我正在build立一个小的VPS（最后一个Centos），而且我的SSHD日志面临一个问题。 我想安装fail2ban，一切似乎运行良好，但我注意到在安全日志中bruteforce的很多尝试，并没有什么似乎被监禁。 通过进一步调查，我注意到很多这些尝试都是在将来logging下来的。 我想这可能是fail2ban的问题。 有没有人有一个想法，为什么我的SSHD将来会logging事件？ 谢谢。 以下是我所说的一个例子： [root@myhost log]# date Mon Nov 1 11:44:57 EDT 2010 — / var / log / secure的内容 Nov 1 09:01:21 myhost sshd[5381]: pam_unix(sshd:auth): check pass; user unknown Nov 1 09:01:21 myhost sshd[5381]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=221.XX.XX.XX Nov 1 09:01:23 myhost sshd[5381]: Failed password for […]
我正在运行的应用程序logging不正确的login，如： Tue, 19 Mar 13 20:46:03 +0000 failed login from iphere ! Tue, 19 Mar 13 20:46:03 +0000 failed login from iphere ! Tue, 19 Mar 13 20:46:03 +0000 failed login from iphere ! 我试图让那些无法loginIP的人阻止暴力攻击。 注意：iphere显然是真正的IP。 不，不是，因为这是禁止在configuration中排除的不是127.0.0.1 🙂 我试过了 search和阅读有关10个指南… 重新安装Fail2ban 设置后端轮询而不是汽车，很多人报告这是一个错误 检查了所有日志 testing了正则expression式 确认fail2ban正在工作 使findtime和badtime时间非常长，看看它是否可能是一个时区问题（应用程序存储GMT时间戳，服务器在GMT + 1） Fail2ban正在使用默认的，未更改的SSH监狱/filter！ 我尝试login到SSH几次，并导致禁令。 所以这是我的configuration在某种程度上的错误。 我发现一个很好的指导是这样的： http : //www.voip-info.org/wiki/view/Fail2Ban+(with+iptables)+And+Asterisk […]
Ubuntu 10.04上的Fail2Ban configuration文件 /etc/fail2ban/jail.local [DEFAULT] ignoreip = 127.0.0.1 bantime = 10 # made for test purposes maxretry = 3 backend = polling destemail = [email protected] banaction = iptables-multiport mta = sendmail protocol = tcp action = %(action_mw)s [ssh] enabled = true port = ssh filter = sshd logpath = /var/log/auth.log maxretry = 3 [pam-generic] enabled […]
我在logpath值中使用通配符，如下所示： [http-get-dos] enabled = true filter = http-get-dos logpath = /var/log/ispconfig/httpd/*/access.log maxretry = 250 findtime = 300 #ban for 10 hours bantime = 36000 action = iptables-multiport[name=HTTP, port="http,https", protocol=tcp] 这很好，但我想排除特定的日志，因为我需要为此创build一个单独的filter。 所以，例如，如果我想排除/var/log/ispconfig/httpd/mysite.com/access.log，我该如何做？
为什么fail2ban 0.8在Debain 7 Wheezy x64上无法正确启动？ 嗨， 我试图configurationfail2ban与APF一起工作。 但是首先，如果fail2ban可以启动，那将是非常好的。 root@akdom:/var/log# /etc/init.d/fail2ban start [ **ok** ] Starting authentication failure monitor: fail2ban. root@akdom:/var/log# /etc/init.d/fail2ban status [**FAIL**] Status of authentication failure monitor:[….] fail2ban is not running … **failed**! root@akdom:/var/log# /etc/fail2ban/jail.local（在jail.conf中有相同的内容） [DEFAULT] ignoreip = 127.0.0.1/8 bantime = 600 maxretry = 3 findtime = 600 backend = auto # # ACTIONS […]
我忘了更新我的nginx的fail2banconfiguration。 我刚刚从apache移到了nginx。 今天，我从一个单一的知识产权获得了很多的好处。 IP试图访问login页面后获取方法 IP试图使用nginx作为代理（GET http：/ …） IPsearch图像，js，css文件夹 IP试图注入-d url_allow_fopen = 1和类似的东西。 大部分通话以404结束。 http { limit_req_zone $binary_remote_addr zone=app:10m rate=5r/s; … server { … location / { limit_req zone=app burst=50; } 我从那个IP获得了大约50个请求。 所以我更新了我的nginx像上面一样。 现在每秒会避免太多的连接吗？ 我已经更新了我的fail2ban jail.local以支持nginx。 我对nginx-noscript.conf感到困惑 [Definition] failregex = ^<HOST> -.*GET.*(\.php|\.asp|\.exe|\.pl|\.cgi|\scgi) ignoreregex = 我使用nginx服务php。 我查了一下apache的noscript.conf，其中也有.php扩展名。 在重新启动fail2ban之前，我testing了以上设置并获得了数千个ips匹配。 我删除了PHP和没有匹配。 我需要.php | 在nginx-noscript.conf？ 一起使用mod_security和fail2ban会带来什么问题？ 当我今天search时，我也知道mod_security也可用于nginx。 所以我也打算使用它。
我在我的networking服务器前面使用了一个反向代理。 在Web服务器上，我安装了fail2ban，并希望使用它来监视日志并阻止坏IP。 我正在使用http的realip模块的nginx。 但AFAIK fail2ban仍然会阻止直接（远程地址）IP。 我怎样才能使它阻止X -forwarded-For IP呢？ 如果可能的话，我希望它阻止远程地址IP，如果X -forwarded-For头不存在。
AFAIK tomcat6不使用Apache std .htaccess auth，而是拥有自己的用户authentication方法。 我的问题是：如何保护它免受fail2ban蛮力攻击？
Nginx代理filter在Fail2ban中究竟做了什么？ 我目前正在为Nginx设置Fail2Ban。 几乎在任何地方我读过，他们都包含了一个[nginx-proxy]代理filter的设置。 从示例中，我可以看到这个filter如何禁止在日志中执行类似这样的事情的ipaddress： 58.218.204.110 – – [06/Mar/2011:08:04:42 -0800] "GET http://www.shopsline.com/proxyheader.php HTTP/1.1" 404 505 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)" 58.218.199.147 – – [06/Mar/2011:11:01:33 -0800] "GET http://www.foodnese.com/indux.php HTTP/1.1" 404 498 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)" 58.218.199.147 – – [06/Mar/2011:16:00:18 -0800] "GET http://98.126.64.106/judge123.php HTTP/1.1" 403 502 "-" "Mozilla/4.0 (compatible; MSIE 6.0; […]
我最近在Centos 7上安装了两台新的服务器。我已经启用了fail2ban的默认设置。 我已经确保它运行为ps -ax | grep fail2ban产量： 1996 ? S 0:04 /usr/bin/python /usr/bin/fail2ban-server -b -s /var/run/fail2ban/fail2ban.sock -p /var/run/fail2ban/fail2ban.pid -x 但是我的夜间日志看起来像这样： sshd: Authentication Failures: root (60.173.26.165): 1070 Time(s) root (122.225.109.208): 515 Time(s) root (193.106.4.48): 391 Time(s) root (122.225.109.104): 297 Time(s) root (122.225.109.213): 286 Time(s) root (122.225.109.219): 248 Time(s) root (122.225.109.199): 220 Time(s) root (113.200.114.230): 199 Time(s) […]