fail2ban не блокирует при неудачных попытках sshd

fail2ban-regex /где/там/твой/ssh-лог*.log /etc/fail2ban/filter.d/sshd.conf

или

fail2ban-client status sshd

Забей на fail2ban и запусти простой скрипт:

http://togusak.ddnss.de/server/ipblock.sh.txt

download:

http://togusak.ddnss.de/server/ipblock.sh

./ipblock.sh install

systemctl stop ipblock.service

systemctl start ipblock.service

echo «Usage: $0 start stop status restart unban»

/home/duck/fail2ban/sshd.log

у тебя сюда sshd пишет?

Чей-то костыль против fail2ban - плохая идея.

ip -4 route, ipv6 уходит лесом.

Ну и классика cat FILE | grep something… http://www.smallo.ruhr.de/award.html

да

и там пусто

и там пусто

Какой вывод ты сделаешь из этого?

fail2ban не нужен. Делай вход по ключу.

Долбить-то не перестанут, а это рост логов, мусор и возможно DDOS

В секцию DEFAULT добавь параметр backend = systemd

Ну разве что для этого.

Долбить-то не перестанут, а это рост логов, мусор и возможно DDOS

…а мой скрипт-то работает!!! Вон как злобных долбодятлов отшибает!!!

http://togusak.ddnss.de/block.txt

:-)))

если не получиться настроить fail2ban, то просто порт закрою и буду только из локалки подключаться

это разве по дефолту не указано?

не помогло

port knocking - замечательное решение проблем с сервисами которые должны быть доступны извне.

это разве по дефолту не указано?

По дефолту f2b думает, что ssh пишет логи в /var/log/auth.log, но напрмиер debian на сегодняшний день их (и не только) пишет /var/log/journal/

не помогло

А что за дистр? Судя по строчке из описания banaction = ufw у тебя убунта или ты конфиг взял на просторах интернета? Файерволл какой стоит? Например у меня стоит nftables, поэтому мне пришлось в дефолтный конфиг добавить следующие строчки:

banaction = nftables-multiport
banaction_allports = nftables-allports

при неудачных попытках sshd

с одного ip за указанный в конфиге период

У меня Debian. По дефолту вроде стоял nftables, но я сверху поставил ufw, т.к. им проще пользоваться

fail2ban не блокирует при неудачных попытках sshd (комментарий)

что оно не работает)

что оно не работает)

Оно – это fail2ban или sshd ?

а нет, тогда я не правильно понял. sshd пишет логи не в /home/duck/fail2ban/sshd.log. т.е. fail2ban в logpath ожидает найти путь к логам sshd?

sshguard, но вообще да на кастомном порту и по ключу, боты не долбятся даже пару раз в год

fail2ban в logpath ожидает найти путь к логам sshd?

ага, чтобы парсить

Информацию о том, кто ломится по ssh, нужно где-то брать

libastral все никак не допилят, остается лог sshd

а что в failregex в /etc/fail2ban/filter.d/sshd.conf прописано должно быть? у меня failregex = Authentication failure.*linux-.*from=<IP>

у меня как раз debian. в /var/log/journal/ у меня system.journal user-1000.journal user-1001.journal. они содержат кучу ^@

а что в failregex в /etc/fail2ban/filter.d/sshd.conf прописано должно быть?

regex, под который попадают строки в твоем логе (с неудачными попытками логина). обычно дефолотных regex’ов из дистрибутива fail2ban хватает

для отладки есть fail2ban-regex fail2ban не блокирует при неудачных попытках sshd (комментарий)

у меня в 22.04 - 138 строчек

cat /etc/fail2ban/filter.d/sshd.conf | wc -l
136

Судя по тикету в багтрекере fail2ban, в debian 12 нужно сначала поставить пакет python3-systemd (https://github.com/fail2ban/fail2ban/issues/3292)

З.Ы. я обычно вытягиваю логи в файлы через rsyslog. Привычка