Raspbian 上的 fail2ban 不会创建 iptables jails

Question

答案有两个方面。首先，fail2ban 的工作方式发生了变化。较新版本的 fail2ban 不会立即在防火墙配置中创建链，而只会在第一次触发时创建。这解释了为什么新安装的 fail2ban 不会在 iptables -L 中显示链。

为了测试 iptables 链的创建，我们可以使用来fail2ban-client添加禁令（-vvv 增加详细程度，这可能有助于您调试命令中的问题）：

$ sudo fail2ban-client -vvv set sshd banip 192.0.2.0

运行此命令后，iptables 会显示（应该显示）此监狱的链：

$ sudo iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination
f2b-sshd   tcp  --  anywhere             anywhere             multiport dports ssh

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

Chain f2b-sshd (1 references)
target     prot opt source               destination
REJECT     all  --  192.0.2.0            anywhere             reject-with icmp-port-unreachable
RETURN     all  --  anywhere             anywhere

我们可以按如下方式解除 IP 禁令：

$ sudo fail2ban-client -vvv set sshd unbanip 192.0.2.0

现在 iptables 中的规则已被删除，但 f2b-sshd 链仍然存在：

$ sudo iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination
f2b-sshd   tcp  --  anywhere             anywhere             multiport dports ssh

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

Chain f2b-sshd (1 references)
target     prot opt source               destination
RETURN     all  --  anywhere             anywhere

简而言之，要测试您的 fail2ban 安装，您必须：

仅使用 sshd 配置（默认）安装 fail2ban
用于sudo fail2ban-client status sshd检查状态
用于fail2ban-regex /var/log/auth.log /etc/fail2ban/filter.d/sshd.conf检查正则表达式匹配。
用于sudo fail2ban-client -vvv set sshd banip 192.0.2.0生成 sshd 禁令
用于sudo iptables -L验证 f2b-sshd 链是否已创建并且其中包含禁止规则。
用于sudo fail2ban-client -vvv set sshd unbanip 192.0.2.0解除禁令。

我还注意到有一个选项可以恢复“按需链创建”行为，请检查有关详细信息，请参阅此 github 问题

我希望这有帮助。

Answer 1