Fail2Ban：已经被禁止？

在这里的其他答案build议recadive监狱没有解决我的问题。 但是，我最终解决了这个问题，所以这里是我的方法，以防万一。

Fail2ban默认只在TCP上阻塞。 至less在我的设置中，我注意到当机器人回来尝试使用UDP上的阻塞端口时，出现了“已经被禁止”的消息。

要解决这个问题，请告诉Fail2ban通过所有协议而不是TCP来阻塞端口。 您需要在/etc/fail2ban/jail.conf中以及在/etc/fail2ban/action.d/中使用的每个操作的[Init]部分进行此更改。

改变这个：

 # Default protocol protocol = tcp 

至：

 # Default protocol protocol = all 

接下来，我禁用了ICMP回应请求，这样封锁的IP就无法击中服务器：

1. nano /etc/sysctl.conf

2. 添加这两行：

    net.ipv4.icmp_echo_ignore_all = 1 net.ipv4.icmp_echo_ignore_broadcasts = 1 

3. 退出并保存文件。
4. 运行sysctl -p使更改生效。

之后，运行fail2ban-client重新加载 ，你不应该再看到这些“已经被禁止”的消息，除非你被在这个模块生效之前获得一些访问尝试的IP垃圾邮件。

此外，为每个攻击者拦截所有端口，而不是通过在每个Jail中使用iptables-allports动作，尝试访问端口是非常重要的。 否则，他们可能会触发另一个监狱，最终成为“已经被禁止”的日志。

如果您查看iptables-save的输出，您将看到fail2ban链已经设置，因此它们将根据filter定义的规则评估数据包，例如：

 :fail2ban-ssh - [0:0] -A INPUT -p tcp -A INPUT -p tcp -A INPUT -p tcp -m multiport --dports 22 -j fail2ban-ssh -A fail2ban-ssh -j RETURN 

在应用其他路由规则之前， stream量仍然到达服务器 ，stream量被拒绝。 fail2ban仍然看到这个初始stream量，这就是为什么你看到“已经被禁止”的消息。 此外，还有一个特别的filter（ /etc/fail2ban/filter.d/recidive.conf ）：

 # Fail2Ban filter for repeat bans # # This filter monitors the fail2ban log file, and enables you to add long # time bans for ip addresses that get banned by fail2ban multiple times. # # Reasons to use this: block very persistent attackers for a longer time, # stop receiving email notifications about the same attacker over and # over again. # # This jail is only useful if you set the 'findtime' and 'bantime' parameters # in jail.conf to a higher value than the other jails. Also, this jail has its # drawbacks, namely in that it works only with iptables, or if you use a # different blocking mechanism for this jail versus others (eg hostsdeny # for most jails, and shorewall for this one). [INCLUDES] # Read common prefixes. If any customizations available -- read them from # common.local before = common.conf [Definition] _daemon = fail2ban\.server\.actions # The name of the jail that this filter is used for. In jail.conf, name the # jail using this filter 'recidive', or change this line! _jailname = recidive failregex = ^(%(__prefix_line)s| %(_daemon)s%(__pid_re)s?:\s+)WARNING\s+\[(?!%(_jailname)s\])(?:.*)\]\s+Ban\s+<HOST>\s*$ [Init] journalmatch = _SYSTEMD_UNIT=fail2ban.service PRIORITY=4 # Author: Tom Hendrikx, modifications by Amir Caspi 

如果您禁止的IP地址实际上不是连接到服务器的客户端的IP地址，则会发生这种情况。 例如，如果您的服务器恰好在负载均衡器或代理之后。

最近我花了一段时间才弄明白这一点。 红鲱鱼是日志被configuration为捕获X-Forwarded-For IP地址，而不是真正的源地址，在我的情况下是负载平衡器。

在这种情况下，fail2ban没有什么帮助，因为禁止违规的IP最终会阻止所有的stream量。

我想用“已经被禁止”的信息来提出我自己的问题和解决scheme。 正如你写的，我在几分钟之内就有数百个，而攻击者应该已经被禁止了。

在我开始之前，这里是我的系统：

• Plesk 12
• Centos 7
• Plesk-Module为我安装，操作和configurationfail2ban

当我在rootserver上安装OpenVPN时，我已经将firewalld切换到了iptables。 这可能对我造成这个问题，但除此之外，我的系统大部分是未经修改的，而且新鲜安装（Strato rootserverbuild议安装映像）。

如果你有这个问题，请检查/etc/fail2ban/jail.d/00-firewalld.conf ，看起来像这样：

 banaction = firewallcmd-ipset 

从我评论出来的时候，保存文件，并重新启动fail2ban.service ，一切都很好fail2ban。 没有更多的消息

我不是专家，但希望能给你提供正确的答案。 如果这对你有用，请让我知道！

我的问题是，如何在iptables中被阻止的任何人仍然连接到服务器？

它连接到服务器只是一次，但在一个连接，它试图传递多个电子邮件到可疑的远程邮箱（如[email protected]，[email protected]，[email protected]等）

你已经configuration你的后缀filter来禁止这些尝试，所以在X尝试之后IP将被禁止。 客户端可能已经与postfix断开连接，但是由于postfix可能没有完成所有电子邮件的处理，当postfix处理邮件时，fail2ban可以检测到同一个客户端的另一个尝试，因此你的邮件地址已经被禁止了。 这是因为后缀队列的工作原理。

我的问题是，如何在iptables中被阻止的任何人仍然连接到服务器？

难以置信的好问题。 我正在search我的防火墙规则是否无效，但是iptables --list-rules与另一台正在运行fail2ban的生产服务器完全匹配。

mindblowing解决scheme是将端口8080添加到阻塞端口，因为我仍然通过开发端口访问login页面。

所以在我的情况下解决这个问题是一个相当简单的适应我的jail.local ：

 [JIRA-LOGIN-tcp] enabled = true port = http,https,8080 protocol = tcp filter = JIRA-LOGIN-ERROR logpath = /var/atlassian/application-data/jira/log/atlassian-jira-security.log bantime = 600 maxretry = 1