Fail2ban dejó de funcionar en FreeBSD con la configuración por defecto, por lo que es necesario revisar si se mantienen ajustes antiguos
Hola, soy Munou.
Recientemente, por alguna razón, las reglas de sshd en fail2ban de FreeBSD dejaron de banear IPs.
Reglas actuales
Se ve así.
jail.local :
[sshd]
enabled = true
port = all
filter = sshd
allowipv6 = auto
logpath = /var/log/auth.log
bantime = 10w
findtime = 1w
maxretry = 3Sin embargo, en el lado de hetzner está funcionando. ¿Por qué será?
Actualización
Parece que la configuración también se ha actualizado en el lado de fail2ban, y las instalaciones nuevas ya vienen con la corrección.
Correcto:
[DEFAULT]
_daemon = sshd(?:-session)?Incorrecto:
[DEFAULT]
_daemon = sshdEl binario sshd anterior se dividirá en un binario de escucha sshd y un binario por sesión sshd-session
Hay cambios en algunos mensajes de registro
sshd(8): the server has been split into a listener binary, sshd(8),
and a per-session binary "sshd-session". This allows for a much
smaller listener binary, as it no longer needs to support the SSH
protocol. As part of this work, support for disabling privilege
separation (which previously required code changes to disable) and
disabling re-execution of sshd(8) has been removed. Further
separation of sshd-session into additional, minimal binaries is
planned for the future.sshd(8): El servidor se ha dividido en un binario de escucha sshd(8) y un binario por sesión "sshd-session". Esto permite que el binario de escucha sea mucho más pequeño, ya que ya no necesita soportar el protocolo SSH. Como parte de este trabajo, se ha eliminado el soporte para deshabilitar la separación de privilegios (que anteriormente requería cambios en el código para deshabilitarse) y para deshabilitar la re-ejecución de sshd(8). Se planea para el futuro una mayor separación de sshd-session en binarios adicionales y mínimos.
Verificar si las reglas coinciden con la regex de fail2ban
Después de realizar la corrección, verifíquelo con lo siguiente:
fail2ban-regex /var/log/auth.log /usr/local/etc/fail2ban/filter.d/sshd.confLo he implementado desde ayer y estoy capturando bastantes.
En mi caso, cualquiera que intente conectarse por sshd es claramente un malhechor, así que aplico una regla estricta de baneo por 10 semanas. Aquellos que intentan hacer cosas malas a través de varios protocolos reciben una sentencia severa de 52 semanas de baneo.
Me gustaría generar informes periódicos sobre esto.
# fail2ban-client status sshd
Status for the jail: sshd
|- Filter
| |- Currently failed: 18
| |- Total failed: 201
| `- File list: /var/log/auth.log
`- Actions
|- Currently banned: 16
|- Total banned: 16
`- Banned IP list: 76.164.199.128 213.209.159.159 211.215.17.214 80.94.92.184 27.79.3.114 62.210.236.6 45.148.10.121 175.199.67.164 151.115.61.11 103.251.247.158 161.132.53.175 103.193.177.213 37.77.150.223 2.57.121.112 2.57.122.238 2001:db8::1Otro servidor que ha estado activo todo el tiempo
# fail2ban-client status sshd
Status for the jail: sshd
|- Filter
| |- Currently failed: 9
| |- Total failed: 136
| `- Journal matches: _SYSTEMD_UNIT=ssh.service + _COMM=sshd
`- Actions
|- Currently banned: 217
|- Total banned: 217