O fail2ban parou de funcionar no FreeBSD com as configurações padrão, por isso é necessário verificar se as configurações antigas ainda estão em uso
Olá, aqui é o Munou.
Recentemente, no FreeBSD, por algum motivo o fail2ban parou de banir IPs com a regra sshd.
Regras atuais
Está assim:
jail.local :
[sshd]
enabled = true
port = all
filter = sshd
allowipv6 = auto
logpath = /var/log/auth.log
bantime = 10w
findtime = 1w
maxretry = 3No entanto, no lado do hetzner está funcionando. Por que será?
Atualização
Parece que as configurações do lado do fail2ban também foram atualizadas, e quem instalou recentemente já deve ter a correção.
Correto:
[DEFAULT]
_daemon = sshd(?:-session)?Incorreto:
[DEFAULT]
_daemon = sshdO binário sshd anterior foi dividido em um binário de escuta sshd e um binário por sessão sshd-session
Houve mudanças em algumas mensagens de log
sshd(8): the server has been split into a listener binary, sshd(8),
and a per-session binary "sshd-session". This allows for a much
smaller listener binary, as it no longer needs to support the SSH
protocol. As part of this work, support for disabling privilege
separation (which previously required code changes to disable) and
disabling re-execution of sshd(8) has been removed. Further
separation of sshd-session into additional, minimal binaries is
planned for the future.sshd(8): O servidor foi dividido em um binário de escuta sshd(8) e um binário por sessão
"sshd-session". Isso permite que o binário de escuta seja
muito menor, pois não precisa mais suportar o protocolo SSH.
Como parte deste trabalho, o suporte para desativar a separação de privilégios (que anteriormente exigia
alterações no código para desativar) e a desativação da reexecução do sshd(8) foi
removido. Está planejado para o futuro separar o sshd-session em binários adicionais e mínimos.
Verificando se a regra corresponde ao regex do fail2ban
Após a correção, verifique com o seguinte comando:
fail2ban-regex /var/log/auth.log /usr/local/etc/fail2ban/filter.d/sshd.confEstou usando desde ontem e está rendendo bastante.
No meu caso, quem tenta se conectar via sshd é claramente mal-intencionado, então aplico uma regra rigorosa de banimento de 10 semanas. Para aqueles que tentam fazer coisas ruins em vários protocolos, a pena é severa: 52 semanas de banimento.
Gostaria de gerar relatórios periódicos sobre isso.
# fail2ban-client status sshd
Status for the jail: sshd
|- Filter
| |- Currently failed: 18
| |- Total failed: 201
| `- File list: /var/log/auth.log
`- Actions
|- Currently banned: 16
|- Total banned: 16
`- Banned IP list: 76.164.199.128 213.209.159.159 211.215.17.214 80.94.92.184 27.79.3.114 62.210.236.6 45.148.10.121 175.199.67.164 151.115.61.11 103.251.247.158 161.132.53.175 103.193.177.213 37.77.150.223 2.57.121.112 2.57.122.238 2001:db8::1O outro servidor que esteve ativo o tempo todo
# fail2ban-client status sshd
Status for the jail: sshd
|- Filter
| |- Currently failed: 9
| |- Total failed: 136
| `- Journal matches: _SYSTEMD_UNIT=ssh.service + _COMM=sshd
`- Actions
|- Currently banned: 217
|- Total banned: 217