我问了一个关于防范DoS攻击的IT安全性StackExchange的问题 。 其中一个答案是安装Fail2Ban。 我和pipe理服务器的人谈过，他们告诉我，Fail2ban默认安装是为了监视失败的SSHlogin尝试。 他们问我是否想要在服务器上观看其他服务。 我应该通过Fail2ban监视哪些服务来防止DoS攻击？ 这只是HTTP服务 – 在x时间内监视来自同一个IP的多个请求吗？ 其中一个攻击似乎与sleep命令创build了很多与MySQL数据库的连接。
我刚刚在我的Ubuntu 10.04服务器上安装了fail2ban。 当我尝试启动客户端时，它返回： 错误无法启动服务器。 也许旧的套接字文件仍然存在。 尝试删除/var/run/fail2ban/fail2ban.sock。 如果使用fail2ban-client来启动服务器，那么添加-x选项就可以了 我删除了fail2ban.sock，但没有任何改变。 我应该如何解决这个问题？
我在一些CentOS 5和6服务器上configuration了fail2ban ，每当IP被禁止时，它会向我发送一个带有whois IP的电子邮件。 是否有可能configurationfail2ban也发送通知的电子邮件从whois报告？ 这是我的监狱configuration： # /etc/fail2ban/jail.conf [ssh-iptables] enabled = true filter = sshd action = iptables-allports[name=SSH, protocol=all] sendmail-whois[name=SSH, [email protected], sender=fail2ban] logpath = /var/log/secure maxretry = 3 是否有某种变数我可以把它dest=发送到whois电子邮件？
我有fail2ban运行在一个centos 6.8服务器上; 一切顺利。 我写了一个简单的filter来监视脚本小子，比如： [Definition] failregex = <HOST> .*GET \/admin/config.php <HOST> .*GET \/blog\/ <HOST> .*GET \/backup.sql.gz <HOST> .*GET \/backup.sql.bz2 … 这工作正常，并在/var/log/fail2ban.log中生成消息，如： 2017-04-19 11:12:40,333 fail2ban.filter [7181]: INFO [poison-attempts] Found 156.205.xxx.xxx 2017-04-19 11:12:40,900 fail2ban.actions [7181]: NOTICE [poison-attempts] Ban 156.205.xxx.xxx 那么：是否可以更改这些日志消息，以便包含导致规则触发的模式？ 也许是这样的： 2017-04-19 11:12:40,333 fail2ban.filter [7181]: INFO [poison-attempts] Found 156.205.xxx.xxx requesting /backup.sql.gz 或类似的东西？ 不是什么大不了的事情，但它会有点不错。 谢谢！
我如何使用fail2banparsingNginx的访问日志来计数404和502的，并禁止太多的请求IP地址？
警告：长。 很多信息在这里。 3年前有人问为什么iptables不能阻塞IP地址？ 原因是因为服务器在CloudFlare的后面，这使得不可能按照他们想要的方式直接阻止IP地址，除非您以不同的方式使用它。 任何反向代理或负载平衡器都会导致同样的情况。 同样，我们已经build立了一个规则fail2ban来禁止任何试图暴力进入pipe理login或垃圾邮件xmlrpc的僵尸程序。 站点坐在负载平衡器后面，所以显然我们不能直接禁止IP地址，但是iptables应该接受与分组数据匹配的连接和模式以禁止特定的stream量。 这是fail2ban jail.confconfiguration： [wp-auth] enabled = true filter = wp-auth action = iptables-proxy[name = lb, port = http, protocol = tcp] sendmail-whois[name=LoginDetect, [email protected], [email protected], sendername="Fail2Ban"] logpath = /obfuscated/path/to/site/transfer_log bantime = 604800 maxretry = 4 findtime = 120 这是wp-login请求的简单模式匹配： [Definition] failregex = ^<HOST> .* "POST /wp-login.php ignoreip = # our […]
重新启动（fail2ban或整个服务器）后，可以保存并使用fail2ban中已禁止的IP？
fail2ban附带的一些filter有一个_daemon指令，但在文档中没有提到它，在我的任何jail定义中都没有提及它。 这是为了什么？
我想重置fail2ban计数器成功的login事件。 我目前的监狱设置是： maxretry = 5 bantime = 600 findtime = 3600 实际上，如果John（10.0.3.21）失败4次，然后连接成功，下一次login尝试（全部在同一小时内）如果失败，将会禁止他10分钟。 我想要的是（在同一个小时内）： 约翰失败了4次 John连接成功。 约翰在被禁止前可能会失败5次。 在此先感谢您了解了这一点。
当我运行这个命令fail2ban-client status sshd我得到这个： Status for the jail: sshd |- Filter | |- Currently failed: 1 | |- Total failed: 81 | `- File list: /var/log/auth.log `- Actions |- Currently banned: 2 |- Total banned: 8 `- Banned IP list: 218.65.30.61 116.31.116.7 它只显示两个IP被禁止的IP列表而不是8，就像Total Banned所说的那样。 当我做tail -f /var/log/auth.log我得到这个： Mar 29 11:08:40 DBSERVER sshd[29163]: error: maximum authentication attempts […]