Не работает как надо fail2ban

# Файл с логами, которые будет отслеживать Fail2Ban : logpath = /var/log/fail2ban.log

Вообще должно быть что-то вроде

logpath  = /var/log/auth.log

Вот тебе пример работающей секции:

[ssh]

enabled  = true
port     = 22
filter   = sshd
logpath  = /var/log/auth.log
maxretry = 6
bantime  = 604800

И проверь чтоб фильтр sshd был в filter.d.

у меня в CentOS было так:

[ssh-iptables]

enabled  = true
filter   = sshd
action   = iptables[name=SSH, port=ssh, protocol=tcp]
           sendmail-whois[name=SSH, dest=root, sender=fail2ban@anyway-test.vcb.local, sendername="Fail2Ban"]
logpath  = /var/log/secure
maxretry = 5

Все остальные настройки по дефолту

Спасибо, с секцией [ssh] работает, с секцией [ssh-iptables] к сожалению, как не крутил - не хочет банить.

ssh перевесь на другой порт и убери авторизацию по паролю, чем это глюкалово для защиты ssh использовать. Тем более, что от очередного shellshock оно не поможет.

Так у тебя лог какой читался в секции [ssh-iptables]?

Но хоть секция [ssh] в файле jail.local и срабатывает на бан, но время бана и файл логов все равно берутся из секции [DEFAULT] в основном файле jail.conf и даже если я в файле jail.local пытаюсь переопределить секцию [DEFAULT]:

[DEFAULT]

bantime     = 900
logpath  = /var/log/auth.log

[ssh]
enabled  = true
port     = 22
filter   = sshd
logpath  = /var/log/auth.log
maxretry = 3
bantime  = 1800

то все равно бан происходит на bantime = 600 и логи пишутся в файл logpath = /var/log/secure определенные в секции [DEFAULT] в основном файле jail.conf

Так у тебя лог какой читался в секции [ssh-iptables]?

Да пробовал и logpath = /var/log/secure и logpath = /var/log/auth.log - бесполезно

ssh перевесь на другой порт и убери авторизацию по паролю,

А если перевесить ssh на другой порт, то все службы завязанные на ssh полетят к чертям, нужно будет все перенастраивать? По поводу авторизации - как организовать авторизацию не по паролю?

логи пишутся в файл logpath

Да не пишутся они туда, fail2ban парсит этот лог и банит на основе его содержания. Лог своей работы он пишет в /var/log/fail2ban.log если ты там дополнительно ничего не накрутил.

Да не пишутся они туда, fail2ban парсит этот лог и банит на основе его содержания.

А когда я указываю эту директиву:

[ssh-iptables]
logpath  = /var/log/auth.log

Лог своей работы он пишет в /var/log/fail2ban.log

Т.е. лог кого он забанил пишет сюда по-умолчанию?

Да,все разобрался, на самом деле когда указываю в jail.local:

[ssh-iptables]
....
....
logpath = /var/log/secure

По поводу авторизации SSH не по паролю, вы видимо имели в виду авторизацию по ключу, надо будет поразмыслить, там конечно возни порядочно и некоторые неудобства использования - но наверное на самом деле это оправдано, особенно когда речь идет о серьезном сервере, а не так VPS для своих говносайтиков или говносайтиков клиентов.

Никакой возни, все даже проще чем с паролем.

Да не пишутся они туда, fail2ban парсит этот лог и банит на основе его содержания.

Спасибо, помогли разобраться с этим fail2ban, а то я уже чуть было совсем разочаровался в этой утилите.

Никакой возни, все даже проще чем с паролем.

Ну я имею в виду, что каждому (если не одному человеку нужно заходить в терминал SSH) нужно генерить и раздавать ключи + не знаю - возникнут ли какой-нибудь гемор с настройкой программ и сервисов имеющих какое-либо отношение к SSH (если изменить дефолтный порт 22 SSH на другой)?

Ну порт КМК в 99% программ можно произвольный указать, а что касается раздавания ключей - за то пользователям не нужно каждый раз пароль вводить да и тебе доступом рулить проще - убил ключ на сервере и больше его владелец туда не попадет.

По ключам

Ну порт КМК в 99% программ можно произвольный указать, а что касается раздавания ключей - за то пользователям не нужно каждый раз пароль вводить да и тебе доступом рулить проще - убил ключ на сервере и больше его владелец туда не попадет.

Понял, спасибо, обязательно попробую такой подход.