LINUX.ORG.RU

fail2ban - не банит подбор паролей ssh

 ,


0

3

Собственно есть 2 машины, абсолютно одинаковые как по железу, так и по софту, на обоих Debian 6 и fail2ban. На одной машине все работает прекрасно, на второй - вообще не работает fail2ban, в частности не банит при попытках подобрать пароль. Fail2ban v0.8.4-SVN, порт ssh - 1212 В обоих jail.conf так:

[ssh]

enabled = true
port    = 1212
filter  = sshd
logpath  = /var/log/auth.log
maxretry = 2

iptables -L -nv

  388 36068 fail2ban-ssh  tcp  —  *      *       0.0.0.0/0            0.0.0.0/0           multiport dports 1212 
  388 36068 fail2ban-ssh-ddos  tcp  —  *      *       0.0.0.0/0            0.0.0.0/0           multiport dports 1212 
В /etc/services уже указал нужный порт ssh, подравил в actions.d/ где нашел упоминание port = ssh на номер порта. В логе fail2ban чисто. Были сначала ошибки в логе:
fail2ban.actions.action: ERROR  iptables -D INPUT -p tcp -m multiport --dports ssh -j fail2ban-ssh-ddos
iptables -F fail2ban-ssh-ddos
iptables -X fail2ban-ssh-ddos returned 100
fail2ban.jail   : INFO   Jail 'ssh-ddos' stopped
Профиксил, добавив в /usr/bin/fail2ban-client, после beautifier.setInputCmd(c) следующее: time.sleep(0.1). Ошибки пропали, но ничего не изменилось в плане забанивания. Для proftpd тоже настроен fail2ban, там все работает как надо, с 3-го раза банит. Когда тыкаюсь по ssh - в логах пусто, не банит мои попытки подбора, в том числе и с другой машины. Куда копать?


Может быть установка loglevel = 4 в /etc/fail2ban/fail2ban.conf сможет прояснить ситуацию?

RH_ ()

а перезапустить? fail2ban имеет свойство частенько вешаться на ровном месте. сам я, где нужно перешел на sshguard.

dmiceman ★★★★★ ()
Ответ на: комментарий от dmiceman

Может быть установка loglevel = 4 в /etc/fail2ban/fail2ban.conf сможет прояснить ситуацию?

Молчит, фтп банит, на ssh вообще реакция нулевая.

а перезапустить? fail2ban имеет свойство частенько вешаться на ровном месте. сам я, где нужно перешел на sshguard.

Погуглил, вопрос решил 2мя правилами iptables:

iptables -A INPUT -p TCP -i eth0 --syn --dport 1212 -m recent --name radiator --set
iptables -A INPUT -p TCP -i eth0 --syn --dport 1212 -m recent --name radiator --update --seconds 600 --hitcount 2 -j DROP

hwnd ()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.