LINUX.ORG.RU

Помогите с fail2ban

 ,


0

2

Настраиваю один комп, чтобы к нему можно было подключиться по ssh по ключу. sshd настроил, но из-за своей паранойи хочу чтоб был и fail2ban. Установил fail2ban, скопировал /etc/fail2ban/jail.conf в jail.local, отредактировал как надо, запустил. Создал на другом компе ключ (заведомо неверный), пытался подключиться к 1 компу большее число раз, чем maxretry, но каждый раз реакция одинаковая — «Premission denied (publickey).». Ожидал, что сервер вообще ну будет отвечать после maxretry неправильных попыток.

Дистрибутив — Арч. Раньше с fail2ban не работал.

★★★★★

Ответ на: комментарий от beastie

Как я понимаю, бан значит, что сервер не будет отвечать на попытки входа, однако он отвечает.

Klymedy ★★★★★
() автор топика
Ответ на: комментарий от Klymedy

А вот и нет, всё потому что он нифига не работет. ;)

Заставть то можно, но это тот ещё уродец.

Hint: он парзит логи. А в стардатной поставке, для ssh ЕМНИП regexp битый. Правь. Но лучше выбросить и не связываться.

beastie ★★★★★
()
Последнее исправление: beastie (всего исправлений: 1)

Так а в лог то пишутся неудачные попытки? Попадают под регулярку? Без fail2ban можешь залогиниться? Может ты под рутом пытаешься коннектиться да тебя sshd даже не слушает (ну как пример)?

alozovskoy ★★★★★
()
Ответ на: комментарий от alozovskoy

Без fail2ban можешь залогиниться?

Не понял вопрос. С правильным ключом могу залогиниться, без него — нет.

Klymedy ★★★★★
() автор топика
Ответ на: комментарий от alozovskoy

В journalctl есть записи о попытках подключения с компьютера без правильного ключа:

Jun 26 21:11:35 hostname sshd[6325]: Connection closed by 192.168.1.2 [preauth]

Klymedy ★★★★★
() автор топика
Ответ на: комментарий от Klymedy

Ну вот же он ругаецо:

2015-06-26 20:15:31,410 fail2ban.actions        [5920]: ERROR   Failed to start jail 'ssh-iptables' action 'sendmail-whois': Error starting action
2015-06-26 21:08:42,242 fail2ban.server         [5920]: INFO    Stopping all jails

есть ещё denyhosts подобного толка утилита если чо.

anonymous
()
Ответ на: комментарий от alozovskoy
^(?P<__prefix>%(__prefix_line)s)Disconnecting: Too many authentication failures for .+? \[preauth\]<SKIPLINES>(?P=__prefix)(?:error: )?Connection closed by <HOST> \[preauth\]$
Это не то?
Klymedy ★★★★★
() автор топика
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.