matrix sshd[760]: подключение с 179.43.156.154 порт 54992 на 38.105.209.109 порт 2206 rdomain ""
17 апреля 05:40:58 матрица sshd [760]: недействительный пользователь root root с порта 179.43.156.154 54992
17 апреля 05:40:58 матрица sshd [760]: соединение закрыто недопустимым пользователем root root 179.43.156.154 порт 54992 [preauth]
17 апреля 07:13:51 matrix sshd[777]: подключение с 179.43.156.154 порт 59646 на 38.105.209.109 порт 2206 rdomain ""
17 апреля 07:13:51 матрица sshd [777]: недействительный пользователь root root с порта 179.43.156.154 59646
17 апреля 07:13:51 матрица sshd [777]: соединение закрыто недопустимым пользователем root root 179.43.156.154 порт 59646 [preauth]
17 апреля 07:49:33 matrix sshd[789]: подключение с 179.43.156.154 порт 33684 на 38.105.209.109 порт 2206 rdomain ""
17 апреля 07:49:33 матрица sshd [789]: недействительный пользователь root root с порта 33684 179.43.156.154
17 апреля 07:49:33 матрица sshd [789]: соединение закрыто недопустимым пользователем root root 179.43.156.154 порт 33684 [preauth]
17 апреля 08:20:43 matrix sshd[801]: подключение с 179.43.156.154 порт 55522 на 38.105.209.109 порт 2206 rdomain ""
17 апреля 08:20:44 матрица sshd[801]: недействительный пользователь root root с порта 55522 179.43.156.154
17 апреля 08:20:44 матрица sshd [801]: соединение закрыто недопустимым пользователем root root 179.43.156.154 порт 55522 [preauth]
17 апреля 08:44:07 матрица sshd[805]: подключение с 179.43.156.154 порт 39862 на 38.105.209.109 порт 2206 rdomain ""
17 апреля, 08:44:07, матрица sshd[805]: неверный пользователь root root с порта 39862 179.43.156.154.
17 апреля 08:44:07 матрица sshd [805]: соединение закрыто недопустимым пользователем root root 179.43.156.154 порт 39862 [preauth]
17 апреля 09:44:54 matrix sshd[822]: подключение с 179.43.156.154 порт 42592 на 38.105.209.109 порт 2206 rdomain ""
17 апреля, 09:44:54, матрица sshd[822]: неверный пользователь root root с порта 42592 179.43.156.154.
17 апреля 09:44:54 матрица sshd [822]: соединение закрыто недопустимым пользователем root root 179.43.156.154 порт 42592 [preauth]
...

Почему IP-адрес 179.43.156.154 продолжает попытки подключения, если работает fail2ban И любое подключение с 179.43.156.154 должно быть отклонено? (см. вывод iptables выше)

48
0 + 0
Рейтинг:0
Moso avatar Server
флаг my
Moso

Проблема была... во мне!

Я ошибочно предположил, что fail2ban заблокировал обнаруженный порт (как показано выше, 2206).

Еще одна вещь, которая привела меня к неправильному выводу, - это вывод sudo iptables -L -n | группа 179.43.156.154.

REJECT all -- 179.43.156.154 0.0.0.0/0

Я не считаю, в какой цепочке было правило...

Достаточно было добавить одну строку с портом, который я использую на sshd, и проблема (вызванная мной) была решена.

[peracchi@matrix ~]$ кот /etc/fail2ban/jail.d/sshd.local
[сшд]
  включено = верно
  фильтр = sshd
  порт = 2206
  запрет = iptables
  серверная часть = системный
  максимальная попытка = 5
  время нахождения = 1д
  бантайм = 30 дней
  ignoreip = 127.0.0.1/8 abcd/32 xyzw/32

«Человек не может узнать то, что, как ему кажется, он уже знает». ≈ Эпиктет

0 + 0
флаг Moldova
Admin
Этот вопрос на других языках:

Ответить или комментировать

Большинство людей не понимают, что склонность к познанию нового открывает путь к обучению и улучшает межличностные связи. В исследованиях Элисон, например, хотя люди могли точно вспомнить, сколько вопросов было задано в их разговорах, они не чувствовали интуитивно связи между вопросами и симпатиями. В четырех исследованиях, в которых участники сами участвовали в разговорах или читали стенограммы чужих разговоров, люди, как правило, не осознавали, что задаваемый вопрос повлияет — или повлиял — на уровень дружбы между собеседниками.