尝试了解 fail2ban 是否在 Debian 10 VPS 上运行

Question

让我们看一个示例条目对：

在sshd身份验证日志中：

Jan 23 10:54:18 racknerd-64d010 sshd[11592]: Invalid user mrmomeni from 103.86.180.10 port 37374
Jan 23 10:54:18 racknerd-64d010 sshd[11592]: pam_unix(sshd:auth): check pass; user unknown
Jan 23 10:54:18 racknerd-64d010 sshd[11592]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=103.86.180.10

然后在fail2ban日志中：

2024-01-23 10:54:18,765 fail2ban.filter [29045]: INFO [sshd] Found 103.86.180.10 - 2024-01-23 10:54:18

好消息是，它fail2ban已经发现了故障，并将其记录在数据库中。

iptables -nvL现在检查for链fail2ban的输出sshd并确认是否存在有问题的 IP 地址的条目。它可能如下所示：

iptables -nvL f2b-sshd
Chain f2b-sshd (1 references)
 pkts bytes target     prot opt in     out     source               destination
   85  5312 REJECT     0    --  *      *       103.86.180.10        0.0.0.0/0            reject-with icmp-port-unreachable
 …

事实上，现在你已经在问题中添加了这一点，我们可以看到有条目被添加到fail2ban链中。这是实际拒绝入站流量的工作发生的地方，其余的fail2ban都是关于管理这些规则（禁止导致新的规则；解禁对应于其移除）。

唯一的问题是那句随口说出的评论，“我将 ssh 端口改为 63xxx“你需要告诉别人fail2ban你已经做过这件事了！！

[sshd]
enabled = true
port    = ssh,63xxx
logpath = %(sshd_log)s
backend = %(sshd_backend)s

我们可以使用fail2ban如下命令来确认是否禁止了正确端口上的流量（如果您没有看到我所得到的任何内容，multiport…那么它正在考虑所有端口）：

iptables -nvL INPUT | awk '!($1+0) || /f2b-/'

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination
77182   11M f2b-sshd   6    --  *      *       0.0.0.0/0            0.0.0.0/0            multiport dports 22,63xxx

现在让我们看看您的fail2ban.conf，它可以被fail2ban.local或通过添加部分来覆盖fail2ban.d/：

bantime  = 9000000
findtime  = 7200
maxretry = 2

您已声明，如果在两小时（7200 秒）内，同一服务和 IP 地址出现两次（或更多次）登录，则该 IP 地址将被禁止。您已要求将其禁止 104 天（9000000 秒），但除非您将dbpurgeage其默认的 28 天增加到至少 104 天，否则无法实现这一要求。

就我个人而言，我运行两个级别，如下所示：

ssh（bantime=86400一天）、findtime=3600（一小时）、maxretry=6（六次尝试）
recidive（bantime=2419200四周）、findtime=432000（五天）、maxretry=3（三次尝试）

这将禁止ssh一天内一小时内六次尝试失败的群组，并且如果五天内有三次这样的禁令，他们将被禁止再持续四周。

为了能够将禁令维持这么长时间，我将其延长了dbpurgeage=2462400（四周 12 小时）。

我还使用了一个略有不同的规则操作，即完全禁止主机，而不仅仅是禁止特定端口（例如 22 或 63xxx）。但那是另一天的事了。

Answer 1