fail2ban 是否会继续监控轮换的日志文件?
例如,我有一条规则监控 /var/log/fail2ban.log,系统每周(7 天)自动轮换此日志。我想制定一条规则监控该日志中的被禁 IP,以查找过去 10 天内被禁 5 次的惯犯。这可行吗?
答案1
是的,fail2ban 会继续监控轮换日志文件。从server/filter.py
439 ##
440 # FileContainer class.
441 #
442 # This class manages a file handler and takes care of log rotation detection.
443 # In order to detect log rotation, the hash (MD5) of the first line of the file
444 # is computed and compared to the previous hash of this line.
答案2
可以通过两种方式之一(或组合)指定多个日志。您可以使用文件通配符(通配符)来匹配要监视的日志文件(即logpath = /var/log/*somefile.log
)或要监视的日志文件列表,以空格(空格、制表符、换行符)分隔,例如
logpath = /var/log/auth.log /var/log/auth.log.1
或者
logpath = /var/log/auth.log
/var/log/auth.log.1
答案3
上述接受的答案对于您的问题来说是不正确的。FileContainer 仅使用文件日志轮换检测将日志读取重置回文件的开头,而不是从最后一个偏移量继续的标准程序:
class FileContainer:
...
def open(self):
self.__handler = open(self.__filename, 'rb')
...
# Compare hash and inode
if self.__hash != myHash or self.__ino != stats.st_ino:
logSys.info("Log rotation detected for %s" % self.__filename)
self.__hash = myHash
self.__ino = stats.st_ino
self.__pos = 0
# Sets the file pointer to the last position.
self.__handler.seek(self.__pos)
其中没有代码可以查找旋转的文件并进行解析。