☰

centos8 fail2ban funktioniert nicht

tag-icon • tag-icon security fail2ban centos8
centos8 fail2ban funktioniert nicht

Ich führe fail2ban auf CentOS 8 mit konfiguriertem SSH und Nginx aus. Beide zeigen an, dass IPs blockiert sind, wenn ich den Fail2ban-Clientstatus ausführe, aber sie werden nicht wirklich von Firewalld blockiert. Ich werde mit SSH-Angriffen bombardiert und auf der Firewall-Seite passiert nichts. Ich führe „tcpdump - i any port 80 or port 443 or port 22“ aus und sehe mehrere fehlgeschlagene Versuche. Wieder sieht fail2ban sie und sagt, sie seien gesperrt, aber sie sind nicht wirklich gesperrt. Irgendwelche Vorschläge??

[DEFAULT] 
ignoreip = 127.0.0.1 192.168.1.0/24
bantime  = 21600
findtime  = 300
maxretry = 3
banaction = iptables-multiport
backend = systemd

[sshd] 
enabled = true

[nginx-http-auth]
enabled  = true
filter   = nginx-http-auth
port     = http,https
logpath  = /var/log/gitlab/nginx/error.log

[nginx-noscript]
enabled  = true
port     = http,https
filter   = nginx-noscript
logpath  = /var/log/gitlab/nginx/access.log
maxretry = 6

[nginx-badbots]
enabled  = true
port     = http,https
filter   = nginx-badbots
logpath  = /var/log/gitlab/nginx/access.log
maxretry = 2

[nginx-nohome]
enabled  = true
port     = http,https
filter   = nginx-nohome
logpath  = /var/log/gitlab/nginx/access.log
maxretry = 2

[nginx-noproxy]
enabled  = true
port     = http,https
filter   = nginx-noproxy
logpath  = /var/log/gitlab/nginx/access.log
maxretry = 2

[gitlab]
enabled = true
port = http,https
filter = gitlab
logpath = /var/log/gitlab/gitlab_error.log

Antwort1

Wenn Sie tatsächlich Firewalld verwenden, stellen Sie sicher, dass Sie ein Firewalld-kompatibles Programm banactionwie verwenden firewallcmd-ipset.

Antwort2

Ihre Konfiguration sieht gut aus, insbesondere wenn Sie die IP in der Ausgabe von fail2ban-client status sshd sehen.

Wie prüfst du, ob die IP gesperrt wurde? So prüfe ich es auf einem System, für das ich verantwortlich bin und das eine gesperrte IP hat.

            iptables -L f2b-sshd
Chain f2b-sshd (1 references)
target     prot opt source               destination         
REJECT     all  --  120.29.125.240       anywhere             reject-with icmp-port-unreachable
RETURN     all  --  anywhere             anywhere

Wenn es dort nicht aufgeführt ist, liegt es einfach daran, dass es zu schnell gesperrt und wieder freigegeben wird? Ich weiß, dass Ihre Konfiguration auf 6 Stunden eingestellt ist, was lang genug sein sollte.

Andernfalls können Sie auch /var/log/fail2ban.log auf relevante Aktivitäten überprüfen. Beispiel:

2020-12-04 09:17:07,590 fail2ban.filter         [9089]: INFO    [sshd] Found 120.29.125.240
2020-12-04 09:17:09,883 fail2ban.filter         [9089]: INFO    [sshd] Found 120.29.125.240
2020-12-04 09:17:12,163 fail2ban.filter         [9089]: INFO    [sshd] Found 120.29.125.240
2020-12-04 09:17:14,381 fail2ban.filter         [9089]: INFO    [sshd] Found 120.29.125.240
2020-12-04 09:17:16,874 fail2ban.filter         [9089]: INFO    [sshd] Found 120.29.125.240
2020-12-04 09:17:17,805 fail2ban.actions        [9089]: NOTICE  [sshd] Ban 120.29.125.240

verwandte Informationen