Fail2ban перестал работать на FreeBSD с настройками по умолчанию, поэтому необходимо проверить старые конфигурации
Здравствуйте, я Munou.
Недавно в fail2ban на FreeBSD по какой-то причине перестали баниться IP-адреса по правилу sshd.
Текущие правила
Они выглядят следующим образом.
jail.local :
[sshd]
enabled = true
port = all
filter = sshd
allowipv6 = auto
logpath = /var/log/auth.log
bantime = 10w
findtime = 1w
maxretry = 3Однако на стороне hetzner всё работает. Почему?
Обновление
Похоже, настройки в fail2ban также были обновлены, и в новых установках это уже исправлено.
Правильно:
[DEFAULT]
_daemon = sshd(?:-session)?Неправильно:
[DEFAULT]
_daemon = sshdПрежний бинарный файл sshd разделен на бинарный файл слушателя sshd и бинарный файл для каждой сессии sshd-session
Внесены изменения в некоторые сообщения логов
sshd(8): the server has been split into a listener binary, sshd(8),
and a per-session binary "sshd-session". This allows for a much
smaller listener binary, as it no longer needs to support the SSH
protocol. As part of this work, support for disabling privilege
separation (which previously required code changes to disable) and
disabling re-execution of sshd(8) has been removed. Further
separation of sshd-session into additional, minimal binaries is
planned for the future.sshd(8): сервер разделен на бинарный файл слушателя sshd(8) и бинарный файл для каждой сессии "sshd-session". Это позволяет значительно уменьшить размер бинарного файла слушателя, так как ему больше не нужно поддерживать протокол SSH.
В рамках этой работы удалена поддержка отключения разделения привилегий (для чего раньше требовались изменения в коде) и отключения повторного выполнения sshd(8). В будущем планируется дальнейшее разделение sshd-session на дополнительные минимальные бинарные файлы.
Проверка соответствия правила регулярному выражению fail2ban
После внесения исправлений проверьте это следующим образом:
fail2ban-regex /var/log/auth.log /usr/local/etc/fail2ban/filter.d/sshd.confЯ запустил это со вчерашнего дня, и улов довольно приличный.
В моем случае те, кто пытается подключиться по sshd, явно злоумышленники, поэтому я установил строгое правило — бан на 10 недель. Для тех, кто пытается делать плохие вещи по разным протоколам, предусмотрено суровое наказание — бан на 52 недели.
Хотелось бы периодически выводить это в виде отчетов.
# fail2ban-client status sshd
Status for the jail: sshd
|- Filter
| |- Currently failed: 18
| |- Total failed: 201
| `- File list: /var/log/auth.log
`- Actions
|- Currently banned: 16
|- Total banned: 16
`- Banned IP list: 76.164.199.128 213.209.159.159 211.215.17.214 80.94.92.184 27.79.3.114 62.210.236.6 45.148.10.121 175.199.67.164 151.115.61.11 103.251.247.158 161.132.53.175 103.193.177.213 37.77.150.223 2.57.121.112 2.57.122.238 2001:db8::1Еще один сервер, на котором это работало все время:
# fail2ban-client status sshd
Status for the jail: sshd
|- Filter
| |- Currently failed: 9
| |- Total failed: 136
| `- Journal matches: _SYSTEMD_UNIT=ssh.service + _COMM=sshd
`- Actions
|- Currently banned: 217
|- Total banned: 217