☰

falla2ban | ¿Diferencia entre [sshd] en jail.local y sshd.local en jail.d?

tag-icon • tag-icon ssh fail2ban
falla2ban | ¿Diferencia entre [sshd] en jail.local y sshd.local en jail.d?

Servidor AlmaLinux - 1.0.2 fail2ban instalado. Parece estar funcionando, pero espero que alguien pueda aclararme algo:

1\ trabajando con jail.local copia de jail.conf. En dicho jail.local, hay una sección Jail con algún código para [sshd].

2\ sin embargo, un buen número de sitios de "cómo hacer" han indicado que debería trabajar con sshd.local en el subdirectorio jail.d (ya tengo 00-firewalld.local en dicho subdirectorio).

Entonces, en este momento, no he 'habilitado' la sección [sshd] en jail.local, sino (ii) la he habilitado en jail.d/sshd.local (la configuración se muestra a continuación: uso un puerto no estándar para sshd, que actualmente está especificado en jail.local, aunque ¿tal vez podría/debería trasladarse a jail.d/sshd.local?)

Mi pregunta: ¿cuál es la diferencia/ventaja entre configurar la cárcel [sshd] en jail.local y crear un sshd.local que se habilita en jail.d? Lo que me desconcierta es que actualmente estoy especificando el número de puerto en jail.local, pero no en jail.d/sshd.local; parece funcionar, pero tal vez debería poner todas las directivas de cárcel [sshd] en jail.d/sshd.local. ?

Gracias...

 [sshd]
 enabled = true
 filter = sshd
 logpath = /var/log/secure
 action = iptables-multiport

 # Override the default global configuration
 # for specific jail sshd
 bantime = 4h
 maxretry = 3

Respuesta1

Esto viene al orden de procesamiento de estos archivos de configuración, cómo anulan la configuración de los archivos analizados previamente, como se describe enjail.conf(5)página de manual:

Además de .local, para jail.confo fail2ban.confarchivo puede haber un .d/directorio correspondiente que contenga .confarchivos adicionales. El orden, por ejemplo, para la configuración de la cárcel sería:

  • jail.conf
  • jail.d/*.conf(en orden alfabético)
  • jail.local
  • jail.d/*.local(en orden alfabético).

es decir, todos los archivos .local se analizan después de los archivos .conf en el archivo de configuración original y los archivos en el directorio .d. Las configuraciones en el archivo analizado posteriormente tienen prioridad sobre entradas idénticas en archivos analizados previamente.

El propósito de esto es distribuir fácilmente los valores predeterminados y al mismo tiempo permitir anular solo los valores deseados.

*.confLos archivos son distribuidos por Fail2Ban. Se recomienda que *.conflos archivos permanezcan sin cambios para facilitar las actualizaciones. Si es necesario, las personalizaciones deben proporcionarse en *.localarchivos. - - En .locallos archivos, especifique solo las configuraciones que desea cambiar y el resto de la configuración provendrá del .confarchivo correspondiente que se analiza primero.

información relacionada