fail2ban 忽略IP 地址并禁止所有传入流量

Question

以下行：

1    REJECT     tcp  --  anywhere             anywhere             multiport dports https,http match-set f2b-appname src reject-with icmp-port-unreachable

相当于：

[459:26548] -A INPUT -p tcp -m multiport --dports 443,80 -m set --match-set f2b-appname src -j REJECT --reject-with icmp-port-unreachable

如果所有火柴评估为真，那么目标规则（引入-j）被执行。如果有匹配评估结果为假，这将在到达目标规则之前停止规则的处理，并继续执行下一个规则。

具有附加条件，例如：“并且匹配任何 IP 源地址”，这将是-s 0.0.0.0/0或作为“并且匹配任何 IP 目标地址”（-d 0.0.0.0/0）始终为真，不会改变结果（逻辑推理：（x AND true）<=> x）。这种情况很常见，尽管iptables（当它仍然是时iptables-legacy）即使使用 0.0.0.0/0 也始终用于存储此类源和目标信息，它不会显示在旨在可重现的规则集输出中（iptables-save或iptables -S），但仍然显示为anywhere因为iptables -L无论如何都有一个固定的列用于此类信息。

重要的是ipset在fail2ban的配置中看到：

action   = iptables-ipset-proto6[name=appname, port="https,http", protocol=tcp]
logpath  = /var/log/httpd/api.appname-error.log

添加从日志中检索到的 IP 地址（当此类日志的条件适用等时，通常会出现错误）...

... 以及相关-m set匹配模块iptables' 规则。此规则规定，对于传入的目标 TCP 端口 443 或 80（否则不会进一步），它将在ipset设置f2b-appname，如果找到则评估为真，从而进入终端（无需进一步处理）REJECT目标：禁止，否则继续执行规则集中的下一个规则。

这意味着 fail2ban 使用命令ipset将 IP 条目添加到IP设置，然后可以通过以下方式检查（在数据包路径中）iptables它将会拒绝任何匹配。

要检查已添加的内容，请运行：

ipset list

或者更准确地说，如果还有其他情况：

ipset list f2b-appname

其结尾应类似于：

Number of entries: 1
Members:
10.50.0.68

笔记：

iptables-ipset-proto6尽管它的名字同时处理 IPv4 和 IPv6（通过检查/etc/fail2ban/action.d/iptables-ipset-proto6.conf->iptables-ipset.conf以不同的方式处理每个协议）
ipset--由于历史原因，接受以或不以开头的子命令。

Answer 1