如何使用 fail2ban 显示所有被禁止的 IP？

Question 1

请记住，fail2ban 禁止 IP 是暂时的。

查看已被阻止的 IP 的完整列表的最佳方法是检查日志文件：

sudo zgrep 'Ban' /var/log/fail2ban.log*

编辑：这个答案以前搜索过'Ban:'，但即使在 2013 年，来源也没有冒号（參考）。

以下命令也可以为您提供干净的输入规则列表：

sudo iptables -L INPUT -v -n | less

Answer

请记住，fail2ban 禁止 IP 是暂时的。

查看已被阻止的 IP 的完整列表的最佳方法是检查日志文件：

sudo zgrep 'Ban' /var/log/fail2ban.log*

编辑：这个答案以前搜索过'Ban:'，但即使在 2013 年，来源也没有冒号（參考）。

以下命令也可以为您提供干净的输入规则列表：

sudo iptables -L INPUT -v -n | less

Question 2

如同北美航空以上夸亚的评论包括在内，其中列出了所有 IP：

sudo zgrep 'Ban' /var/log/fail2ban.log*

但该输出有太多行。以下统计了所有已记录的被禁止（和可能未禁止）IP 的行数：

sudo zgrep 'Ban' /var/log/fail2ban.log* | wc -l

上述命令的输出（带行数）应该与 fail2ban 状态输出中的“Total Banned”计数相匹配：

fail2ban-client status sshd

在 Ubuntu 18.04.1 LTS 中测试。

我从‘wc -l’行输出：

并且从fail2ban的状态来看，相同的7244数字也得到了验证：

Status for the jail: sshd
|- Filter
|  |- Currently failed: 7
|  |- Total failed: 49457
|  `- File list:    /var/log/auth.log
`- Actions
   |- Currently banned: 9
   |- Total banned: 7244
   `- Banned IP list:   [...]

Answer

如同北美航空以上夸亚的评论包括在内，其中列出了所有 IP：

sudo zgrep 'Ban' /var/log/fail2ban.log*

但该输出有太多行。以下统计了所有已记录的被禁止（和可能未禁止）IP 的行数：

sudo zgrep 'Ban' /var/log/fail2ban.log* | wc -l

上述命令的输出（带行数）应该与 fail2ban 状态输出中的“Total Banned”计数相匹配：

fail2ban-client status sshd

在 Ubuntu 18.04.1 LTS 中测试。

我从‘wc -l’行输出：

并且从fail2ban的状态来看，相同的7244数字也得到了验证：

Status for the jail: sshd
|- Filter
|  |- Currently failed: 7
|  |- Total failed: 49457
|  `- File list:    /var/log/auth.log
`- Actions
   |- Currently banned: 9
   |- Total banned: 7244
   `- Banned IP list:   [...]

Question 3

您可以使用sqlite3命令通过查询数据库bips表来进行一些统计/var/lib/fail2ban/fail2ban.sqlite3（如果您的fail2ban版本< v0.11.1，则更改为bips）bans。

显示所有 IP 地址及其监狱：

sqlite3 /var/lib/fail2ban/fail2ban.sqlite3 "select ip,jail from bips"

显示所有唯一 IP 地址：

sqlite3 /var/lib/fail2ban/fail2ban.sqlite3 "select distinct ip from bips"

sshd显示监狱中所有唯一的 IP 地址：

sqlite3 /var/lib/fail2ban/fail2ban.sqlite3 "select distinct ip from bips where jail='sshd'"

显示所有监狱中被禁止次数最多的前 20 个 IP 地址：

sqlite3 /var/lib/fail2ban/fail2ban.sqlite3 "select jail,ip,count(*) as count from bips group by ip order by count desc limit 20"

如果您想在 GUI 应用程序中查看此文件的结构和所有数据，我推荐DB Browser For Sqlite。

从版本开始v0.11.1，fail2ban 改变了其数据库结构。我在 Linux 机器上运行此命令来查看有什么区别（Fail2Ban v0.11.1、Ubuntu 20.04）

sqlite3 /var/lib/fail2ban/fail2ban.sqlite3 '.schema'

部分输出为：

CREATE TABLE bans(jail TEXT NOT NULL, ip TEXT, timeofban INTEGER NOT NULL, bantime INTEGER NOT NULL, bancount INTEGER NOT NULL default 1, data JSON, FOREIGN KEY(jail) REFERENCES jails(name) );
CREATE TABLE bips(ip TEXT NOT NULL, jail TEXT NOT NULL, timeofban INTEGER NOT NULL, bantime INTEGER NOT NULL, bancount INTEGER NOT NULL default 1, data JSON, PRIMARY KEY(ip, jail), FOREIGN KEY(jail) REFERENCES jails(name) );

Answer